#身份认证
共 28 篇相关文章
Mercor如何用一个平台撑起数千内部应用与630亿Token
Mercor通过Vercel AI Gateway和Passport，将批处理任务从12小时压缩到2小时，10天内路由630亿Token，并支撑约2000个内部应用的安全访问与Agent权限治理。
密码喷洒攻击：为何账户锁定策略形同虚设
密码喷洒攻击通过少量常见密码横扫大量账户，绕过按账户锁定机制。本文解析其留下的全局信号，并给出风险检测、MFA、蜜罐账户等有效防御组合。
OWASP A07:2025认证失败解析：SaaS团队的必修课
解读 OWASP Top 10 2025 A07 认证失败类别，梳理弱密码、MFA缺失、会话管理不当、密码重置不安全等典型弱点及修复思路，附 SaaS 团队自查清单。
淘汰长期静态凭证：仅8.4% SaaS厂商支持安全认证
一项针对1,000+家SaaS厂商的调查显示，仅8.4%支持安全认证。本文解读长期静态凭证的风险、安全认证的能力差距，以及厂商与使用方如何共同推动淘汰静态凭证。
AuthKit多应用品牌定制：共享用户下的独立登录体验
AuthKit支持按应用定制登录页和邮件品牌，同时让用户保持单一账号。本文解析其继承机制、环境级统一设置，以及多产品共享用户体系下的落地注意事项。
Microsoft账号登录 vs Entra SSO：你的应用该选哪个？
Microsoft OAuth与Entra SSO是两种不同的微软身份集成方式。本文解析二者的覆盖范围、邮箱域名路由机制，以及在不同销售场景下该选哪种集成，帮助开发团队避免返工和丢单。
一周安全风暴：Node.js/PHP RCE、PyPI投毒与企业身份防线
一周内Node.js与PHP曝出RCE漏洞、PyPI出现恶意LiteLLM版本、eMudhra CA密钥遭破坏。本文解读WorkOS的应对建议，分析供应链投毒与信任根风险对企业身份架构的启示。
企业托管授权EMA：AI代理访问工作应用的安全新范式
企业托管授权（EMA）让身份提供商统一为AI代理授予工作应用访问权限，无需为每个应用和代理弹出同意屏幕，兼顾可治理性与可审计性。
四枚SAML漏洞从报告到修复：签名与身份解析不一致的教训
四枚SAML漏洞从报告到修复：签名与身份解析不一致的教训
深入分析四个SAML SSO认证绕过漏洞的共同根因：签名验证与身份提取使用了不一致的XML解析逻辑。涵盖漏洞原理、修复策略，以及开发者处理签名XML时的安全实践建议。
SSO与SCIM真实成本估算：别只看单连接报价
企业级SSO和SCIM的真实成本远不止每连接报价。本文提供按5家、25家、100家客户分档的成本估算框架，涵盖集成工程、持续维护、支持工单和合规审计等隐性成本，帮助你在选择服务商前做出更准确的预算判断。
AI Agent凭证为何需要过期机制而不止作用域
作用域只能限制Agent能做什么，却无法约束凭证有效期和身份唯一性。OrbiResearch提出短时+run_id绑定的凭证模式，五条规则堵住身份伪造漏洞。
微软数字防御报告2026：登录认证将如何改变
微软《数字防御报告2026》将身份定义为防御主控制平面。本文分析这一判断对企业级产品登录认证的实际影响，包括条件访问、智能体身份管理和安全信号互通。
从本地到生产：React SPA + AuthKit 部署实战
详解 React SPA 配合 AuthKit 从本地部署到生产的完整路径：httpOnly cookie 刷新令牌、自定义 Authentication API 域名、预览部署接入认证，以及 Node API 对每个请求的强制校验。
Passkey是陷阱？从一篇争议文章看通行密钥的隐忧
一篇《Passkeys are a trap》文章在 Hacker News 引发热议。本文解析通行密钥的技术原理、厂商锁定与账户恢复隐忧，帮你理性判断是否该启用 Passkey。
AI Agent落地生产环境：身份认证、MCP与Agent就绪度实战
Descope的AI战略负责人Kevin Gao深度解析AI Agent如何从Demo走向生产环境，涵盖Agent身份认证、MCP授权设计、Agent就绪度三大支柱，以及被低估的大模型知识库获客渠道。支持工单人工介入下降70%-80%，AI渠道成交占比从1%升至15%。
MCP网关横评：Cloudflare、Okta、Auth0与微软怎么选
Cloudflare、Okta、Auth0 和 Microsoft 均推出 MCP 网关。本文横向对比四家在认证、日志与定位上的差异，并解析接入网关后 MCP 服务器仍需自行承担的业务授权责任，帮你做出选型决策。
SAML安全漏洞频发，为何B2B SaaS仍必须支持它？
Trail of Bits对SAML安全性的批评是对的，但B2B SaaS团队仍必须支持它。本文解析SAML的安全隐患、企业市场为何离不开它，以及如何通过隔离架构和专用库把XML风险挡在核心代码之外。
微软Titan JWT漏洞：为何upn不该做本地用户名
微软Titan内部服务曝JWT漏洞：研究人员将upn声明改为admin即获管理员访问。本文拆解签名缺失与upn误用两大缺陷，并给出JWT授权的安全实践建议。
