核心用法
本技能为开发者提供全栈认证系统设计指南，涵盖六大核心场景：
架构选择：对比服务器会话（即时撤销、适合传统Web）与无状态JWT（高扩展、适合API/微服务），推荐混合模式作为生产实践标准。
密码安全：强制使用bcrypt(成本10-12)、Argon2id或scrypt，明确禁止MD5/SHA1/明文存储；强调时序安全比较防御时序攻击。
多因素认证：TOTP作为平衡方案，SMS因SIM交换风险降级，WebAuthn/Passkeys作为防钓鱼最优解；恢复码需哈希存储、单次使用。
无密码方案：Magic links（短时效令牌）、WebAuthn生物识别、邮件OTP三类方案按场景选用，社交登录降低消费者应用摩擦。
运营安全：注册环节强制邮箱验证+泄露密码检测；登录实施双维度速率限制+渐进延迟；会话管理要求ID重生、绝对/空闲双超时、用户可视会话列表。
审计监控：全事件日志（IP/UA/时间戳）、异常行为告警、90天+保留期，严禁记录凭证。
显著优点
- 场景化决策矩阵：按内部工具/B2C/B2B/API/高安全五类场景给出精准技术选型
- 密码学建议紧跟OWASP/NIST标准，明确淘汰算法与推荐参数
- 覆盖全生命周期：注册→登录→会话→恢复→注销→审计
- 兼顾安全与UX：渐进延迟替代硬锁定、Remember Me分离敏感操作
潜在局限
- 未涉及具体框架/库的实现代码示例
- 联邦身份（OIDC/SAML）配置细节有限
- 硬件安全模块(HSM)、密钥托管等高级话题未展开
- 合规框架（SOC2/ISO27001/PCI-DSS）映射需自行补充
适合人群
- 后端/全栈工程师设计认证子系统
- 安全架构师评审现有方案
- 技术负责人制定安全基线规范
- 有一定基础、需体系化知识整合的开发者
常规风险
- 实现偏差：bcrypt成本参数设置过低、JWT密钥管理不当
- 会话固定：未在登录时再生Session ID
- 日志泄露：误将令牌/密码写入日志
- CSRF遗漏：logout端点未防护
- 速率限制绕过：仅IP维度限制易被分布式攻击突破