2026 年面向 Node.js B2B SaaS 应用的最佳企业 SSO 与 SCIM 平台

企业身份是 B2B SaaS 产品正在向高端市场迈进的最清晰信号之一。

小客户通常对邮箱/密码、魔法链接、Google 登录和基础的角色访问控制感到满意。

企业客户会问不同的问题：

• 员工能否使用 Okta 或 Microsoft Entra ID 登录？
• 你们是否同时支持 SAML 2.0 和 OIDC？
• IT 管理员是否可以在不开支持工单的情况下配置 SSO？
• 我们是否可以通过 SCIM 自动预配置和取消配置用户？
• IdP 组能否映射到你们应用中的角色？
• 能否为一个组织强制启用 SSO，而不影响其他租户？
• 当员工在目录中被禁用后，活动会话会怎样？
• 每个企业连接要花多少钱？

这些不是普通的登录问题，而是组织身份生命周期问题。

对于 2026 年的 Node.js B2B SaaS 团队来说，最强的选项是 WorkOS、Stytch、Descope、Frontegg 和 Ory Polis。正确选择首先取决于一个架构决策：你是想将企业身份添加到现有认证栈中，还是用 B2B 原生身份平台替换现有认证栈？ 这个区别比大多数功能清单更重要。

快速推荐

• WorkOS — 你的 Node.js 应用已有认证，主要需要企业 SSO、目录同步、管理门户以及相关企业功能作为模块化附加组件。
• Stytch — 你想要一个 B2B 优先的认证平台，在一个相对透明的用量模型下提供组织、SAML/OIDC、SCIM、RBAC、MFA、JIT 配置和可嵌入管理门户。
• Descope — 认证工作流、租户级策略、自助 SSO 设置以及可视化/无代码编排是产品的核心。
• Frontegg — 面向客户的管理是重要产品需求；其嵌入式管理门户非常适合租户管理员在产品内管理用户、SSO、SCIM、角色和令牌。
• Ory Polis — 自托管、数据主权、协议控制或 SAML 到 OIDC 桥接很重要。它是最面向基础设施的选项。

SSO 与 SCIM 解决不同的问题

生产级设计应将 SSO 和 SCIM 视为两个独立的控制平面。

企业 SSO

SSO 回答的问题是：该用户如何认证？

常见的企业协议是 SAML 2.0、OpenID Connect，以及许多 OIDC 流程背后的 OAuth 2.0。典型的 B2B SSO 流程如下：

User
  |   (redirect to enterprise IdP)
  v
Your Node.js SaaS
  |   (SAML/OIDC assertion)
  v
Enterprise identity provider (Okta, Microsoft Entra ID, Google Workspace, Ping Identity)
  |   (validated identity assertion)
  v
Map identity -> organization -> membership -> application session

SCIM / 目录同步

SCIM 回答的问题是：谁应该拥有账户，他们在哪些组里，他们是否仍应拥有访问权限？

典型的生命周期流程如下：

Customer directory
  |  employee created / updated / group changed / disabled
  v
SCIM / Directory Sync provider
  |  create member / update attributes / map groups to roles / disable access
  v
Your tenant membership model

公司可以在没有 SCIM 的情况下使用 SSO，也可以在不要求每个用户通过 SSO 认证的情况下使用 SCIM。对企业 SaaS 而言，二者结合会强得多：SSO 控制认证，SCIM 控制生命周期。

2026 年对比表

平台	最适合	SAML + OIDC	SCIM / 目录同步	自助管理	Node.js 适配	2026 年公开定价信号
WorkOS	为现有认证栈添加企业功能	是	是	强	优秀	1–15 个连接，每个 SSO 连接 $125，每个目录同步连接 $125
Stytch	一体化 B2B 认证	是	是	强	优秀	$0 PAYG 包含 5 个 SSO/SCIM 连接；额外连接每个 $125
Descope	工作流驱动的 B2B CIAM	是	Growth+ 套餐是	强	优秀	Free：3 个 SSO；Pro：$249/月；Growth：$799/月，含 SCIM
Frontegg	嵌入式客户管理	是	是	非常强	强	$0 PAYG 包含 5 个企业 SSO/SCIM 连接；超额通过计算器/报价
Ory Polis	自托管 / 协议控制 / SAML 到 OIDC 桥接	是	是	强	优秀	开源自托管可用；托管完整 SAML/SCIM 为企业版定制价

