Wren:IG 介绍与选型指南

目标：帮助读者在选型阶段判断 Wren:IG 是否适合作为统一身份入口。本文资料全部来自 Wren Security 官网、GitHub 仓库与 Releases 订阅源，查询日期为 2026-11-02；本文只做联网溯源与横向对比，不包含任何本机部署实测。

一、环境信息

本节说明资料来源与统计口径，便于读者复核文中数字。

• 资料查询日期：2026-11-02（Asia/Shanghai）
• 目标产品：Wren:IG（WrenSecurity/wrenig）
• 官方项目页：https://wrensecurity.org/projects/wrenig/
• 官方下载/快速开始页：https://wrensecurity.org/projects/wrenig/download.html
• GitHub 仓库：https://github.com/WrenSecurity/wrenig
• Releases 订阅源：https://github.com/WrenSecurity/wrenig/releases.atom
• 星数徽章：https://img.shields.io/github/stars/WrenSecurity/wrenig
• 最新稳定版：5.0.1
• 开源许可证：CDDL-1.0
• 主要实现语言：Java
• 本次星数读数：7（读取 GitHub 仓库页 stargazerCount，查询日期 2026-11-02）

⚠️ 注意：GitHub 星数与许可证信息会随时间变化，本文数字仅代表 2026-11-02 的读数；生产选型前应重新核对。

二、软件概述

本节回答三个问题：Wren:IG 是什么、它从哪里来、当前版本处于什么阶段。

2.1 产品定位

Wren:IG 是一个社区开发的身份网关（Identity Gateway）与反向代理服务器，部署在应用、微服务与 API 之前，为它们提供统一的认证、授权、单点登录（SSO）与请求/响应改写能力。官方项目页对它的定义是：

Wren:IG is a community‐developed reverse proxy server providing single sign-on (SSO) to any application behind the proxy.

它的价值不在于“再做一个反向代理”，而在于把身份校验与安全策略从每个业务应用中抽离出来，集中到代理层。应用无需改造即可获得统一登录、会话管理、请求头注入与审计能力，遗留系统也能被纳入同一套安全策略。

2.2 项目来源与许可证

Wren:IG 是 OpenIG 的社区延续版本。官方页面明确说明，Wren Security 套件基于 ForgeRock 曾以 CDDL 许可证开源的代码（OpenAM 13.5+、OpenDJ 3.5+、OpenIDM 4.5+、OpenIG 4.0+），Wren Security 与 ForgeRock 没有任何隶属关系。

CDDL-1.0 是弱 copyleft 许可证，修改后的源文件需按 CDDL 发布，但可以与其它许可证的代码组合成更大的作品。企业在二次开发前应让法务确认分发边界，本文不做法律判断。

2.3 版本节奏

下表来自官方 Releases 订阅源（查询日期 2026-11-02），按发布时间倒序排列前五个版本。

如何解读：5.0 系列从 2024 年 8 月首个候选版到 2026 年 2 月发布 5.0.1，跨度约 18 个月；5.0.0 到 5.0.1 间隔约 4 个半月。整体属于“低频、稳态”节奏，适合追求稳定而非追逐新特性的场景。社区规模较小（星数 7），遇到冷门问题时需要具备自行阅读源码与 OpenIG 文档的能力。

三、核心架构

本节从请求路径、配置模型、扩展点三个角度说明 Wren:IG 如何工作，为后续部署与配置建立心智模型。

3.1 请求处理链路

Wren:IG 以 WAR 形式运行在 Servlet 引擎中，请求进入后由 Router 按条件分派到具体路由，再经过一条过滤器链，最后交给客户端处理器转发到上游服务。可以用下面的链路表示：

客户端
  │  HTTP/HTTPS
  ▼
Servlet 引擎（Tomcat 9.x）
  │
  ▼
Wren:IG WAR（ROOT 上下文）
  │
  ├─ 管理端点 /wrenig/api/*
  │
  └─ Router（扫描 config/routes/*.json）
        │  按 condition 匹配
        ▼
      路由 handler（Chain）
        │
        ├─ Filter 1：认证 / 会话 / 头改写 / Groovy 脚本
        ├─ Filter 2：……
        ▼
      ClientHandler
        │
        ▼
      上游应用 / 微服务 / API

