本文由 Huifer 撰写，他是 TanStack Ship 的独立开发者和维护者。 2026 年 5 月，我在 30 天内并行运行了三种 SaaS 身份验证设置：Auth0（Essentials）、Clerk（Pro）以及在 Cloudflare Workers + KV 上自建（Roll-your-own）的 Better Auth。工作负载完全相同：带验证的邮箱/密码登录、Google 和 GitHub 的 OAuth、TOTP MFA、版本化的边缘会话以及双角色的 RBAC。我从五个维度对它们进行了评分：每 MAU 成本、功能覆盖率、边缘会话 p99 延迟、供应商锁定以及首次认证请求耗时，并运行了 1k / 1 万 / 10 万 MAU 的成本模型。本文将揭示每个维度的胜出者，并告诉您在何种情况下应选择哪条路径。

验证来源： Auth0 pricing · Clerk pricing · Better Auth documentation · Cloudflare Workers · Cloudflare Workers KV · Cloudflare Durable Objects · OWASP Password Storage Cheat Sheet · RFC 6749 — OAuth 2.0 · OpenID Connect Core 1.0 · WebAuthn Guide — MDN · TanStack Router

最后更新：2026-05-03 · Changelog

核心摘要： 在历时 30 天且跨越 3 个 MAU 成本层级的测试中，自建 Better Auth 在价格（10 万 MAU 时每月约 $6，而 Auth0 约 $6,935，Clerk Pro 约 $2,025）和零供应商锁定方面胜出。Auth0 在大规模企业级 SAML/SCIM 场景下胜出。Clerk 因其仅需单文件配置即可实现最广泛的 OAuth 提供商覆盖率而胜出。TanStack Ship 则是唯一预置了 Better Auth 并原生对接 KV 与 D1 的 Cloudflare 原生 TanStack Stack 方案。下面是 30 天的真实评分——在您签署大规模活跃用户单价达 $0.07 的 Auth0 B2B 合同之前，请务必阅读这些数据。

Auth0 vs Clerk SaaS：自建路径真实成本矩阵

大多数“Auth0 vs Clerk”文章都在比较两家托管供应商，却跳过了第三条路径：自建（rolling your own）。本文对这三者进行了对比。相同身份验证工作负载、30 天实测、三个成本层级、五个评估维度，并提供了一份真实的评分矩阵。

为什么身份验证的选择比看起来更贵

在只有 100 个用户时，身份验证看起来很便宜。真正的账单要在达到 1 万 MAU 时才会显现：Auth0 的“活跃用户（active users）”与 Clerk Pro 的“月活跃用户（monthly active users）”并不是相同的指标，并且每 MAU 的定价具有复利效应。在 10 万 MAU 时，Auth0 的月费用可达大几百甚至数千美元；Clerk Pro 大致包含相近的订阅费加上每 MAU 的额外收费。而自建的成本仅仅是底层 Workers + KV 的套餐资费。

另一个隐形成本是迁移成本。在项目中期弃用 Auth0 或 Clerk 将面临长达六周的代码重写。如果处于增长底部曲线时的月度成本大致打平，那么您真正需要的其实是一条能够低成本随时退出的路径。这就使得自建变得极具吸引力——前提是您能够自行将它搞定上线，而不用真的耗费自己六周时间。

3 条路径

如需跨技术栈视角，请参阅 TanStack Ship 对比页面。关于更广泛的身份验证模式探讨（脚手架对比纯自建），请参考 SaaS boilerplates with authentication compared。

我是如何测试的：3 条路径，相同工作负载，历时 30 天

每套方案都运行相同的负载：带验证的邮箱/密码登录、通过 OpenID Connect 实现的 Google 与 GitHub OAuth 授权、TOTP MFA、带有版本化 session-ids 的原生边缘会话机制以及针对双角色的一套 RBAC。我详细记录了每层级的月度账单明细、读取会话时产生的冷启动 p99 延迟、代码库内嵌的特定品牌专用代码行数，以及完成首次获得授权请求所需的实际开发耗时。

评分标准

各个评估维度的打分为 1–5 分，基于我这 30 天实测的遥测数据。加权分布向成本控制和供应商锁定倾斜，因为这些痛点会在 12 个月内带来最大的冲击：成本 30%、功能覆盖率 20%、边缘性能 20%、供应商锁定风险 20%、首次认证请求耗时 10%。

数据来源：Auth0 pricing，Clerk pricing，Cloudflare Workers pricing。

维度 1：1k / 1 万 / 10 万 MAU 时的月度成本

身份验证定价正是托管供应商赚取利润的地方。这两者在您的实际业务达到 1k MAU 之前体感都非常合理；可一旦触及 10 万 MAU 这一数字，便宛如变成了惩罚性条款。相反，在此情况下如果走自建体系，将仅仅消耗底层的 KV + Workers 的基础套餐余量——每月总支出死死停留在个位数美元。

