Casdoor 身份管理平台单点登录部署教程与 MFA 配置完整指南【免费下载链接】casdoorAn open-source Agent-first Identity and Access Management (IAM) /LLM MCP agent gateway and auth server with web UI supporting OpenClaw, MCP, OAuth, OIDC, SAML, CAS, LDAP, SCIM, WebAuthn, TOTP, MFA, Face ID, Google Workspace, Azure AD项目地址: https://gitcode.com/gh_mirrors/ca/casdoor公司系统越上越多OA 一套账号、CRM 一套、内部工具又是一套谁开了权限、谁离职了还没回收没人说得清。Casdoor 就是干这个的——一个带 Web 管理界面的单点登录SSO与身份管理平台让所有系统共用一套账号和权限。项目速写Casdoor 是一个开源、可自托管的身份与访问管理IAM平台用户目录、令牌签发、管理后台都在一个服务里应用方不用自己碰密码。几个关键事实认证协议覆盖 OAuth 2.0、OIDC、SAML 2.0、CAS、LDAP、SCIM 2.0、WebAuthn、TOTP/MFA还内置 MCP 协议支持可对接 GitHub、Google Workspace、Microsoft Entra IDAzure AD等第三方身份源后端 Go 单二进制前端 React部署时只需一个数据库完全免费开源自带 Web 控制台配置基本在界面上完成用 SSO 打通内部系统一次登录访问所有应用场景员工每天早上要在五六个系统里各输一次密码改密码更是灾难。做法把这些应用都注册为 Casdoor 的 Application登录页由 Casdoor 统一接管。现代前端走 OAuth 2.0 / OIDC老系统只支持 CAS 也没关系同一套账号目录对所有协议开放新旧应用可以共存。配置在 Web 控制台的 Application 页面里完成OAuth、SAML、登录页品牌样式都能在线改改完不用重新部署。相关后端逻辑在 object/ 目录OAuth 令牌处理集中在 object/token_oauth.go 这类文件。开启 TOTP 二次验证给账号加一道 MFA场景账号密码泄露后内网系统直接失守。Casdoor 支持 TOTP 动态口令、短信验证码、WebAuthn 硬件密钥等多种多因素认证MFA按组织或按用户粒度开启还可以设 TOTP 使用期限避免密钥无限期有效。前端验证组件在 web/src/auth/ 目录登录页的多因素流程见 web/src/pages/auth/MfaSetupPage.tsxTOTP 校验逻辑在 object/mfa_totp.go短信、Radius 等通道分别在 object/mfa_sms.go、object/mfa_radius.go。对接 GitHub、Google 等第三方登录不想让用户自己记新密码Casdoor 内置了大量身份提供者GitHub、Google、微信、钉钉、企业微信、Lark、QQ 等每个 provider 的对接代码都在 idp/ 目录按文件命名一目了然。管理员在控制台启用某个 provider 后登录页会自动出现对应的第三方登录入口新用户首次通过第三方登录可自动完成注册。用 LDAP / SCIM 管理账号生命周期企业里账号往往是批量进出的。Casdoor 既能作为 LDAP 服务端也提供 SCIM 2.0 接口员工入职时由上游系统推送创建离职时同步禁用避免人已走、号还在。同步能力还支持从 Google Workspace、Azure AD 等数据源定时拉取用户相关实现在 object/syncer_*.go 系列文件中。三步启动你的 SSO 服务拉取代码需要 Go 环境git clone https://gitcode.com/gh_mirrors/ca/casdoor cd casdoor改数据库配置编辑 conf/app.conf把driverName和dataSourceName改成你的数据库连接也支持 SQLite其余参数可保持默认。启动并访问go run main.go浏览器打开http://localhost:8000用内置账号built-in / admin登录先在控制台里创建组织和应用再开始接入第一个系统。架构一览后端是 Go 编写的模块化服务路由入口在 controllers/ 目录每个文件对应一类资源用户、应用、令牌、同步器核心业务逻辑集中在 object/ 包授权策略基于 Casbin 实现 ACL / RBAC / ABAC。前端是 React TypeScript代码在 web/src/页面与组件分目录组织登录、MFA、回调等认证页面位于web/src/pages/auth/下前后端均可独立阅读和扩展。适合谁用下一步做什么适合有 3 个以上内部系统需要统一登录的团队想自建 IAM 而不是采购商业 SaaS 的公司需要给 AI Agent / MCP 网关加一层认证的服务方。不适合只是在现有反向代理前挂一个登录框的场景——那种需求用更小的工具就够Casdoor 的定位是你想自己拥有整个用户目录。三条落地建议生产环境给 Casdoor 前面挂一层负载均衡并配置好 Redisconf/app.conf中redisEndpoint分担会话压力上线前先按组织粒度配好 MFA 策略和登录页品牌再批量接入应用保持版本更新认证组件的安全修复要及时跟进【免费下载链接】casdoorAn open-source Agent-first Identity and Access Management (IAM) /LLM MCP agent gateway and auth server with web UI supporting OpenClaw, MCP, OAuth, OIDC, SAML, CAS, LDAP, SCIM, WebAuthn, TOTP, MFA, Face ID, Google Workspace, Azure AD项目地址: https://gitcode.com/gh_mirrors/ca/casdoor创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考