1. WorkOS：现有认证栈的最佳企业身份附加组件

WorkOS 是当你已经喜欢现有认证架构时最干净的答案。你的应用可能已经在使用 Auth.js、Clerk、Firebase Auth、Supabase Auth、自定义会话系统或较旧的内部服务。你不一定想迁移每个用户，只需要满足企业需求。

其独立 SSO API 充当应用与企业身份提供商之间的中间件，并且 WorkOS 明确说明 SSO API 不管理应用的用户数据库。这种分离让你可以在为特定组织添加 SAML/OIDC 的同时保留现有用户和会话模型。

WorkOS Node.js 集成

当前 Node.js SDK 是：

npm install @workos-inc/node

一个简化的组织范围授权流程如下：

import { WorkOS } from "@workos-inc/node";

const workos = new WorkOS(process.env.WORKOS_API_KEY!);

const authorizationUrl = workos.sso.getAuthorizationUrl({
  organization: organization.workosOrganizationId,
  clientId: process.env.WORKOS_CLIENT_ID!,
  redirectUri: "https://app.example.com/auth/sso/callback"
});

重要的设计细节是组织标识符。不要仅根据用户的邮箱域决定租户成员关系。在回调后，验证返回的身份确实属于发起认证流程的组织——组织可能包含邮箱域与公司主域不同的访客用户。

WorkOS 目录同步

目录同步将多个目录提供商规范化到一个集成之后。你的应用处理目录、目录用户、目录组和目录事件，WorkOS 可以通过 webhook 或 Events API 交付变更。

当前文档还包含一个值得注意的 2026 年 API 变更：对于较新的团队，目录用户上的 groups 字段已弃用，应使用用户过滤器查询目录组，而不是假设每个成员关系都会包含在无界用户负载中。

WorkOS 2026 年 8 月定价

对于单点登录和目录同步（公开层级相同）：

• 1–15 个连接：每个 $125
• 16–30：每个 $100
• 31–50：每个 $80
• 51–100：每个 $65

将 SSO 和目录同步视为两个独立的商业能力。一个企业客户使用一个 SSO 连接加一个目录同步连接，意味着按标价产生两个产品连接费用——对企业套餐客户是可管理的，但如果你不小心把企业身份打包到低价套餐中，这就是真实成本。

WorkOS 最适合的场景

当现有认证已经稳定、SSO 和 SCIM 是企业附加功能、需要自助上线、希望按连接透明定价，以及预计之后会添加审计日志或其他 WorkOS 功能时，使用 WorkOS。

2. Stytch：最佳 B2B 原生一体化性价比

Stytch 在你愿意让提供商成为认证架构更大一部分时更具吸引力。其 B2B 模型以组织为原生：当前产品包括按量付费下的无限组织、SAML 和 OIDC SSO、SCIM、组织级认证策略、MFA、RBAC、JIT 配置、M2M 认证、预构建登录 UI 和可嵌入管理门户。

为什么组织原生认证很重要

许多认证系统从用户开始：

user -> session -> application

B2B SaaS 通常需要：

user
  +--> membership in organization A -> role A
  +--> membership in organization B -> role B

每个组织可能还有不同的允许登录方式、MFA 策略、SSO 连接、SCIM 连接和角色映射。如果身份提供商明确建模这些，你的应用需要更少的变通方案。

Stytch 管理门户

Stytch 的管理门户让客户管理员从嵌入在产品中的 UI 管理身份配置，包括 SSO 和 SCIM。这取代了最不可扩展的企业 SaaS 工作流：

customer IT -> customer success -> engineering -> configure SAML -> test -> email customer

变成：

customer IT -> self-service admin portal -> provider validation -> active connection

工程团队应该在连接真正出问题时参与，而不是每次客户购买 SSO 时都参与。

Stytch 2026 年 8 月定价

当前 B2B PAYG 计划从 $0 开始，包含 10,000 名月活跃用户和 AI 代理、无限组织、5 个 SSO 或 SCIM 连接、1,000 个 M2M 令牌以及主要认证和授权套件。额外 SSO 或 SCIM 连接标价为每个 $125——这是一个很强的切入点，因为前几个企业集成可以在没有固定企业平台账单的情况下测试。

Stytch 最适合的场景

当你在构建新的 B2B SaaS 产品、组织是身份模型的核心、希望将认证、SSO、SCIM、MFA、RBAC、M2M 和客户管理 UI 放在一起、倾向于更少的身份供应商，并且前五个包含的企业连接对早期定价有实质帮助时，使用 Stytch。

