新Logto 現已支援 CIMD。MCP client 無需預先註冊即可連接。

讓你的產品用得上 AI，
不用再建多一套身份驗證

你的 AI 應用、agent 和 MCP 伺服器，直接沿用你已經在 Logto 建好的一切：登入、企業單點登入 (SSO)、多重驗證 (MFA)、RBAC 和 Organizations。一個下午，就能推出企業真正敢用的 AI 功能。

開始使用聯絡我們

啟用 Dynamic app。
你整套身份體系立即對 agent 生效。

Dynamic app 底層就是 CIMD (Client ID Metadata Document)，也是 MCP 規範首先推薦的 client 註冊模式。不用再建一套平行的身份驗證系統，也不用追著規範跑。

你已經在 Logto 建好的
  • 登入體驗
  • 企業單點登入 (SSO)
  • 多重驗證 (MFA) 及 step-up 認證
  • RBAC 及權限範圍
  • Organizations（多租戶）
啟用 Dynamic app
底層是 CIMD
Dynamic app 文件 →
現在適用於
  • 每一個 MCP client 和 AI agent
  • 按用戶簽發、有權限範圍的存取權杖
  • 用戶看得見、也收得回的同意
  • 每一次授予的審計日誌
想自己審核每一個 client？那就把它們註冊為 third-party app。Third-party app 文件 →

一個產品，三道身份驗證的牆。

入站

讓 agent 連到你的產品

“Claude 剛剛在你的伺服器上收到 401。有個企業客戶在問 agent 存取有沒有遵守他們的 SSO。而你還在開發的時候，規範已經轉向 CIMD 了。”

讓 AI agent 可存取你的 MCP 伺服器

將 MCP 伺服器設為資源伺服器，給 AI agent 限定權限的存取，並配合用戶登入和明確同意。

運作方式
  • 兩種註冊 client 的方式：啟用 Dynamic app，任何 MCP client 都可以連接，底層走 CIMD；或者當安全審查有要求時，把每個 client 預先註冊為 third-party app。
  • Agent 請求權限範圍，用戶批准或拒絕。
  • 完整審計日誌記錄每次授予及撤銷。
閱讀 MCP 伺服器教學 →

令你的應用更適合 agent 存取

依據你的設定，開放你的應用程式或 API 給 AI agent 存取。Logto 在後台管理身份驗證、權限和權杖。

運作方式
  • 像其他 OAuth 用戶端一樣，在 Logto 註冊 agent 為第三方應用。
  • agent 請求用戶同意並以特定權限存取你的應用 API。
  • Logto 處理權杖管理，包括存取權杖和刷新權杖，讓 agent 可安全調用 API。
閱讀 third-party app 教學 →
人在流程中

用戶在 AI 中登入

“登入要在對話中途完成，又不能把用戶踢出聊天。你的 CLI 沒有瀏覽器可以跳轉。而你新增的‘用戶’中，有一半是不停狂刷註冊頁的腳本。”

對話中內建身份驗證流程

把登入和單點登入 (SSO) 直接嵌入到聊天機械人的流程中。需要時提示用戶，登入完成後立即返回對話。

運作方式
  • 在對話中提示用戶，並跳轉到 Logto 進行安全登入。
  • 無密碼登入、社交帳戶及企業 SSO 即開即用。
  • 高風險操作可加上 step-up 認證或多重驗證 (MFA)。
查看終端用戶身份驗證文件 →

為終端機而設的身份驗證流程

AI 編碼工具和 agent 很多時以 CLI 形式推出。給它們真正的登入方式：沒有瀏覽器時用裝置碼，有瀏覽器時用帶 PKCE 的授權碼。

運作方式
  • 裝置碼流程覆蓋 SSH 主機、容器和無頭機器，用戶可在任何瀏覽器上批准。
  • 有瀏覽器時用帶 PKCE 的授權碼流程，登入後直接返回終端機。
  • 權杖的儲存、刷新和跨程序鎖定都已處理好，並內建鎖匙圈整合。
了解 cli-auth 程式庫 →學習怎樣把 CLI 身份驗證做對 →

預防機械人和濫用於初始階段

Radar Background
BlockedBlocked: [email protected]
AuthenticatorWebAuthn (Passkey)
Toggle
BlockedBlocked: [email protected]
SpinnerVerifying ...
Cloudflare Captcha

內建安全功能不止於驗證碼 (CAPTCHA)：在你的登入體驗內部就有多層防護。Logto 把 SaaS 安全實踐帶到 agent 世界。

運作方式
  • 僅在需要時用動態驗證碼 (CAPTCHA) 對可疑流量進行挑戰。
  • 速率限制和黑名單制止重複濫用行為。
  • 多重驗證 (MFA)、短時效權杖及撤銷控制保護敏感操作。
查看安全性文件 →
出站

讓你的 agent 去別處做事

“你的 agent 需要用戶的 Google Calendar。把權杖放進 .env 檔案，事故就是這樣開始的。”

把你的 agent 連接到第三方 API 及 MCP 伺服器

讓你的 agent 以用戶身份操作第三方 API。無需手動權杖處理，亦不用明文存儲密鑰。

運作方式
  • 使用 Logto API 取得及刷新 Google、GitHub 或 MCP 端點的存取權杖。
  • 安全交換權杖，無需在 agent 程式中暴露密鑰。
  • 專注於工作流程，權杖操作由 Logto 處理。
閱讀 Secret Vault 文件 →

先看它跑起來，再做你自己那個。

Logto MCP Server 就是跑在這一整套東西上。

它今日已經在正式環境運行。 Logto MCP Server 文件 →

這裡面包括了 B2B 產品最難的那一部分：多租戶。agent 取得的每一個權杖，都限定在某一個組織，以及該用戶在其中的角色上。

看看它能做甚麼，再跟著下面的指南為你的產品做一套一樣的。

我們是怎樣做我們那一套的

遠端 MCP 伺服器實戰：AI 時代 SaaS 產品的新入口

怎樣為你的 SaaS 產品建立遠端 MCP 伺服器：MCP 與 Agent Skills 的取捨、OAuth 整合，以及 MCP 工具設計。

閱讀開發過程 →
MCP 伺服器怎樣代表用戶調用你的 API：一套用得上生產環境的權杖策略

為甚麼權杖直傳、M2M 和 PAT 都不夠用，以及帶組織範圍的 subject token 怎樣把 AI 限制在每個用戶的權限之內。

閱讀權杖策略 →

你可以怎樣做你自己那個

用 Logto 為你的 MCP 應用啟用身份驗證

把 Logto 整合到你的 MCP 伺服器：用標準的 OpenID Connect 流程完成用戶驗證並取得身份資料。

為你的伺服器加上身份驗證 →
讓第三方 AI agent 存取你的 MCP 伺服器

把你的 MCP 伺服器開放給第三方 AI agent：client 註冊、用戶同意和帶權限範圍的存取權杖。

把伺服器開放給 agent →

今個下午就把面向 agent 的身份驗證推出。

AI 的形態一直在變，你的身份層不用跟著變：把你已經信得過的那一層，對準接下來出現的任何東西。

開始使用聯絡我們