这条链路有三个关键点：

1. 路由是目录式的：Router 从 /opt/wrenig/config/routes/ 目录自动发现路由文件，默认每 10 秒扫描一次，新增或修改路由文件后无需重启。
2. 过滤器链可编程：内置过滤器覆盖请求头增删、会话、认证挑战等；复杂逻辑用 Groovy 脚本实现，脚本能访问请求、响应、上下文与会话。
3. Wren:IG 不替代 IdP：它负责“把身份信息带进应用”，真正的身份源仍由 SAML/OAuth2/OIDC 提供方（如 Wren:AM、Keycloak、企业 IdP）承担。

3.2 配置模型

配置由三部分组成：

config.json 是 JSON 对象，顶层常见三个键：heap（对象堆，声明可复用的处理器/会话管理器）、handler（顶层处理器）、audit（审计服务名）。这一模型与 OpenIG 一脉相承，官方文档中的示例可直接迁移。

3.3 扩展点

Wren:IG 的主要扩展方式不是写 Java 插件，而是写 Groovy 脚本。ScriptableFilter 会加载指定的 Groovy 文件，脚本中可直接使用 request、context、next 等绑定变量，完成认证判断、请求头改写、会话读写、响应加工等逻辑。相比编译型插件，脚本方式部署快、试错成本低；代价是脚本质量与安全性依赖使用者自身约束。

💡 技术拓展：单点登录协议不止一种。Wren:IG 官方声明同时支持以下三类主流协议——

协议	核心机制	典型场景	取舍
SAML 2.0	基于 XML 断言，由 IdP 签发断言给 SP	企业 IdP 联邦、传统 SaaS 接入	成熟、企业兼容性强；报文冗长、调试成本高
OAuth 2.0	授权框架，颁发访问令牌	API 授权、第三方登录	灵活、适合 API；本身不定义身份层
OpenID Connect	构建在 OAuth 2.0 之上的身份层，返回 ID Token	现代 Web/移动端 SSO	轻量、易集成；依赖 IdP 完整实现

Wren:IG 的选型价值在于可在同一条网关链路上同时接住这三类协议，而不必为每种协议单独部署一套代理。

💡 技术拓展：会话管理也有多种实现路线——

路线	特点	适用场景
JWT 会话 Cookie	会话数据加密后放在 Cookie，服务端无状态	单实例或共享密钥的多实例
集中式会话存储	会话落在 Redis/数据库，网关只存会话 ID	大规模多实例、需要集中注销
粘性会话	负载均衡把同一用户固定到同一实例	小规模、无法引入共享存储

Wren:IG 内置 JWT 会话管理器，默认把会话数据加密后写入 Cookie；多实例部署时需要显式配置共享密钥，否则各实例无法互解会话。

四、功能特性

本节按能力域列出官方声明的功能，并标注每项能力对应用户价值。

能力边界解读：Wren:IG 强在“身份策略集中化 + 遗留应用适配”，弱在“开箱即用的现代 IdP 体验”。它不内置用户目录、不提供登录页托管、不做用户自助注册；这些需要与 Wren:AM、Keycloak 或企业 IdP 组合。选型时应把它当作“策略执行点（PEP）”，而不是“身份提供方（IdP）”。

五、快速开始（最小可用示例）

本节给出官方资料中的最小配置形态，帮助读者建立“装起来后长什么样”的直观认识。以下配置与命令为官方文档形态的示例，本文未在本机执行，因此不提供实测回显；真实安装、启动与验证步骤需按目标环境另行实施。

5.1 获取运行工件

官方 Getting Started 页给出三种获取方式：

Wren:IG 5.0.1 的 WAR 工件下载地址为：

https://github.com/WrenSecurity/wrenig/releases/download/5.0.1/wrenig-5.0.1.war

5.2 运行前提

• JDK 17（Wren:IG 5.0.1 的构建与运行基线为 Java 17）
• 支持 javax.servlet 命名空间的 Servlet 引擎，推荐 Tomcat 9.x；Tomcat 10+ 改用 jakarta.servlet，不能直接部署该 WAR
• 一个可写的配置根目录，通过环境变量 OPENIG_BASE 指向它
• 至少一个可被代理的上游 HTTP 服务

5.3 最小配置

/opt/wrenig/config/config.json：

{
    "heap": [
        {
            "name": "clientHandler",
            "type": "ClientHandler"
        }
    ],
    "handler": {
        "type": "Router"
    },
    "audit": "global"
}

