个人账户与组织使用同一套模型
Logto 为个人账户支持密码、passkeys、社交登录和 MFA。同一租户还可包含组织、组织角色、按组织的企业 SSO 与即时预置。账户级 API 角色和组织角色可以共存于同一授权模型。
为什么团队在寻找 WorkOS 的替代方案
WorkOS 最初提供独立的 Enterprise SSO 和 Directory Sync API，随后于 2023 年 11 月推出 AuthKit。如今 AuthKit 已是一套完整的身份验证平台，支持托管或自定义登录、用户管理、组织、角色、MFA、passkeys 和会话控制。两者的差异主要在定价、部署和控制权。WorkOS 对生产环境的企业连接单独收费，其公开资料将托管服务描述为位于美国，且没有公开文档说明其 User Management 后端可作为自托管产品提供。
| 动机 | 实际情况是怎样的 |
|---|---|
| 大额免费 MAU 配额，生产附加项另行收费 | AuthKit 为最多 1M 月活跃用户提供邮箱和密码、社交 OAuth 与 Magic Auth，也包含 MFA 和 passkeys。托管 AuthKit 的生产环境 Custom Domain 附加项每月 $99。Enterprise SSO、Directory Sync 和 SIEM 流式传输分别计价，因此即使使用量尚未超过 MAU 配额，团队也可能因生产与企业需求开始付费。 |
| 企业连接成本随客户数量增长 | Enterprise SSO 在 1–15 个连接时，起价为每个生产连接每月 $125。Directory Sync 使用同一套公开阶梯，并单独计费。在入门档位，一个 SSO 连接加一个 Directory Sync 连接每月共 $250。WorkOS 会随数量增加降低费率，101–200 个连接时降至每个 $50。Logto Enterprise SSO 是 Pro 上每个连接器每月 $48 的附加项。 |
| 托管与控制权的边界不同 | AuthKit 覆盖核心身份验证流程、会话控制，以及原生 OAuth 或 PKCE 流程。用户存储和身份验证服务由 WorkOS 管理。Logto 通过开源内核覆盖 B2C 与 B2B 身份验证，可运行在 Logto Cloud、Private Cloud 或你自己的环境中。 |
| 公开资料将托管服务描述为位于美国 | WorkOS 的本地部署指南面向仍需与 WorkOS API 通信的客户应用；隔离网络应用需要另一条身份验证路径。Logto Cloud 在欧洲、美国西部、澳大利亚和日本提供租户数据区域。Logto Private Cloud 提供专用 Azure 部署，目标区域是否可用需逐案确认。自托管则让服务留在你的基础设施上。 |
| 托管身份验证后端是专有软件 | WorkOS 公开 AuthKit 前端示例、SDK 和 OpenAPI 规范，但其 User Management 与身份验证后端是专有软件，也没有公开文档说明可自托管的 AuthKit 后端。公开的用户 API 响应不包含密码哈希，也没有已记录的导出端点。Logto 以开源许可证发布核心身份验证平台、后端和登录 UI；Logto Cloud 使用同一内核，并增加托管服务。 |
Logto 与 WorkOS 有何不同？
签约前即可估算的企业定价
Logto Pro 起价为每月 $24，没有固定 MAU 上限，但受合理使用政策约束。它包含每月 50K access tokens 和一个自定义域名。Enterprise SSO 每个连接器每月 $48；MFA 与 Organizations 分别是每个租户每月 $48 的附加项。Token 超额用量和其他附加项仍会影响账单。
同一内核兼顾托管与自托管
Logto Cloud 使用与自托管版本相同的开源身份验证内核。托管服务的租户数据区域可选择欧洲、美国西部、澳大利亚或日本。Private Cloud 提供专用 Azure 部署，目标区域是否可用需逐案确认。自托管则让服务留在你的基础设施上。
Logto 是适合你的 WorkOS 替代方案吗？
我们坚持诚实的定位。Logto 并不适合每一位 WorkOS 客户。
什么时候你应该切换到 Logto
- 每个企业 SSO 连接器的成本很重要。 十个 Logto Enterprise SSO 连接器每月增加 $480。加上 $24 的 Pro 基础价格，一个租户的起步费用为 $504，尚未计入 Token 超额用量或其他附加项。按公开的 1–15 档费率，十个 WorkOS Enterprise SSO 连接每月为 $1,250。
- 你需要自行运行身份验证后端。 Logto 公开核心平台源代码并支持自托管。WorkOS 的本地部署指南仍要求客户应用与 WorkOS API 通信。
- 你 需要美国以外的托管数据区域。 Logto Cloud 在欧洲、美国西部、澳大利亚和日本提供租户数据区域。Private Cloud 和自托管可进一步控制部署位置。
- 你希望托管自定义域名无需另付费用。 Logto 的 Free 和 Pro 都包含一个自定义域名。托管 AuthKit 的生产环境 Custom Domain 附加项每月 $99。
什么时候 WorkOS 可能更适合你
- 你已有身份验证，只需要企业连接器。 WorkOS 独立的 Enterprise SSO 和 Directory Sync API 可以连接现有身份验证系统，无需替换它。
- 你的应用符合 AuthKit 免费配额的条件。 AuthKit 为最多 1M 月活跃用户提供核心身份验证，并包含组织、角色、MFA 和 passkeys。如果默认的 authkit.app 域名够用，且不需要生产环境企业连接，它可能成本更低。
- Directory Sync 和客户自主配置是产品核心。 WorkOS 将 Directory Sync 与 Admin Portal 结合，让客户的 IT 团队自行配置企业连接。
