B2B 身份层 · ARD-G05

B2B SaaS 最佳认证方案选型

在 B2B SaaS 里，认证方案选一次就要付一辈子：更换身份提供方意味着迁移每一个租户、每一段会话、每一个 SSO 连接。四条可行路径的分野只有一个问题——认证面你要自己运维，还是租用？租用按每月活跃用户数与每条企业连接收费；自己运维则要持续投入你本不会投在产品上的工程量。

审计：2026-10-23阅读：9 分钟

2026-10-23 四个产品均对照各自的定价页与文档核验。未做独立压测或安全测试——厂商未公布数字处，如实说明而不估算。本轮三处修正。Clerk：档位价格此前记错——Pro 月付与年付两个价并列，Business 远高于此前记录的数值；去除 Clerk 品牌、MFA、卫星域与自定义会话时长属 Business 档而非 Pro。Auth.js：项目自己的文档现已声明并入 Better Auth，安全补丁继续但新项目强烈建议迁移——这条按生命周期限制记录，而不是删掉了事。Supabase Auth：撤回「没有独立使用路径」的说法，因为文档明确描述了独立使用；改记的真实约束是用户数据会落在你项目自己的 Postgres 数据库里。

Clerk

带预置 UI 的托管认证

首选推荐

为何胜出

核心优势: 企业能力是逐项列价而非打包藏起来的：SSO 按连接计价且 Pro 档自带一条；去除 Clerk 品牌、MFA、卫星域与自定义会话时长随 Business 档到位；Business 档含 SOC2 报告；Enterprise 档可通过 BAA 获得 HIPAA（见下方月营运成本）。

关键局限: 目录同步连接与卫星域均按项加购（费率见下方月营运成本），且目录同步自 2027-01-01 起计费。允许名单与阻止名单在生产环境需付费档，且允许名单只在 Open 访问模式下生效。去除 Clerk 品牌与启用 MFA 均需 Business 档。

Auth.js

可自托管的开源认证库

为何胜出

跑在你自己的应用里，请求路径上没有第三方服务，所有凭据都留在你自己的数据库中。对有数据驻留约束的 B2B 团队，这是唯一一个回路里完全没有外部身份提供方的选项。

核心优势: 为 Next.js、Qwik、SvelteKit、Express 提供框架包，由你提供 auth.ts 配置与自有适配器。整个认证面——会话形态、token 内容、提供方列表——都由你定义。

关键局限: 一切都由你搭建和运维：MFA、SSO、账户关联与会话吊销都是你的代码；AUTH_SECRET 是唯一强制的环境变量，通过 npx auth secret 生成并由你保管。另有一条项目自己的生命周期提示：Auth.js 文档横幅声明项目已并入 Better Auth，Better Auth 团队继续为 Auth.js 处理安全补丁与关键问题，但新项目被强烈建议从 Better Auth 起步。

Supabase Auth

平台内置 JWT 认证 + 行级安全

为何胜出

如果你已经跑在 Supabase 上，认证与授权是一起到位的：Auth Token 与 RLS 策略配合时按行限定数据库访问，于是租户间数据隔离表达为数据库策略，而不是应用代码。

核心优势: 基于 JWT 的认证，支持密码、魔术链接、一次性密码、社交登录、通行密钥与 SSO，并可通过自定义 OAuth/OIDC 提供方接入任何 OAuth2 或 OIDC 兼容的身份提供方。经 Supabase SDK 发出的数据请求会自动带上 Auth Token。

关键局限: 文档明示可独立使用，但 Auth 会把用户数据写进你项目自己的 Postgres 数据库里的一张专用 schema，因此数据库并非可选。计费拆在每月活跃用户、每月活跃第三方用户、每月活跃 SSO 用户与 Advanced MFA 附加项上，真实成本分散在多个计量口径里。

WorkOS

企业级 SSO、SCIM 与目录同步

为何胜出

AuthKit 在百万级活跃用户以内免费，这为早期 B2B SaaS 完全抹掉了认证这一行成本——与按 MAU 计费正好是光谱的另一端。

核心优势: 企业 SSO 支持 SAML 与 OIDC，按连接计费且自动量折，连接越多单价越低（阶梯见下方月营运成本）。目录同步覆盖开通、回收与角色映射。年付额度方案另含在线率 SLA 与保障性支持 SLA。

关键局限: 为企业能力而非消费者认证而建——AuthKit 本身是带社交登录、MFA 与 RBAC 的用户管理，不是完整的自助注册产品。超过免费额度后，AuthKit 转入按每增加一百万用户计费的档位（见下方月营运成本）。