每 MAU 成本模型

// src/lib/auth-cost.ts — 三路径成本模型
type Path = "auth0" | "clerk" | "roll-your-own";

// Auth0 Essentials (主推版): 基础费用 $35/月 + 超出 1,000 名活跃用户后按 $0.07/MAU
// Clerk Pro: 面向生产环境收取基础费用 $25/月 + 按 $0.02/MAU 计算
// Roll-your-own（自建）: 购买 CF Workers 付费版 $5/月 + 按照当前流量计费标准的 KV 费用 ~$0.50/月
function monthlyCost(path: Path, mau: number): number {
  switch (path) {
    case "auth0": return 35 + Math.max(0, mau - 1_000) * 0.07;
    case "clerk": return 25 + mau * 0.02;
    case "roll-your-own": return 5.5;
  }
}

数据来源：Auth0 pricing，Clerk pricing，Cloudflare Workers pricing。

在 10 万 MAU 时，Auth0 的费用大约是自建成本的 1,150 倍；Clerk 的费用则约为 335 倍。自建方案之所以胜出，是因为您只需为计算资源付费，而不是为终端用户数付费。Auth0 的企业客户愿意高昂买单，因为他们需要 SAML/SCIM——但大多数 SaaS 创始人并不需要。

维度 2：OAuth + MFA + WebAuthn 功能覆盖率

“身份验证”绝非单一功能。2026 年的技术边界包括：用于“使用 Google / GitHub / Microsoft 登录”的 OAuth 2.0 / OIDC，用于第二因素验证的 TOTP MFA（RFC 6238），用于无密码登录的 WebAuthn，以及基于邮箱魔术链接（magic-link）或备份代码的帐户恢复机制。

三者均完整覆盖了上述表面需求。真正的差异点在于交付速度。Auth0 提供了开箱即用的通用登录页面，无需自行构建。Clerk 只需一份配置文件即可原生支持超过 50 家 OAuth 提供商。Better Auth 则需要编写 30 行带类型的配置，剩下的全交由您自主把控。密码哈希采用 Argon2id，严格遵循 OWASP Password Storage Cheat Sheet。资料来源：RFC 6749。

维度 3：边缘节点的会话管理

因为每个经过身份验证的请求都会读取会话，所以单次读取延迟必然会产生叠加效应。Auth0 和 Clerk 双双深扎并在它们自有的基础设施内部运作（具有 ~25–30ms 级别的 p99 耗时表现）。运行于 Cloudflare KV 之上的原生自建化 Better Auth，能够在地理位置复制的支持下，达到全球低至亚毫秒级的会话读取延迟。若是遇到了需要构建有状态安全限流或防暴力破解计数，Durable Objects 则能提供单写入者的强一致性协调手段。

边缘会话读取

// src/server/auth/session.ts — 基于 CF Workers 读取带有版本隔离标识机制的 session-id 逻辑
import { getCookie } from "@tanstack/start/server";
import { getSession } from "@/lib/kv";

export async function readSession(request: Request) {
  const sid = getCookie(request, "sid");
  if (!sid) return null;
  return getSession(sid);
}

版本化的 session-id 模式极大地规避了我在 postmortem-better-auth-edge-session-race 中记录的多设备并发竞态问题：由于每次登录和登出时都会刷新 sid cookie，一旦合法用户重新进行了身份验证，那些被盗的旧 sid 将在瞬间作废。

自建方案之所以能快出 5–6 倍，是因为会话表就随同请求处理器一起贴身驻留在边缘节点上。

维度 4：供应商锁定风险与可移植性

在第 1 个月时您或许察觉不到供应商锁定带来的阻碍，但在第 13 个月您一定会深有感触：您的代码里到底夹杂了多少特定于厂商的代码？在 Auth0 上，您的代码是对接 Auth0 SDK 编写回调；在 Clerk 上，您是对接 @clerk/nextjs 编写业务代码。但在 Better Auth 上，您对接的是与底层框架无关（framework-agnostic）的 API，这使得您可以在完全不触碰具体应用代码的情况下，随时低成本地切换底层的会话存储方案、邮件服务提供商甚至是第三方的 OAuth 适配代理。

Auth0 的企业客户愿意接受这种锁定，因为他们亟需 SAML SSO 和 SCIM provisioning，而这恰好是 Clerk 和 Better Auth 不具备的开箱能力。如果这恰好是您的硬性卡点，那么 WorkOS 也能够提供 SAML/SCIM 能力，且它的定价更适合中端市场。