WorkOS 与 Logto：正面对比
| Logto | WorkOS | |
|---|---|---|
| 主要差异 | ||
| 身份验证范围消费者、商业与企业身份验证 | 同一租户中的 B2C 与 B2B 身份验证 | AuthKit 平台加独立企业 API |
| 免费层免费计划包含的内容 | 每月最多 50K MAU 和 50K access tokens；包含一个自定义域名 | 最多 1M MAU；包含组织、角色、MFA 和 passkeys |
| 自定义域名从自己的域名提供托管登录 | Free 和 Pro 均包含一个 | 托管 AuthKit 附加项：每月 $99 |
| 企业 SSO 定价每个企业身份提供商连接的成本 | Pro 上每个连接器每月 $48 | 1–15 个时，起价为每个生产连接每月 $125 |
| 定价模式计划如何计费 | Pro 起价为每月 $24；没有固定 MAU 上限；access-token 用量和附加项另计 | 最多 1M MAU 免费；每增加 1M 收费 $2,500；企业产品单独计价 |
| B2B 多租户将商业客户建模为带角色的组织 | 带角色的组织、按组织的 SSO 与 JIT 预置 | 包含组织、角色和 JIT；SSO 与 Directory Sync 按生产连接计价 |
| 登录 UI 控制登录体验的品牌、文案和语言 | 可编辑翻译；15 种内置语言加 113 个额外语言标签；Bring Your UI | 约 90 个 locale 的托管 UI，支持自定义文案和 CSS；通过 API 构建自定义前端 |
| 开源哪些源代码公开，哪些部分可在你的基础设施上运行 | 核心身份验证平台、后端与登录 UI；Cloud 增加托管服务 | 前端示例、SDK 和 OpenAPI 公开；托管后端为专有软件 |
| 后端自托管在你的基础设施上运行用户存储与身份验证服务 | 开源平台支持自托管 | 没有公开文档说明可自托管的 AuthKit 或 User Management 后端 |
| 部署与数据驻留身份验证服务可以运行在哪里 | EU、US、AU 和 JP 的云端租户数据区域；Private Cloud；自托管 | 公开资料描述为美国托管；本地部署的客户应用仍调用 WorkOS API |
基于截至 2026 年 7 月的公开信息。最新详情请向相应厂商核实。
从 WorkOS 迁移
WorkOS 说明了如何将密码哈希导入 AuthKit。公开的 Get User 和 List Users 响应不包含哈希，而且没有公开文档说明密码哈希导出端点。在最终确定迁移计划前，请向 WorkOS 确认可用的导出选项。
WorkOS 为用户和组织提供分页 API。使用调用 Logto Management API 的脚本，将兼容记录映射到 Logto。用户创建需要逐条进行，并受速率限制。还要为成员资格与角色、关联身份与 MFA 因素，以及 SSO 和 Directory Sync 设置分别规划迁移工作。
如果无法获得哈希，密码用户需要重置密码或分阶段迁移。社交和无密码账户无需迁移密码哈希，但用户仍可能需要重新登录或重新关联身份。上线前请测试账户匹配与会话切换。如需协助审核计划，请联系我们。
阅读用户迁移指南 →每一次迁移都略有不同。如果指南没有覆盖你的情况，请联系我们，告诉我们你的需求。
常见问题
WorkOS 和 AuthKit 有什么区别？
AuthKit 是 WorkOS 的身份验证产品，涵盖托管与自定义登录、用户管理和会话，也包含组织、角色、MFA 以及 OAuth 或 OIDC 流程。对于保留现有身份验证系统的产品，WorkOS 还提供独立的 Enterprise SSO、Directory Sync 和 Audit Logs API。部分企业功能按生产连接计价。
WorkOS AuthKit 真的免费吗？
AuthKit 在每个自然月内对最多 1M 月活跃用户免费，包含邮箱和密码、社交 OAuth 与 Magic Auth，也包含 MFA 和 passkeys。托管 AuthKit 的生产环境 Custom Domain 附加项每月 $99。Enterprise SSO 在 1–15 个连接时，起价为每个生产连接每月 $125。Directory Sync 按同一套公开阶梯单独计费。SIEM 流式传输为每个 SIEM 连接每月 $125。对于每个自然月超过 1M MAU 的使用量，WorkOS 标价为每增加 1M MAU 每月 $2,500。
WorkOS 是开源的吗？
WorkOS 公开 AuthKit 前端示例、SDK 和 OpenAPI 规范。其托管的 User Management 与身份验证后端是专有软件，也没有公开文档说明可自托管的 AuthKit 后端。公开的用户 API 响应不包含密码哈希，也没有已记录的导出端点。Logto 以开源许可证发布核心身份验证平台、后端和登录 UI；Logto Cloud 使用同一内核，并增加托管服务。
哪个 WorkOS 替代方案最好？
Logto 适合希望同时获得 B2C 与 B2B 身份验证、开源后端、区域化云端选择、自托管，以及更低单连接器 SSO 定价的团队。WorkOS 适合希望在现有身份验证系统上增加 Enterprise SSO 与 Directory Sync，或偏好 WorkOS 托管式企业集成套件的团队。Auth0 和 Stytch 也是常见选项。
WorkOS AuthKit 可以自托管吗？
WorkOS 文档支持部署在本地的客户应用，但这些应用仍需与 WorkOS API 通信。隔离网络应用需要另一条身份验证路径。WorkOS 没有公开文档说明可自托管的 AuthKit 或 User Management 后端。Logto 支持自托管其开源身份验证平台。
WorkOS 和 AuthKit 是 WorkOS, Inc. 的商标。功能比较基于截至 2026 年 7 月的公开信息。最新详情请向相应厂商核实。