3. Descope：工作流驱动的企业认证最佳选择

Descope 采用以编排为导向的方法。它不把认证视为固定端点，而是强调可配置的用户旅程和租户级流程。Descope 目前支持 SAML、OIDC、租户特定 SSO、每个租户多个 SSO 配置、自助 SSO 设置套件、组和属性映射、JIT 配置、SCIM 2.0、管理门户，更高级套餐还支持 RBAC 和细粒度授权，以及 Node.js 管理 SDK。

Node.js SSO 管理

npm i --save @descope/node-sdk

Descope 的 Management SDK 可以配置租户 SSO、加载配置、管理映射和生成配置链接——当企业上线是你自己配置工作流的一部分时非常有用。

Descope SCIM 行为

Descope 支持 SCIM 2.0，用于创建、更新和停用用户；创建、更新和删除组；以及将用户分配到组。一个运维细节：SCIM 变更不一定立即使已激活的会话失效——它们会在下一次登录或令牌刷新时生效。这一原则也适用于 Descope 之外：SCIM 更新的是你的身份状态，但你的应用必须定义已签发的会话多快失去权限。

Descope 2026 年 8 月定价

Free Forever — $0，7,500 MAU，10 个活跃租户，3 个 SSO 连接，无 SCIM。

Pro — 起价 $249/月（按年计费），10,000 MAU，35 个活跃租户，5 个 SSO 连接，额外 SSO 连接 $50，自助 SSO 设置，无 SCIM。

Growth — 起价 $799/月（按年计费），25,000 MAU，100 个活跃租户，10 个 SSO 连接，额外 SSO 连接 $50，SCIM 配置，管理门户，细粒度授权，零停机 SSO 迁移，外部审计连接器，多区域数据驻留。

其含义是：你可以相当早地用 Descope 引入 SSO，但完整 SCIM 是 Growth 套餐的决定。

Descope 最适合的场景

当认证流程因客户或上下文差异很大、你看重视觉化策略/编排、客户 IT 自助服务很重要、需要每个租户多个 SSO 配置，并且希望先上 SSO，随着产品向高端市场推进再添加 SCIM 时，使用 Descope。

4. Frontegg：最佳面向客户的企业管理体验

Frontegg 的范围比 SSO API 更广。其定位与面向客户的 B2B SaaS 管理紧密相关：SSO、SCIM、组织/租户、角色和权限、用户管理、M2M、管理门户组件、安全控制以及权益/订阅能力。它最强的差异化是管理门户。

自助 SSO 和 SCIM

Frontegg 允许租户管理员通过自助门户配置 SAML 或 OIDC 连接，当前产品页面还描述自助 SCIM 配置。企业身份实现有两种用户体验——员工登录体验和客户 IT 管理员配置体验。团队通常只关注前者，但后者可能消耗更多的工程和支持时间。

Frontegg 2026 年 8 月定价

当前 B2B PAYG 页面从 $0/月开始，包含 7,500 名月活跃用户、5 个企业连接（SSO/SCIM）、无限组织和自定义域名。公开页面使用交互式计算器计算更高用量，没有公开简单的固定超额费用数字——所以不要把旧的按连接价格复制到采购电子表格中；在购买时确认实时计算器或报价。

Frontegg 最适合的场景

当客户管理体验是产品的重要组成部分、希望在 SaaS 内部拥有身份和账户管理、偏好广泛的 B2B 用户管理平台而非狭窄的 SSO API，并且产品需要许多超越登录的委派管理功能时，使用 Frontegg。

5. Ory Polis：自托管和协议控制的最佳选择

Ory Polis 是架构上最独特的选项。它是一个身份联邦层，可以将企业 SAML 桥接为现代应用更容易消费的 OIDC/OAuth 风格流程，同时还支持 SCIM 目录同步。对于 Node.js 团队，Ory 记录了两种集成模式：将 Polis 作为独立服务运行，或将 Polis 作为 npm 库嵌入 Node.js 应用。

为什么 SAML 到 OIDC 桥接很重要

SAML 在企业环境中极为常见，但它是一种 XML 重度协议，有大量互操作边界情况。现代 SaaS 应用可能更希望其内部认证契约看起来像 OIDC。借助联邦桥接，应用可以在请求到达 Node.js 应用之前，将多个 SAML/OIDC 提供商规范化为一个现代联邦接口。

Ory 部署选项

Ory Polis 可以开源自托管，可以在 Ory Enterprise License 下受支持地自托管部署，也可以通过 Ory Network 使用。这使得它值得在私有云、受监管环境、主权要求、本地部署以及希望检查或控制联邦层的团队中考虑。

