Zitadel v3.0.0-rc.1 版本深度解析：身份管理系统的重大升级

Zitadel 是一个开源的云原生身份与访问管理（IAM）平台，为企业提供用户认证、授权和身份管理的一站式解决方案。作为即将发布的 v3.0.0 版本的首个候选版本，rc.1 带来了多项重要变更和新特性，值得开发者和管理员重点关注。

核心变更概览

本次版本升级最显著的变化是许可证模型的调整。Zitadel 从原先的 Apache 2.0 许可证变更为 AGPL3 许可证，这一变更将影响项目的使用和分发方式。AGPL3 许可证要求任何通过网络使用该软件修改版本的服务都必须提供源代码，这体现了项目对开源共享的进一步承诺。

数据库支持方面，v3.0.0-rc.1 移除了对 CockroachDB 的支持，全面转向 PostgreSQL。这一决策简化了数据库架构，减少了维护复杂性，同时也意味着现有使用 CockroachDB 的用户需要进行数据迁移。

关键新特性解析

增强的动作系统（Actions V2）

动作系统是 Zitadel 中用于扩展和自定义身份验证流程的重要功能。新版本中，动作管理界面已集成到管理控制台，使配置更加直观。API 方面，动作管理接口从 v3 alpha 迁移至 v2 beta 版本，提供了更稳定的编程接口。

特别值得注意的是，动作系统现在支持在用户认证后获取刷新令牌的上下文，这为开发更复杂的认证后流程提供了可能。此外，修复了外部账户链接时首次登录不触发"外部认证"流程的问题，提升了系统行为的可预测性。

Web 密钥管理

OIDC Web 密钥管理功能是另一个重要新增特性。通过管理控制台，管理员现在可以方便地查看和管理用于签名的密钥对。与动作系统类似，Web 密钥管理的 API 也从 v3 alpha 迁移至更稳定的 v2 beta 版本。

权限检查框架升级

新实现的权限检查框架增加了对系统用户的支持，这是企业级部署场景下的重要增强。系统用户通常用于自动化流程和服务间通信，这一改进使得权限管理更加灵活和全面。

管理控制台改进

Zitadel 管理控制台在本次更新中获得了多项功能增强：

• 支持通过功能标志启用 V2 API 的用户创建功能
• 新增会话列表查看功能
• 全面支持所有当前可用的功能标志
• 实现了通用的功能切换机制，使功能管理更加灵活

特别值得一提的是 SAML 应用的登录界面指定功能，管理员现在可以为每个 SAML 应用单独配置登录界面，这在多租户场景下特别有用。

性能与稳定性优化

在性能方面，本次更新包含多项重要改进：

• 事件存储查询优化，通过改进查询提示提升性能
• 会话 API 的可扩展性显著提升
• 投影处理程序添加了 Prometheus 指标，便于监控系统性能
• 减少了未知路径的度量和追踪基数，降低监控系统负载

安全增强

安全方面的重要改进包括：

• 原生应用现在允许在环回地址上使用 HTTPS，提升了开发环境的安全性
• 改进了 WebAuthn 错误处理，提供更清晰的用户反馈
• 支持导入使用 MD5 加盐的密码哈希，便于从其他系统迁移用户数据

国际化支持

本次更新新增了对罗马尼亚语的支持，使 Zitadel 能够更好地服务全球用户。多语言支持是身份管理系统的重要特性，有助于提升终端用户体验。

开发者体验改进

开发者会注意到以下改进：

• 更清晰的错误提示，特别是在令牌交换和权限检查场景
• 服务名称现在可配置用于度量和追踪，便于在复杂部署中识别服务实例
• 改进了 Docker 镜像，添加了 EXPOSE 指令，遵循最佳实践

升级注意事项

对于计划升级到 v3.0.0-rc.1 的用户，需要注意以下事项：

1. CockroachDB 用户需要提前规划迁移到 PostgreSQL 的方案
2. 使用动作系统或 Web 密钥管理 API 的应用需要适配新的 v2 beta API
3. 权限检查逻辑的变更可能影响现有集成
4. 许可证变更可能影响部署策略

Zitadel v3..0-rc.1 作为主要版本更新，带来了架构上的重要改进和新特性，为身份管理系统设定了新的标准。虽然仍处于候选发布阶段，但已经展现出强大的功能和稳定性，值得关注身份管理领域的开发者和企业评估采用。