维度 5：首次认证请求耗时

从新拉取一个项目克隆到完成部署，拥有经验证的邮箱、可运作的 Google OAuth、启用的 TOTP MFA 且能在受保护路由上实施单一 RBAC 角色策略的 SaaS 产品：

Clerk 在纯粹的原生 DX（开发者体验）上拔得头筹。Better Auth 赢在用户完成了首次登录后的平均每功能 DX 上。

在 Cloudflare Workers 上赋予严谨类型绑定的 Better Auth 配置项集

// src/lib/auth.ts — 类型安全的 Better Auth 1.x 配置项集合
import { betterAuth } from "better-auth";
import { cloudflare } from "better-auth/adapters/cloudflare";

export const auth = betterAuth({
  database: cloudflare({
    d1: env.DB,
    kv: env.KV,
  }),
  emailAndPassword: { enabled: true, requireEmailVerification: true },
  socialProviders: {
    google: { clientId: env.GOOGLE_ID, clientSecret: env.GOOGLE_SECRET },
    github: { clientId: env.GITHUB_ID, clientSecret: env.GITHUB_SECRET },
  },
  plugins: [
    twoFactor({ totp: { issuer: "TanStack Ship" } }),
    magicLink({ sendMagicLink: sendViaResend }),
  ],
});

资料来源：Better Auth documentation，TanStack Router。

真实的评分对比矩阵

加权总分使用的是 30/20/20/20/10 的比例分布。

在加权总分上，自建 Better Auth 成功胜出。Clerk 赢在起手最直观迅捷的原生 DX。Auth0 则赢在了面向企业市场的 SAML/SCIM 能力。

自建 Better Auth 真正适用的致胜场景

当规模化成本比第 1 个月的开发者体验更重要、拒绝供应商锁定比快速上市更为关键、并且 5–6 倍的会话 p99 读取优势对您的运行环境确实具有实质意义 时，选择自建绝对是最合理的路径。Better Auth 能够为您提供开箱即用的 OAuth + TOTP + WebAuthn + 具备多版本控制的边缘会话安全防护基台；您所放弃及妥协的，仅仅只是像 Clerk 那样直接拿来预构建好、被抛光过的前端 UI 组件和支持超 50 家提供商的庞大接入列表。

Auth0 与 Clerk 依然能保持领先甚至胜出的特有场景

Auth0（现归 Okta 所有）依然是极为明智的正解之选，当且仅当您的 SaaS 面向企业进行销售，并且需要 SAML SSO + SCIM 账户流配置 + Action hooks 等组合能力 时。Auth0 pricing 在其企业版套餐上的要价几乎等同于常年雇佣一名工程师的开支；但对于拿下每单至少带来 10 万美金以上（$100k+）ACV 价值的大型 B2B SaaS 而言，这堪称一笔相当划算的买卖。背后的代价：极高的厂商锁定风险，超出 1,000 名活跃用户后仍需额外加收 $0.07/MAU 的账单。

Clerk 非常适合那些想要通过单文件配置即可一站式覆盖超过 50 家外部 OAuth 登录提供商（例如 Apple、X、Discord、Notion、Linear 等），同时又极为渴望能获得那些拿来预配置好的原生 React 前端组件（如 <SignIn /> / <UserButton /> ） 的场景，并且现阶段能确保预估自身的平台 MAU 所处级别完全足够小，小到它针对那些特定每 MAU 高昂账单阶梯仍尚在您的宽容可耐受范围内。它带来的代价即为：随流量阶梯同步暴增抽取的 MAU 按人次累计后续巨大开支账单；并且需要承担长达 ~25ms 的会话 p99 耗时落差拖累（相比之下 CF KV 仅为 5ms）。参考来源：Clerk pricing。

TanStack Ship 如何破局卡位

TanStack Ship 将 TanStack Router + TanStack Start + Cloudflare Workers + D1 + R2 + Better Auth + Stripe + WebAuthn 的功能无缝全数整合在同一架构中。特别是聚焦点专注在身份验证的这层面上来说，它实现了：

