当身份与访问控制软件公司Duende于2022年12月将其开源产品IdentityServer商业化，并一度从GitHub上删除相关支持文档时，众多开发者对此表示强烈不满。
总部位于英国布里斯托尔的软件开发公司Rock Solid Knowledge（RSK）长期活跃于IdentityServer社区，如今致力于确保开放身份验证基础设施平台服务得以延续。RSK决定对该项目进行分叉维护，基于原项目相同的（但已扩展的）身份验证技术集，推出开源身份安全解决方案。全新的Open.IdentityServer平台已于本周二正式发布。
RSK创始人Andrew Clymer告诉The New Stack，"免费软件不等于被遗弃的软件"，IdentityServer4留下了一个庞大的开发者社区，这个社区理应拥有一个未来。
"Open.IdentityServer为那些被抛下的开发者提供了一条现代化、有支持保障的路径，而无需在第一天就被迫做出商业化决策。开源的成功在于先实现普及，再考虑商业变现，"Clymer表示，"Open.IdentityServer证明了一个平台完全可以做到专业维护、永久免费，同时围绕商业扩展和服务构建可持续的商业模式。我们认为这对所有人来说都是一种更健康的模式。"
RSK本月发布的宣言声明，Open.IdentityServer将始终保持免费和开源状态。商业产品将作为可选项存在，用于"支撑免费核心"的运营，而开源社区将"始终拥有发言权"，参与项目方向的决策。
该平台基于Apache 2.0许可证授权的IdentityServer4代码库，为.NET应用程序提供OpenID Connect与OAuth 2.0框架，支持基于Token的身份验证、单点登录以及API访问控制。首个版本Open.IdentityServer v1.0.0已于6月1日正式发布。
关于安全隐患，GitHub上的DuendeArchive页面指出，IdentityServer4存在"多个已知安全漏洞和缺陷"，且文档已过时。Duende Software客户成功总监Maarten Balliauw在公司博客上证实，IdentityServer4已随.NET Core 3.1的终止支持而停止维护，这与2022年12月的声明一致。他在去年3月的一篇文章中写道，该仓库存在多个已知安全漏洞，同时文档和信息均已过时。Balliauw指出，尽管仓库多年来一直显示相关警告，但Duende发现"源码仍在被持续克隆"，说明这些包依然被开发者用于生产环境。
目前，Duende IdentityServer社区版与企业版功能相同，可供个人、预计年营业额低于100万美元的营利性公司，以及年预算低于100万美元的非营利组织免费使用。
尽管如此，RSK的Clymer对此并不认可。他表示："这种方式只适用于少数组织和早期初创企业。当你的初创业务开始腾飞时，你不会希望突然收到一张账单，或者被迫进行昂贵的平台迁移。企业需要的是确定性，而不是大幅涨价的年费。Open.IdentityServer承诺'永久免费'，这是我们在宣言中作出的郑重承诺，这不是短期项目，我们要长期投入、保护并发展这个平台。"
"分叉项目的可持续性，取决于是否有一支开发团队愿意长期负责……而我们愿意。"
RSK对开源的纯粹性充满信心，并表示Open.IdentityServer的推出使IdentityServer的核心回归了其最初的开源根基。该开源模式为组织提供了免费、可用于生产的核心功能，并可按需叠加商业产品、服务和企业级支持。
对于迁移问题，Clymer表示团队已有充分准备："操作非常简便，我们的团队制作了详细的教程视频，展示如何在10分钟内完成从Duende的迁移。Open.IdentityServer的数据库结构与Duende完全兼容，无需迁移数据库，只需更换NuGet包即可基本完成。"对于全新项目，平台提供了开箱即用的模板，搭配配置管理UI界面，开发者可在30分钟内完成部署。
在开源生态参与方面，RSK长期活跃于IdentityServer、OpenIddict和Umbraco CMS等开源项目。Open.IdentityServer现已在GitHub上发布，Rock Solid Knowledge负责维护公开仓库与文档，并欢迎社区成员贡献代码。
Q&A
Q1：Open.IdentityServer和IdentityServer4有什么区别？
A：Open.IdentityServer是由RSK基于IdentityServer4代码库分叉而来的开源项目，采用Apache 2.0许可证，支持OpenID Connect与OAuth 2.0框架，提供Token身份验证、单点登录和API访问控制等功能。与IdentityServer4不同，Open.IdentityServer承诺永久免费开源，并由专业团队持续维护更新，解决了原项目存在的安全漏洞和文档过时等问题。
Q2：从Duende迁移到Open.IdentityServer难吗？
A：迁移过程非常简便。Open.IdentityServer的数据库结构与Duende完全兼容，无需执行数据库迁移操作，只需替换NuGet包即可基本完成迁移。RSK团队还制作了详细教程视频，演示如何在10分钟内完成从Duende的迁移。对于全新项目，平台提供内置模板和配置管理界面，开发者可在30分钟内完成初始部署。
Q3：Open.IdentityServer如何保证长期维护和可持续发展？
A：RSK在宣言中明确承诺Open.IdentityServer核心功能将永久免费开源，商业扩展产品和企业服务作为可选项，所产生的收入用于支撑免费核心的持续运营。创始人Andrew Clymer强调，Open.IdentityServer不是副业项目，而是RSK商业模式的基础，这为团队提供了持续维护的充分动力，确保平台保持安全、现代化并得到积极维护。