Ory 2026 年 8 月定价

Ory Network 层级包括 Production $770/年、Growth $9,350/年和 Enterprise（定制）。对比表显示，Growth 上的 B2B SSO 仅支持 OIDC，而一键 SAML SSO、SCIM、目录同步和无限组织位于 Enterprise 上。Ory Polis 开源可用于自托管，而受支持的自托管生产环境为定制定价。

因此，如果你的需求是“为许多企业租户提供托管 SAML + SCIM”，就把 Ory 视为企业采购对话。如果你的需求是“我们希望拥有联邦服务”，Polis 会变得独特得多。

2026 年 8 月 Ory 域验证重要变更

Ory 于 2026 年 8 月 12 日发布了一项相关 SSO 安全变更：组织 SSO 域现在可以使用 DNS TXT 记录进行验证，现有域必须在 2026 年 10 月 31 日前完成验证——此后，未验证域将不再将登录路由到组织。这是企业 SSO 发现不应依赖未验证邮箱域映射的好例子。域是一个路由提示，而不是组织成员关系的证明。

Ory Polis 最适合的场景

当自托管很重要、你想要协议级控制、SAML 到 OIDC 联邦可以简化内部架构、需要灵活部署或数据驻留，并且团队比一般 SaaS 初创公司拥有更多基础设施专长时，使用 Ory Polis。

架构：保持供应商中立的企业身份模型

不要让第三方提供商的对象模型成为你应用的主要租户模型。你的数据库仍应拥有租户、应用用户、组织成员关系、角色、SSO 连接、目录连接、外部身份和配置状态之间的规范关系。

export interface EnterpriseIdentityBinding {
  tenantId: string;
  provider: "workos" | "stytch" | "descope" | "frontegg" | "ory";
  providerOrganizationId: string;
  ssoConnectionId?: string;
  directoryConnectionId?: string;
  verifiedDomains: string[];
  ssoRequired: boolean;
  provisioningMode: "manual" | "jit" | "scim";
  createdAt: string;
  updatedAt: string;
}

精确模式不重要——所有权边界才重要。你的应用应该能够回答 “哪个租户拥有这个身份连接？”，而无需从邮箱地址重建答案。

不要仅凭邮箱域授权

这是 B2B SaaS 中反复出现的安全错误：

// Bad pattern
if (user.email.endsWith("@acme.com")) {
  user.tenantId = ACME_TENANT_ID;
}

问题包括承包商使用不同域、子公司使用多个域、被收购公司保留旧域、访客使用外部域，以及域随时间变化。更安全的流程是：

1. 解析候选组织。
2. 使用提供商范围的组织/连接 ID 开始认证。
3. 验证回调。
4. 确认返回的身份属于预期组织。
5. 从你的数据库/提供商绑定解析成员关系。
6. 应用授权。
7. 签发应用会话。

邮箱域可以帮助发现，但不应该成为授权边界。

JIT 配置 vs SCIM

许多团队首先上线 JIT 配置，因为它更简单。

JIT — 当用户通过企业 SSO 连接成功登录时创建用户。优点：设置很少，无需单独目录集成，上线快。缺点：用户存在性只能在登录时发现，组/生命周期数据可能有限，如果会话保持活跃，离职处理可能较慢，且休眠账户可能保留。

SCIM — 客户目录主动推送生命周期变更。优点：首次登录前预配置用户、集中禁用用户、同步个人资料属性和组、自动化入职/离职。缺点：需要配置另一个连接，更多生命周期状态和故障模式，而且会话失效仍需显式设计。

一个实用的推进方式是：阶段 1 SSO + JIT → 阶段 2 组到角色映射 → 阶段 3 SCIM 配置 → 阶段 4 即时访问撤销和生命周期可观测性。

会话撤销是隐藏需求

想象以下过程：

09:00 user signs in
09:01 application issues a 24-hour session
10:00 employee is terminated
10:01 directory disables the user through SCIM

员工还能继续使用 24 小时应用会话吗？如果能，你的取消配置 SLA 就不是一分钟，而是接近一天。对于更高安全要求的客户，考虑短期访问令牌、刷新令牌验证、集中会话撤销、在敏感操作上检查成员状态、安全事件驱动的会话失效，以及提供商 webhook/事件处理。除非应用会话层真正执行了，否则不要宣传“即时取消配置”。