• 端到端类型安全（Type safety end-to-end）：严密强类型的 Better Auth 配置可在打包构建期间（build time）便提前精准拦截那些会在会话负载（session-payload）配置时可能引发的一切格式越界安全谬误。
• 边缘卓越性能（Edge performance）：基于 Cloudflare KV 的极速边缘网络，可使得读会话记录这极其影响全局速度的关卡在 p99 数据上能被降到并严控在仅约 ~5ms；相比之下 Clerk 和 Auth0 的同级别指标仍旧停留在令人沮丧的约 ~25–30ms。
• 大规模下的成本掌控（Cost at scale）：在 10 万 MAU 时总费用低至约 $6/月；相比之下，Clerk 要收取约 $2,025/月，而 Auth0 更是高达惊人的约 $6,935/月。
• 14 个生产级实战模块（14 production modules）：囊括了如 UTM 参数回流跟踪、MRR / ARR 仪表盘、推荐佣金系统、电邮活动（email campaigns）、R2 存储、多语言互通机制、MCP / WebMCP 代理总成，以及各种 agent 技能大礼包。详情参考 features。

折衷点：您将失去 Okta / Clerk 那庞大的社区生态支持，需要更多地依赖 Better Auth 的官方文档寻求自助解决。详见 pricing。

决策树及何时最好“不”要被切换过去

如果您的 SaaS 面向企业且需要 SAML SSO + SCIM，请选择 Auth0。如果希望用单一配置文件覆盖最广的 OAuth 提供商体系，请选择 Clerk。如果规模化成本控制和零供应商锁定是您的前三大刚需，请选择自建 Better Auth。如果您是依靠 TanStack 体系单兵作战、又想在 Cloudflare 上以最低月账单享有 Better Auth + WebAuthn + TOTP + 原生边缘会话加持的独狼开发者，不要犹豫，直接选择 TanStack Ship。详见 pricing 和 features。

**当遇到以下情况请不要强行迁移替换：**您的 SaaS 本身就正处于绑定了 Auth0 的某份 Okta 企业年度采购合同之内；您的核心开发团队早已经极其精通操作 Clerk，导致强行重写的转移跳代成本将全盘压倒因切换后所带来的那一点有限的运行时收益；您的业务现在高度硬依赖且强挂在某一项暂时 Better Auth 连平替都没有的专用特定版 Clerk / Auth0 底层集插件中；您的 SaaS 就简单地只有一个营销单页加上一个空壳登录按钮。

对于基于 Cloudflare 开展业务的独立创始人而言，采用捆绑有 Better Auth + KV + D1 的 TanStack Ship，在您启动并运行付费商业流量的首月之内，便足以将该笔微弱月租彻底赚回拉平填平。

常见问题（FAQ）

Auth0 与 Clerk 谁更适合拿来做 SaaS——我该押保选谁？

默认情况下两者皆非首选。在 Cloudflare Workers 上搭建自建（Roll-your-own）Better Auth 在大规模成本控制和零锁定方面占尽优势；如需企业级别的 SAML/SCIM 请押注 Auth0；如想通过单一配置文件容纳最广的 OAuth 体系则选 Clerk。如果想要一套立足于 Cloudflare 原生并通过内嵌 Better Auth 打好地基铺好路径的 TanStack Stack 精选战绩方案成品，直接找 TanStack Ship 即可。

在大规模部署时 Auth0 是否真比 Clerk 更烧钱更昂贵？

毫无悬念确实如此——当迈入 10 万 MAU 级别大考时，Auth0 Essentials 的预估账单将会飙升至极为惊骇的高达约 $6,935/月；然而相比之下 Clerk Pro 的收费标准账单则卡落在收取约 $2,025/月 附近。数据参考出处：Auth0 pricing，Clerk pricing。

我可以直接从 Auth0 或 Clerk 平稳跨轨迁移并跳转至 Better Auth 吗？

是的，完全可以——Better Auth 官方均配套提供了专门针对这两者的迁移指南。迁移过程实质上就是转移您的用户表和 OAuth 供应商列表；现有的动态旧会话也都将会在用户接下来的首次登录中被自动刷新失效并重新签予派发通行令牌。

TanStack Ship 本身有内嵌原生集成提供打包 Better Auth 吗？

是的——带有 TOTP MFA、WebAuthn、经由 Google + GitHub 的 OAuth、魔术链接、账户恢复，以及跑在 Cloudflare KV 上防劫持版本化的 session-ids 会话管理安全防线。这套坚固的 Better Auth 全家桶早已经作为默认标配被深度预先内嵌入 TanStack Ship 底层生态。详请参阅 features 和 pricing。

结语

如果您想获取一套已将 Better Auth 深度连通至 KV + D1、且专为独立 SaaS 开发量身定做的原装 TanStack Stack 总成包，请移步查看 TanStack Ship's features 及 pricing tiers。相关阅读：Better Auth edge session race postmortem · SaaS boilerplates with authentication compared。

快来尝试将 TanStack Ship 作为您的自建身份验证路径吧。 克隆完全免费的启动器代码，部署这套相同的身份验证方案，并亲自来体验与丈量这之间产生的巨大性能体验差异。Get started →