Authelia
轻量认证门户：给反向代理提供 forward-auth，也能当 OIDC provider。配置即文件。
主场是 forward-auth：反向代理（Traefik、nginx、Caddy、Envoy）把每个请求先转给它问一句「这人能进吗」，它按访问控制规则（域名 + 路径 + 用户/组 + 需不需要二次因素）回 200 或重定向到登录页。用户可以来自本地 YAML 文件或 LDAP；也支持作为 OIDC provider 给真正支持 SSO 的应用发 token。配置是一份 YAML —— 对 GitOps 友好，也意味着改用户就要改文件。
上游活跃度
2026-08-23 抓取 · 数据来自 authelia/authelia (github)star28,663
最近提交2026-08-23
最新版本v4.39.202026-05-26
数字由构建期抓取，非实时；star 数不同代码托管平台之间不可直接比较。
运行依赖
- 一个支持 forward-auth 的反向代理
- 会话存储：单实例可用内存，多实例需要 Redis；用户后端为文件或 LDAP
上手前注意
- forward-auth 只解决「谁能访问这个 URL」，**应用内部并不知道你是谁** —— 需要应用侧显示用户身份时仍要走 OIDC
- 它挡在所有受保护服务前面：它挂了等于全部 403/超时，比单个应用的可用性更关键
- 文件后端下的用户与密码哈希在一个 YAML 里，那个文件就是密钥，必须走密钥路径管理