始终可重新配置的身份验证
Logto 不会在初始设置时锁定你的身份数据结构。登录标识符只是你在控制台里可以更改的设置，用户档案还携带无固定结构的自定义数据。当需求从仅邮箱转向手机号或 passkeys 时，你只需切换配置，而不必重建租户并迁移每一个用户。
为什么团队在寻找 AWS Cognito 的 替代方案
Cognito 在 AWS 技术栈中赢得了它的一席之地：它紧挨着你的基础设施运行，身份池可以为你的应用分发临时 AWS 凭证，Lite 层级在大规模下依然便宜。但身份验证很少能一直只是一个勾选项。当注册要求发生变化，当企业客户到来，或者当账单再次改头换面时，团队才意识到自己是在维护一个工具箱，而不是在交付产品。这通常就是他们开始比较的时刻。
| 动机 | 实际情况是怎样的 |
|---|---|
| 不断变动的定价 | 2024 年 5 月，AWS 对原本免费的机器对机器身份验证开始计费；现有账户获得了 12 个月的豁免期，而这些账单在 2025 年 5 月如期而至。2024 年 11 月，新的层级把新账户的免费额度从 50,000 MAU 削减到 10,000 MAU，新建的用户池如今默认采用 Essentials，每 MAU 收费 $0.015，几乎是 Lite 费率的三倍。2025 年 11 月，AWS 取消了按应用客户端计费的 M2M 费用，却依然对每一次令牌请求收费。每一次变动都发过通知，却没有一次征求过意见。 |
| 永远无法更改的设置 | 在 Cognito 中，登录标识符、用户名大小写敏感性以及必填属性会在用户池创建时被锁定，而自定义属性永远无法被修改或删除。一旦设错，官方给出的补救办法直截了当：“将你的用户迁移到一个新的用户池”。身份验证的需求会不断演进，你的用户池配置却做不到。 |
| 整个账户共用一个限流池 | Cognito 的请求配额按每个 AWS 账户、每个区域计算，由你运行的所有用户池共享，因此某一个产品的登录高峰就可能拖慢全部产品。要提高那些可调类别，意味着在 MAU 定价之外再购买预 置容量。而另一些则是固定的：无论你付多少钱，密码找回上限为每秒 30 次请求，机器对机器令牌签发上限为每秒 150 次。 |
| B2B 是一个自己动手的项目 | Cognito 没有组织模型。官方的多租户指南提供了一些需要你自己用用户池、应用客户端或用户组来拼装的模式，并且承认在“每租户一个用户池”的方案下，“开发和运维投入”很高，而且“每个用户必须为每个租户单独注册”。除此之外，每一个通过 SAML 或 OIDC 登录的企业用户，在超过前 50 名之后，每月都要花费 $0.015，且适用于每一个层级。 |
| 登录页面其实并不属于你 | Managed login 为你提供了一个可视化编辑器来调整颜色和 logo，但 AWS 说得很明白：你无法修改或本地化其中的文本，而且内置语言只有 12 种。Lite 层级仅限使用较旧的经典托管 UI，它支持一个 logo 和一组固定的 CSS 值，完全不支持本地化。而且无论你的用户身处何地，自定义域名都需要一份位于 US East (N. Virginia) 的证书。 |
Logto 与 AWS Cognito 有何不同？
开箱即用的多租户 B2B
Logto 的组织为每个企业客户提供各自的成员、角色和企业 SSO 连接，并在其用户首次登录时进行即时（JIT）预置。Cognito 的最佳实践指南只能让你用用户池、应用客户端和用户组自行拼装的东西，在 Logto 中则是一等的产品能力。
稳定不变的定价，以及始终敞开的退出通道
Logto 的免费计划每月覆盖 50K MAU 和 50K 令牌，且包含机器对机器，Pro 版每月 $24，MAU 无限制。限流按租户计算，为不断增长的工作负载提高上限只需与支持团队沟通，而不是购买容量。Logto Cloud 是完全托管的服务，与 Logto 的开源版本（13k+ GitHub 星标）运行同一套代码。如果有一天定价或路线图不再适合你，你随时可以转为自托管、继续前行。
Logto 是适合你的 AWS Cognito 替代方案吗？
我们坚持诚实的定位。Logto 并不适合每一位 AWS Cognito 客户。
什么时候你应该切换到 Logto
- 你正在启动一个全新的项目。Cognito 为新账户提供的免费套餐是 10,000 MAU。Logto 的免费计划最高覆盖 50K MAU，开发租户还免费包含所有高级功能。
- 你正在构建 B2B SaaS。组织、按组织划分的企业 SSO 和即时预置在 Logto 中都是产品功能，而不是需要你自己拼装并运维的架构模式。
- 机器对机器流量对你而言是实打实的成本。Cognito 对每一次 M2M 令牌请求都计费，没有免费额度，每次起步价 $0.00225（US East）。Logto 的免费计划每月包含 50K 令牌，且只有访问令牌计入计费。
- 你的登录页面需要用你自己的措辞和语言。Logto 让你可以编辑每一句文案，借助 113 个语言标签添加内置集之外的语言，或者用你自己的 UI 替换整个体验。
什么时候 AWS Cognito 可能更适合你
- 你的应用需要 AWS 凭证。Cognito 的身份池会向客户端分发临时 IAM 凭证，用于直接访问 S3 和 DynamoDB 等服务。这项能力是 AWS 原生的，第三方 CIAM 无法取代它。
