Keycloak 怎么给自家应用接登录？37,683 星的开源身份中台实测印象

GitHub 仓库

keycloak/keycloak

总 Stars

★ 37,683

主要语言

Java

查看 GitHub 项目

结论先行：keycloak/keycloak 拿了 37,683 个 star，主语言 Java，Apache-2.0 开源，最近推送在 2026 年 11 月 3 日，26.8.1 版发于 2026 年 10 月 13 日。它是开源身份与访问管理平台：登录、单点登录、社交登录、权限和用户管理，一套服务替所有应用管“谁是谁”。本篇是编辑精选，不是当日热榜；选它的理由是自托管应用越搭越多，登录这件事迟早要从各应用里抽出来统一管。

它是什么

一个面向现代应用和服务的身份中台，2013 年 7 月创建，是 CNCF 生态里资历很深的项目。它提供管理后台、用户联合（接 LDAP、活动目录或外部身份源）、身份代理（用 Google、GitHub 这类账号登录）、基于 OIDC 和 SAML 的单点登录，以及细粒度的授权能力。应用侧接标准协议就能用。

能干嘛

典型场景是：一家公司十几个内部系统，以前各管各的账号密码，接 Keycloak 后统一登录入口、统一登出、统一管用户和组。新应用配一个 client 就能复用整套能力。对外产品也能用它做社交登录和注册流程，省掉自己维护密码安全的风险。

生产部署和开发启动差在哪？

差在数据库、集群和证书这三件套。开发时一条命令能跑起来，生产要配正式数据库、做集群高可用、挂 TLS 证书、把管理后台和密钥管好，realm 配置要导出备份，升级时按官方迁移说明走。直接把开发模式搬上生产，是最常见的翻车姿势。

适合谁 / 注意点

适合有多个应用要统一登录的团队、做 SaaS 需要多租户隔离的产品，以及对账号数据有合规要求、不能把登录交给第三方托管的公司。只有一个小应用的团队，用框架自带登录可能更轻。注意：大版本升级要读迁移指南，realm 导出和数据库备份先做；密钥和 client secret 别写进仓库；主题和扩展定制要控制范围，改得越深，升级时合并成本越高。

站长点评：我挑它，是因为最近几批自托管项目里，登录和权限是被问得最多、却最容易被低估的部分：大家愿意搭十个服务，却不愿意认真管一个身份中台。坑我写在明处：3,428 个 open issue 说明它不是“装完忘掉”的东西，先读部署和升级文档，再决定上生产。

项目地址：https://github.com/keycloak/keycloak

核验记录：2026 年 11 月 4 日经 GitHub API 核验 stars、语言、许可证与推送时间，并查 release 确认 26.8.1 发于 2026 年 10 月 13 日，本篇为编辑精选，非当日热榜，已如实写明。