身份验证与授权

openziti/ziti

零信任网络平台，通过加密身份、基于策略的访问和端到端加密使服务不可见。替代VPN，保护物联网，无需开放端口即可连接多云环境。

authelia/authelia

# 面向 Web 应用的单点登录多因素门户。已获 OpenID 认证™，并已为后量子密码学做好准备。

keycloak/keycloak

开源身份与访问管理，适用于现代应用和服务

dbeaver/dbeaver

免费通用数据库工具及 SQL 客户端

horizon3ai/vcenter_saml_login

一种从 vCenter 备份中提取 IdP 证书并以管理员身份登录的工具

nihal799/zttp

Zero-trust SSH bastion proxy with Vault-backed key management, RBAC policy enforcement, full session recording, and admin TUI for auditable access to…

ory/oathkeeper

一个云原生身份与访问代理 / API（IAP）和访问控制决策 API，用于对传入的 HTTP(s) 请求进行认证、授权和修改。灵感源自 BeyondCorp / 零信任白皮书。使用 Go 编写。

freerdp/freerdp

FreeRDP 是一个免费的远程桌面协议库和客户端

themehackers/cve-2025-29972

CVE-2025-29927 是一个影响 Next.js 的关键安全漏洞，Next.js 是一个用于构建全栈 Web 应用的流行 React 框架。该漏洞允许攻击者绕过在 Next.js 中间件中实现的授权检查，可能授予对应用程序敏感区域（如管理页面或用户仪表板）的未授权访问。

xthalach/cve-2024-11318

此仓库详细介绍了AbsysNet 2.3.1中的IDOR漏洞，该漏洞允许远程攻击者通过/cgi-bin/ocap/端点暴力破解会话ID。成功利用可能危及活动用户会话，在HTML中暴露认证令牌。攻击仅限于活动会话，如果用户注销则终止。

bp2008/dahualoginbypass

利用CVE-2021-33044和CVE-2021-33045漏洞无需认证登录Dahua摄像头的Chrome扩展。

ovh/the-bastion

SSH 访问的身份验证、授权、可追溯性和可审计性。

goauthentik/authentik

提供开源SSO和身份提供商功能，支持SAML、OAuth2/OIDC、LDAP和RADIUS，用于集中式身份验证、授权与访问管理。

cosignet/sdk

轻量级 TypeScript + 零依赖 Python 客户端及其配方，用于将高风险操作置于绑定有效负载的通行密钥批准之后。

opennhp/opennhp

一个轻量级、以密码学为驱动、开源的工具包，旨在为AI驱动世界中的基础设施、应用和数据实施零信任安全。

0dayninja/cve-2021-3560

Polkit D-Bus 认证绕过漏洞利用

quarkslab/android-hardware-attestation-demo

一个 Android 硬件认证演示

aj2108/cve-2026-8239

关于 Concrete CMS 中 IDOR 漏洞的安全分析报告：get_rating 端点因缺少授权而暴露对话评分，涵盖根本原因、攻击场景及修复方案。