组映射需要稳定的内部角色模型

企业客户会要求映射诸如 Acme-SaaS-Admins、Acme-SaaS-Analysts 和 Acme-SaaS-ReadOnly 这类组。不要把这些外部组名散布到应用授权逻辑中——通过租户特定映射将它们规范化为内部角色/权限集。这样客户可以在不迫使你重新设计授权的情况下更改组名。

自助上线应成为选择标准

提供商可以在技术上支持 SAML，却仍提供糟糕的企业 SaaS 产品。真正的运营测试是：在客户使用新 SSO 连接之前，贵公司需要多少人介入？

成熟流程应接近：

Enterprise plan enabled
  -> secure setup link or embedded Admin Portal
  -> customer IT chooses IdP
  -> metadata / credentials configured
  -> domain / certificate / redirect validation
  -> connection test
  -> activate for tenant

人工的 Slack 消息和复制 XML 元数据无法扩展。因此，应将 WorkOS 管理门户、Stytch 管理门户、Descope SSO 设置套件、Frontegg 管理门户和 Ory 自助上线作为产品功能评估，而不仅是文档便利性。

定价：为企业的结果收费

企业 SSO 和 SCIM 通常昂贵，因为其价值不是按 API 调用衡量的——这项能力可能解锁 $20,000、$100,000 或更大的年度合同。这使得按连接的基础设施定价在许多情况下是合理的。危险的是错误的打包：

Your Enterprise add-on revenue: $100/month
Vendor SSO + SCIM cost:        $250/month
Support time:                  additional

这是产品打包错误，而不是基础设施错误。在选择提供商之前，请建模企业客户数量、每个客户平均 SSO 连接数、需要 SCIM 的客户、每个客户多个 IdP、MAU 定价、环境/预发布连接规则、管理门户附加组件、支持/SLA 要求以及预期的企业套餐收入。

示例成本场景

以下是使用当前公开标价的简化示例，而非协商后的企业报价。

• WorkOS，10 个客户，仅 SSO： 10 个 SSO 连接 × $125 = $1,250/月。
• WorkOS，10 个客户，SSO + 目录同步： 10 × $125 SSO + 10 × $125 目录同步 = $2,500/月。
• Stytch，10 个 SSO/SCIM 连接总数： 当前 B2B PAYG 包含前 5 个；剩余 5 个 × $125 = $625/月（实际总额还取决于活跃用户和其他用量）。
• Descope Growth，10 个 SSO 连接 + SCIM： 起价 $799/月，包括 10 个 SSO 连接和 SCIM。

重点不是某个供应商普遍更便宜——计费单位不同。应比较总体架构成本。

你应该何时自己构建 SAML 或 SCIM？

几乎不要在开始阶段这样做。生产级企业联邦栈需要的不仅仅是解析 SAML 断言：元数据摄取、签名证书轮换、加密断言、ACS/签发者/受众验证、RelayState 处理、时钟偏差边界情况、SP 和 IdP 发起的登录、域发现、每个租户多个 IdP、属性和组映射、SCIM 用户/组端点、过滤器语义、分页、Bearer Token 生命周期、重试/幂等性、自助上线、诊断，以及客户特定的 IdP 文档。

当企业联邦本身是战略基础设施、本地部署是强制要求，或规模使供应商经济不可接受时，才值得自己构建。对大多数 SaaS 团队来说，这不应是投入工程差异化的第一处。

推荐的 Node.js 实现模式

即使使用托管提供商，也要在企业身份周围设置适配器边界：

export interface EnterpriseIdentityProvider {
  createSsoSetupLink(input: { tenantId: string; returnUrl: string }): Promise<{ url: string }>;
  startSso(input: { tenantId: string; redirectUri: string }): Promise<{ url: string }>;
  consumeSsoCallback(input: { code: string; expectedTenantId: string }): Promise<{
    externalUserId: string;
    email: string;
    tenantId: string;
  }>;
  listDirectoryUsers(input: { tenantId: string; cursor?: string }): Promise<{
    users: DirectoryUser[];
    nextCursor?: string;
  }>;
}

该接口有意以应用为导向。你产品的其余部分不应需要知道 SAML 断言是通过 WorkOS、Stytch、Descope、Frontegg 还是 Ory 传来的。

需要监控的运营指标

企业身份故障往往会成为 P1 支持工单，因为客户可能把整个公司锁在门外。至少跟踪：SSO 登录成功率、按租户的 SSO 回调失败、IdP 错误分布、证书到期警告、目录同步延迟、SCIM 请求错误率、最近一次成功配置事件、取消配置延迟、被禁用用户的活跃会话数、组映射失败、连接健康以及 webhook/事件处理积压。