- 你享有老用户权益，且基础功能已够用。2024 年 11 月之前创建的账户在 Lite 上保留 50,000 MAU 的免费套餐。如果内置流程已能满足需求，且你的用户池第一次就配置正确，那么 Cognito 依然是 AWS 内部便宜的默认之选。顺带一提，Logto 的免费计划同样覆盖 50K MAU。
AWS Cognito vs. Logto：逐项对比
| Logto | AWS Cognito | |
|---|---|---|
| 关键差异 | ||
| 免费套餐免费计划包含的内容 | 最高 50K MAU 和 50K 令牌 | Lite 和 Essentials 提供 10K MAUPlus 无免费套餐 |
| 机器对机器身份验证通过客户端凭证获取的服务间令牌 | 已包含只有访问令牌计入计费 | 无免费额度每一次令牌请求都计费，起步价 $0.00225 |
| B2B / 多租户将企业客户建模为拥有角色的组织 | 无限制*拥有角色和按组织 SSO 的组织 | 无内置组织模型自己动手拼装用户池或用户组模式 |
| 企业 SSO 定价通过 SAML 或 OIDC 联合登录的用户 | 在控制台中配置连接器基于 MAU 的套餐 | 50 个联合 MAU 免费，之后每个层级均按每用户 $0.015 收费 |
| 身份数据 结构变更事后调整登录标识符和属性 | 随时可重新配置无固定结构的自定义数据 | 登录标识符、大小写敏感性和自定义属性在创建时被锁定 |
| 登录 UI 控制托管页面的品牌、措辞和语言 | 任意语言的自定义文案可自带 UI | 仅限颜色和 logo文本不可编辑12 种语言（Essentials 及以上） |
| 部署选项身份验证服务可以在哪里运行 | 云端、私有云或自托管 | 仅限 AWS 托管 |
基于截至 2026 年 7 月的公开信息；Cognito 价格为 US East (N. Virginia)。最新详情请以各厂商官方信息为准。
* "无限制"是指功能没有固定限制，但需遵守系统政策以确保公平使用、安全性和最佳性能。
从 AWS Cognito 迁移：会遇到什么
说句实在话：Cognito 不允许你导出密码哈希，因此没有任何厂商能承诺让每一个现有密码在批量迁移后都悄无声息地继续可用。Cognito 自己同样不接受导入的哈希：它自带的批量导入会让用户在首次登录时重置密码。
其余的一切都能干净利落地迁移。通过 Cognito 的 API 导出用户档案，再用 Logto 的 Management API 批量导入。使用社交登录或无密码方式登录的用户完全 不会察觉到这次切换。
对于密码用户，可以规划一次性重置或分阶段推进。正确的做法取决于你的用户群，所以告诉我们你的具体情况，我们会帮你规划切换方案。
阅读用户迁移指南 →每一次迁移都略有不同。如果指南没有覆盖你的情况，请联系我们，告诉我们你的需求。
常见问题
AWS Cognito 是免费的吗？
部分免费。2024 年 11 月 22 日之后创建的账户，在 Lite 或 Essentials 层级上每月可获得 10,000 MAU 免费额度；更早的账户则在 Lite 上保留 50,000 MAU 免费额度。Plus 层级没有免费额度。机器对机器令牌请求始终计费，通过 SAML 或 OIDC 联合的用户仅在 50 MAU 以内免费，而短信则通过 Amazon SNS 单独计费。
AWS Cognito 的定价发生了哪些变化？
两年内三次变化。2024 年 5 月：AWS 对机器对机器身份验证引入了按令牌计费，并为现有账户提供了 12 个月的豁免期，该豁免于 2025 年 5 月结束。2024 年 11 月：Cognito 被重组为 Lite、Essentials 和 Plus 三个层级，新账户的免费套餐从 50,000 MAU 降至 10,000 MAU，新建的用户池默认采用 Essentials，每 MAU 收费 $0.015。2025 年 11 月：AWS 取消了按应用客户端计费的 M2M 费用，同时保留了按令牌收费。
AWS Cognito 支持 B2B 多租户吗？
并非作为内置功能提供。AWS 记录了一些需要你自己实现的多租户模式：每租户一个用户池、每租户 一个应用客户端，或者在同一个用户池内使用用户组。每种方式都有已知的取舍，从高昂的开发和运维投入，到用户必须为每个租户单独注册。Logto 用组织直接对这一点进行建模：每个企业客户都拥有各自的成员、角色和企业 SSO 连接。
最好的 AWS Cognito 替代方案是什么？
这取决于你离开的原因。如果你的应用需要临时 AWS 凭证来访问 S3 等服务，Cognito 的身份池仍然是原生的路径。如果你想要内置的 B2B 组织、无需按用户收取联合费用的企业 SSO，以及不会在你脚下悄然变动的定价，那么 Logto 是一个有力的选择。Auth0、Firebase Auth 和 Keycloak 也是常被评估的选项。
AWS、Amazon Cognito 和 Amazon Web Services 是 Amazon.com, Inc. 或其关联公司的商标。功能对比基于截至 2026 年 7 月的公开信息，最新详情请以各厂商官方信息为准。