小团队自建单点登录：Burrow五步部署OIDC身份中心

自托管服务玩得稍久一点，账号就会失控：Grafana一套账号、监控告警一套、内部Wiki又是一套，同事离职你得挨个系统去删人。商用身份服务按人头收费，小团队用不起；老牌开源方案Casdoor、Keycloak功能是全，但配置项多到劝退。

最近GitHub上出现了一个更「小」的选择：Burrow，一个专为小团队和自托管场景设计的轻量OIDC身份提供方，Go语言编写，MIT协议开源，九月底刚发布，官方地址：Burrow（https://github.com/ArkGravity/burrow）。它的定位非常克制——单组织、单实例，把账号、共享单点登录和应用访问集中在一个服务里管完。

功能清单不长，但该有的都有：标准OIDC授权码流程，默认强制PKCE S256；密码登录加可选的两步验证，TOTP一旦开启就对全部账号生效；用户、分组、自定义角色、权限、变更审计一应俱全，还有一个应用门户，登录后能直接看到自己有权访问哪些服务。界面支持中文和英文，自带浅色、深色和跟随系统三套主题。

架构上它追求「一个文件跑起来」：Go后端和React前端打成单个二进制，生产环境配PostgreSQL，开发测试直接用SQLite，不依赖Redis，也没有消息队列。对维护者来说，少一个组件就少一个故障点。

部署走Docker Compose最省事，五步能跑通。第一步，到官方仓库的Releases页面下载部署包并解压：tar -xzf burrow_v0.1.4_deploy.tar.gz，进入目录后复制环境变量模板：cp .env.example .env。第二步，编辑.env，这一步最关键：把运行模式改成生产，设置HTTPS的issuer地址，master-key和管理员密码务必换成自己生成的强随机值，PostgreSQL密码要保持POSTGRES_PASSWORD和BURROW_DB_DSN两处一致。第三步，先校验配置：docker compose --profile local-db config --quiet，没有报错再拉镜像并启动：docker compose --profile local-db pull，然后docker compose --profile local-db up -d --no-build --pull never。第四步，浏览器打开你配置的HTTPS域名，用admin和设置好的管理员密码登录，第一件事就是改掉临时密码。第五步，前面挂一个TLS反向代理，然后在后台创建应用、填好OIDC回调地址，Grafana、夜莺这类支持OIDC的服务挨个接入就行。

有两点边界要先知道，免得部署完才发现不合用：Burrow不做上游身份联邦——你不能拿它去接微信、GitHub登录再转发给下游；也没有Refresh Token和跨应用统一登出，各应用自己管会话。它是「往内收口」的身份中心，不是「往外打通」的认证网关。想清楚这一点，它反而因为不贪功能而好维护。

我的看法：这是个几十颗星的新项目，生产环境大面积铺开前，建议先在测试域名跑一两周，观察登录高峰和日志再迁正式服务。但方向是对的——自托管圈子缺的从来不是功能最强的身份系统，而是坏了能看懂、备份能带走、升级不伤筋动骨的那一个。Go单二进制加Compose的组合，恰好踩在这个需求上。

如果你正被七八套自建系统的账号管理折磨，周末花半小时把它跑起来，值得。