仅仅全局认证成功率是不够的——你需要租户级可见性。一个损坏的 SAML 配置可能只影响一个客户，而所有聚合图表仍然都是绿色。

按 SaaS 阶段选择购买决策

早期 B2B SaaS — 一两个企业潜在客户要求 SAML。如果保留当前认证，优先 WorkOS；如果整合认证，优先 Stytch；如果认证工作流需要定制，优先 Descope。不要为了一个合同构建通用 SAML 平台。

拥有 10–50 家企业客户的成长型 SaaS — 自助设置比首次集成速度更重要。评估管理门户质量、连接诊断、支持工作流、SCIM 生命周期行为、组映射，以及 25/50/100 个连接时的定价。在这个阶段，按连接成本电子表格很重要。

安全敏感或受监管的 SaaS — 优先考虑会话撤销语义、数据驻留、可审计性、SSO 强制执行、已验证域、目录生命周期保证、部署模式和企业 SLA。当自托管或主权不可协商时，Ory 会变得更有趣。

构建完整客户管理层的 SaaS — 当身份只是更广泛嵌入式管理体验的一部分时，Frontegg 值得评估。Stytch 和 Descope 也因 B2B 身份模型超越狭窄的 SAML 桥接而成为强候选。

最终建议

对于 2026 年大多数 Node.js B2B SaaS 团队：

• WorkOS 是如果你已有认证，需要快速添加企业 SSO 和目录同步的最佳默认选择。
• Stytch 提供了最强的 B2B 原生套餐之一，如果你希望组织、SSO、SCIM、RBAC、MFA、M2M 和管理门户由一个提供商提供。
• Descope 在企业认证工作流繁重，且团队希望配置复杂租户旅程而非硬编码时最合适。
• Frontegg 在租户管理员需要广泛的嵌入式账户管理体验，而不仅是 SSO 时最强。
• Ory Polis 在自托管、联邦层控制或 SAML 到 OIDC 规范化是战略要求时最具吸引力。

核心架构规则很简单：

SSO 证明身份。SCIM 控制生命周期。你的租户模型控制授权。

不要把这三项责任压缩成检查邮箱域。正是这种分离，能让企业身份在 SaaS 从五个客户增长到五百个客户时保持可管理。

FAQ

2026 年 SAML 仍然必要吗？

对于面向大型企业销售的 B2B SaaS 来说，是的。OIDC 是现代且对开发者友好的协议，但许多企业身份环境仍要求 SAML。严肃的企业 SSO 策略通常应同时支持两者。

如果我已经有 SSO，还需要 SCIM 吗？

不一定。SSO 负责认证用户，而 SCIM 负责自动化预配置、资料/组同步和取消配置。JIT 配置对较小的客户可能够用，但企业 IT 团队通常希望用 SCIM 进行员工生命周期控制。

我可以在不替换现有认证系统的情况下添加 WorkOS SSO 吗？

可以。这正是它最突出的用例之一。WorkOS 将其独立 SSO API 记录为中间件，用户数据库管理留给你的应用。

前几个企业客户最便宜的提供商是哪个？

根据当前公开定价，Stytch 和 Frontegg 的 PAYG 入门层级都包含五个 SSO/SCIM 风格企业连接，而 Descope Free 包含三个 SSO 连接。实际总成本取决于 MAU、SCIM 需求和身份栈其余部分。

SCIM 停用用户后是否应立即将其登出？

对于高安全性应用，这是值得追求的目标，但不要假设它会自动发生。现有访问被撤销的速度由你的应用会话架构决定。

2026 年 8 月 27 日核实的来源

• WorkOS Pricing: https://workos.com/pricing
• WorkOS Single Sign-On Docs: https://workos.com/docs/sso
• WorkOS Directory Sync Docs: https://workos.com/docs/directory-sync
• Stytch Pricing: https://stytch.com/pricing
• Stytch B2B Authentication: https://stytch.com/b2b
• Descope Pricing: https://www.descope.com/pricing
• Descope B2B: https://docs.descope.com/b2b
• Frontegg Pricing: https://frontegg.com/pricing
• Frontegg SSO + SCIM: https://frontegg.com/product/sso-scim
• Ory Polis: https://www.ory.com/polis
• Ory Pricing: https://www.ory.com/pricing
• Ory Changelog — August 12, 2026: https://changelog.ory.com/announcements/ory-network-ory-oathkeeper-ory-polis-ory-elements-v26-3-6-released