osFoundry / Platform
访客认证
为公开应用提供匿名、魔法链接、OAuth 或工作区 SSO。可按路由混合使用。
简介
访客认证决定了谁能访问你在 osFoundry 发布的应用的每一条路由。当你从工作区发布一个应用时，它会以公开 URL 上线，而每条路由都可以拥有自己的入口：让某个页面对匿名访客完全开放，把另一条路由锁在发往邮箱的魔法链接之后，要求通过 OAuth 提供方登录，或者通过 SSO 把某条路由限定给你 osFoundry 工作区的成员。你是按路由而非对整个应用做选择，因此一个营销落地页、一个受保护的工具和一个内部管理视图，可以在同一次部署中按不同规则共存。
在 osFoundry 内部，应用及其认证与你的聊天、智能体、代码和数据处在同一个工作区。你无需另起一套身份服务，也不用手写会话处理：你把一种方式挂到某条路由上，平台就会在每次请求时于应用前方强制执行它。由于 osFoundry 是一个 BYOK、本地优先的工作区，认证的选择只关乎谁能访问你发布的应用；它不会把你的模型流量绕经任何转售商，也不会为每个登录的人加收按席位的费用。匿名访问保持真正的匿名，魔法链接彻底免去密码，OAuth 复用访客已有的账号，工作区 SSO 则把内部工具限定在你的团队范围内。
真正值得理解的是「按路由自由组合」这套模型。单个公开应用很少需要一道统一的门。访客认证让公开应用可以对外露出开放的一面，同时保护其背后的操作，也让内部应用保持纯 SSO，而这一切都无需把应用拆成多次部署，也无需为每个页面单写中间件。
主要功能
- 匿名访问：让公开路由完全开放、无需登录，适用于落地页和只读视图
- 魔法链接登录：通过邮件发送一次性链接来认证访客，无需存储或重置任何密码
- OAuth：让访客用他们在某个 OAuth 提供方已有的账号登录
- 工作区 SSO：把路由限定给你 osFoundry 工作区的成员，适用于内部工具
- 按路由配置：在同一个已发布应用中，为不同路由应用不同的认证方式
使用场景
- 独立开发者：发布一个带开放匿名落地页的工具，把真正的生成器放在魔法链接之后，让使用与某个邮箱绑定
- 团队负责人：从工作区发布一个内部仪表盘，用工作区 SSO 锁住每条路由，只有队友才能打开
- 产品团队：运行一个公开应用，其中文档为匿名访问，免费工具走 OAuth 登录，管理面板仅限工作区
常见问题
同一个应用的不同页面可以使用不同的登录方式吗？
可以。访客认证是按路由配置的，因此同一个已发布应用可以让部分路由保持匿名，把另一些锁在魔法链接或 OAuth 之后，再把另一些限定为工作区 SSO，而无需拆成多次部署。
这里的 OAuth 和工作区 SSO 有什么区别？
OAuth 让外部访客用他们在某个 OAuth 提供方已有的账号登录，适合公开应用。工作区 SSO 把某条路由限定给你 osFoundry 工作区的成员，适合那些你不希望公众访问的内部工具。
增加已认证的访客是否意味着要按席位付费？
不会。osFoundry 没有按席位收费，访客认证控制的是谁能访问你发布的应用，而不是为每个登录的人加收费用。它属于工作区 Apps & Backend 层的一部分，并非单独的身份订阅。