要在 VPN 前通过 RADIUS 实现多因素身份验证，VPN 网关使用 PAP 将用户名和密码发送到 RADIUS 服务器，服务器验证密码后回复 Access-Challenge，客户端显示提示，用户从身份验证器应用中输入 2FA 代码作为第二个请求的一部分。Casdoor 提供了一个 RADIUS 服务器，正好为设置了 TOTP 的用户执行此操作，因此能够显示 Access-Challenge 提示的网关（FortiGate SSL VPN 是供应商文档中说明支持这一点的其中一个）可以获得密码加上 2FA 代码，而无需任何额外软件。Wi-Fi 与 WPA2/WPA3-Enterprise 不同：802.1X 运行在 EAP 之上，EAP 没有位置供输入代码，因此 Casdoor 有一个开关可以为这些客户端跳过代码步骤。

要为 Spring Boot 添加单点登录 (SSO)，请将每个应用注册为 OpenID Connect 提供商（如 Casdoor）中的应用，将 Spring Security 指向该提供商的 issuer URL，并选择与应用匹配的 Spring 模块：对于服务器端渲染的 Web 应用使用 oauth2Login()，对于接收 bearer 令牌的 REST API 使用 oauth2ResourceServer().jwt()，当通过一个网关为一组微服务用户登录时，使用带有 TokenRelay 过滤器的 Spring Cloud Gateway。用户获得 SSO 是因为所有应用都将他们发送到同一个 Casdoor，后者记住了会话：第二个应用重定向时，Casdoor 已经知道该用户，因此他们会直接返回而无需显示登录表单。本文针对单个 Casdoor 实例设置这三种模式，每种模式都包含可用的 application.yml 和自定义的 SecurityFilterChain。

几个 Apache 数据和中间件项目自带了 Casdoor 登录功能：Apache DolphinScheduler 具有一种名为 CASDOOR_SSO 的身份验证类型（自 3.2.0 起）和一种通用的 OIDC 模式（自 3.4.0 起），Apache ShenYu 具有 Casdoor 插件（自 2.5.1 起），Apache Pulsar Manager 具有“使用 Casdoor 登录”按钮（自 0.3.0 起），而 Apache APISIX 具有 authz-casdoor 插件（自 2.14.0 起）。Apache IoTDB 是个例外：数据库本身使用自己的用户名和密码进行身份验证，只有现已归档的 IoTDB Web Workbench 与 Casdoor 通信。下表列出了每个项目、版本以及设置所在的位置；文章后半部分逐步介绍了如何在 IoTDB 中设置用户身份验证。

不存在“Steam OAuth”：Steam 使用 OpenID 2.0 对用户进行身份验证，并为您提供一个 64 位的 SteamID，仅此而已。Telegram 的经典登录组件也不是 OAuth：它会向您的页面提供一组用户字段以及一个使用您的机器人令牌进行验证的 HMAC-SHA256 哈希值。现在 Telegram 还在 oauth.telegram.org 运行一个真正的 OpenID Connect 提供商。如果您在应用和这些提供商之间放置 Casdoor，Casdoor 将执行协议特定的检查，而您的应用只与 Casdoor 通信 OpenID Connect，就像它与 Google 或 GitHub 通信一样。

虚拟支付网关是一种接受每笔结账为已付款而不联系银行或卡组织的支付提供商，因此你可以在没有资金和没有网关账户的情况下测试订单、订阅和履行。Casdoor 内置了一个：Dummy payment provider。将其添加到产品中，购买该产品，Casdoor 会将支付和订单记录为 Paid，启动订阅并写入交易，所有这些都无需离开你的服务器。在开发中使用 Dummy，并在预发布环境中切换到供应商沙箱（Stripe 测试模式、PayPal 沙箱、Paddle 沙箱），在那里你还需要处理被拒绝的卡片、3-D Secure 和真实的重定向。

Casdoor v4.0 于 9 月 1 日发布。两个月内发布了 25 个版本，目前我们已到达 v4.25，因此这是一个回顾变更内容的好时机。简而言之：管理控制台经过重构，自托管部署变得更加简单，现在有了用于集成和登录主题的应用市场（Marketplace），并且 Casdoor 可以作为 MCP 服务器和 AI 代理的授权服务器。

如果您尚未使用过它：Casdoor 是一个用 Go 编写的开源身份与访问管理（IAM）平台。它是一个完整的身份提供商，而不是库或登录代理。用户信息存储在 Casdoor 中，由 Casdoor 签发令牌，您的应用通过 OAuth 2.0、OpenID Connect、SAML 2.0、CAS、LDAP 或 SCIM 与其通信。授权处理由 Apache Casbin 负责，因此 ACL、RBAC 和 ABAC 模型均可正常工作。它采用 Apache-2.0 许可证，并收录在 CNCF Landscape 中。

Casdoor 拥有一个官方 Helm chart。它位于主仓库的 manifests/casdoor 目录下，随每个 Casdoor 版本发布到 GHCR，并收录于 Artifact Hub。从 Casdoor v4.18.0 开始，该 chart 还可以将您的组织、应用、用户和提供商作为声明式配置进行管理：修改 values 文件，运行 helm upgrade，正在运行的 Pod 即可应用更改而无需重启。

本文将介绍如何在 Kubernetes 上进行部署，从首次执行 helm install 到实现可纳入 Git 管理的配置设置。

2026 年 2 月 22 日，Casdoor 加入了 CNCF 云原生全景图，位于 Provisioning 下的 Security & Compliance（安全与合规）类别。该平台汇集了广泛使用的云原生项目和产品；加入该平台有助于用户和企业发现并评估构建云原生系统的解决方案。

https://landscape.cncf.io/?item=provisioning--security-compliance--casdoor

在数字身份管理至关重要的时代，像Casdoor这样的单点登录（SSO）解决方案正在彻底改变用户与多个应用程序交互的方式。 Casdoor的单点登录通过让用户只需进行一次身份验证即可访问多个服务，简化了登录流程。这不仅提升了用户便利性，还增强了用户的参与度和满意度。

欢迎访问Casdoor官方网站！👋