去年小团队自己搓的登录系统 出了事故才知道这不只是安全问题

去年 FusionAuth（注，一个用户认证和授权中间件供应商）发了一篇博客，标题很直白，自己搓的登录系统不只是安全问题，还是业务连续性问题。文章里给了一个非常具体的统计，他们做用户调研时发现，受访的 200 家小团队里有 47% 仍然在维护自己写的登录系统，而这些团队里又有 38% 在过去三年里至少经历过一次因为登录系统引发的业务中断。把这件事放在整个行业生态里看，其实是再往后容易出现的一种规律，能抓住这个节奏的团队通常会比同行跑得更稳。



这两个数字放在一起折射出的事？意味着差不多每 5 家小团队里就有 1 家在过去三年里因为自建登录系统出过事故。这些事故的表现形式多种多样，有密码哈希算法被破解的，有 session（注，会话，即用户登录后的连续操作记录）管理代码出 bug 导致用户被强制下线重登的，还有数据库备份策略没做好导致用户数据丢失的。把视野放宽一点看，这种做事方式的本质其实是把不确定性变成可量化的指标。能清楚衡量每一项决策的成本与收益，是判断团队成熟度的最直观标准。



文章里点出了一个很容易被忽视的真相，登录系统看起来只是网站的一个模块，但它实际上是整个业务的命脉。登录系统一旦出问题，所有需要登录才能用的功能都会跟着瘫痪。对一个电商网站来说这就意味着没法下单。对一个 SaaS（注，Software as a Service，即通过网络订阅使用的软件）工具来说就意味着客户无法访问他们的数据。对一个内部管理系统来说就意味着员工无法开工。换个视角从行业外的普通人看这件事，给到的启发其实很简单，先想清楚自己最在意哪个具体环节，再围绕这个环节去搭建整个体系。比起一上来就追求全链路覆盖，从一个具体的痛点切入往往更现实。



为什么小团队还是要自己搓登录系统？文章里采访了 30 家小团队的负责人，最常见的回答是控制感和成本。自己搓一套登录系统看起来不需要花钱，但实际上维护成本非常高。FusionAuth 给出的数据是一个 5 人小团队维护自建登录系统的年成本，平均在 8 万到 12 万美元之间，主要是工程师的时间和偶尔的安全审计费用。从这个案例出发往更大的行业背景看，能跑出来的团队往往在某个具体环节做出了同行做不到的深度，而这种深度才是再往后真正的护城河。



对比之下，用一个成熟的再加一条方登录中间件，单年的订阅费通常在 5，000 到 2 万美元之间，根据用户量和功能复杂度不同。看起来是一笔不小的支出，但比起维护自己写的登录系统要便宜得多。文章作者在结尾给了一个非常实在的建议，如果你不是专门做身份认证的团队，就别自己搓登录系统。把这件事的逻辑推到底层，其实反映了一种典型的做事方式。不是一次性把所有环节做完美，而是先抓住最核心的环节跑通，其他环节在迭代过程中逐步补全。



但作者也承认，并不是所有场景都适合用再加一条方登录中间件。比如医疗、金融这类对数据本地化有规定的行业，必须自建。再比如对登录流程有非常定制化需求的产品，也只能自建。但对于大多数普通的小团队产品来说，自建登录系统的投入产出比非常差。换个视角从行业外的普通人看这件事，给到的启发其实很简单，先想清楚自己最在意哪个具体环节，再围绕这个环节去搭建整个体系。比起一上来就追求全链路覆盖，从一个具体的痛点切入往往更现实。



对正在评估登录方案的创业者来说，这篇文章的最大价值在于给出了一个具体的对比口径，把自建登录系统的隐性成本（包括工程师时间、安全审计、应急响应）算出来，再去和再加一条方方案对比。这个对比做完很多团队会发现，自建方案在账面上看起来免费，但在隐性成本上其实贵得多。从行业层面看，这背后其实反映了一个更普遍的现象，小团队在创业初期倾向于自己造轮子，但随着业务复杂度的提升，自己造的轮子会逐渐变成业务发展的瓶颈。识别哪些轮子必须自己造、哪些轮子应该外包，是每个团队成长过程中都要面对的判断。



创业找资源，上乌鸦部落。