/opt/wrenig/config/routes/app.json：

{
    "name": "app",
    "condition": "${request.uri.path == '/app'}",
    "baseURI": "http://127.0.0.1:8080",
    "handler": "clientHandler"
}

这两段配置表达了三件事：顶层使用 Router；Router 从 config/routes/ 发现名为 app 的路由；凡是路径等于 /app 的请求，转发到 http://127.0.0.1:8080。

5.4 启动与访问

把 WAR 放到 Servlet 引擎的 webapps/ROOT.war，设置 OPENIG_BASE 后启动引擎。Wren:IG 启动后会读取 config.json 并加载路由目录。验证入口有两个：

• 管理信息端点：GET http://127.0.0.1:8080/wrenig/api/info，返回版本与修订号
• 业务路由：GET http://127.0.0.1:8080/app，按路由规则转发到上游

⚠️ 注意：上面的 8080 同时出现在 Wren:IG 监听端口与上游示例地址中，实际部署时必须改成两个不同端口，避免请求回环到网关自身。

六、适用场景与限制

本节给出“适合用什么、不适合用什么”的判断依据，避免把网关当成万能组件。

6.1 适用场景

6.2 已知限制

6.3 非目标

• 不是通用 Web 应用防火墙（WAF），不替代 ModSecurity 类规则引擎。
• 不是服务网格（Service Mesh），不提供服务间 mTLS 与流量治理全套能力。
• 不是身份提供方（IdP），不负责账号生命周期与凭据存储。

七、同类选型对比

本节把 Wren:IG 与两类常见替代方案放在同一张量化表中比较：OAuth2 Proxy（专注 OIDC/OAuth2 登录代理）与 Traefik ForwardAuth（把认证委托给外部服务的边缘代理中间件）。所有星数与许可证均于 2026-11-02 从对应 GitHub 仓库页读取。

7.1 量化对比表

关键差异解读：

1. 社区活跃度差距是数量级的：7 对 1.5 万/6.5 万，意味着 Wren:IG 遇到问题时几乎找不到现成的社区答案，选型团队必须具备读源码能力。
2. 能力重心不同：Wren:IG 强在“策略表达力”与“遗留适配”；OAuth2 Proxy 强在“轻量、开箱即用”；Traefik ForwardAuth 强在“与既有边缘代理无缝结合”。
3. 配置复杂度与灵活度正相关：JSON 堆 + 过滤器链 + Groovy 带来的自由度最高，但也最容易配错；OAuth2 Proxy 用参数化配置换取了低门槛。

7.2 选型建议

• 如果目标是让一批无法改造的遗留应用接入统一 SSO，且需要请求头注入、Password Replay、集中审计，则 Wren:IG 更匹配。
• 如果目标只是给若干现代 Web 应用加一层 OIDC 登录，团队希望半小时上线，则 OAuth2 Proxy 更匹配。
• 如果已经在使用 Traefik 做边缘路由，只需要把认证委托出去，则 优先用 Traefik ForwardAuth + 独立认证服务，避免再引入一套 Java 网关。
• 如果需要同时支持 SAML 2.0 与 OIDC、且要求每条路由独立策略，则 Wren:IG 的协议覆盖更完整，但要接受社区规模与运维复杂度的代价。
• 如果团队没有 Java/Servlet 运维经验，则 不建议选 Wren:IG；故障定位会跨越 Servlet 引擎、网关配置与 Groovy 脚本三层。

八、参考链接

以下链接均为本文事实来源，查询日期统一为 2026-11-02。

• Wren:IG 官方项目页：https://wrensecurity.org/projects/wrenig/
• Wren:IG 官方下载/快速开始页：https://wrensecurity.org/projects/wrenig/download.html
• Wren:IG GitHub 仓库：https://github.com/WrenSecurity/wrenig
• Wren:IG Releases 订阅源：https://github.com/WrenSecurity/wrenig/releases.atom
• Wren:IG 星数徽章：https://img.shields.io/github/stars/WrenSecurity/wrenig
• Wren:IG 5.0.1 发布页：https://github.com/WrenSecurity/wrenig/releases/tag/5.0.1
• OAuth2 Proxy 仓库：https://github.com/oauth2-proxy/oauth2-proxy
• Traefik 仓库：https://github.com/traefik/traefik
• Traefik ForwardAuth 文档：https://doc.traefik.io/traefik/middlewares/http/forwardauth/