认证与授权实现模式

要解决什么问题

Web 与 API 一旦对外暴露用户数据或管理面，认证（证明是谁）和授权（能做什么）就必须成体系地设计，而不是在路由里零散加 middleware。常见痛点包括：Session 与 JWT 混用导致状态不一致、OAuth/OIDC 回调与 token 刷新链路不完整、RBAC 策略散落在业务代码里难以审计，以及密钥轮换与日志合规被事后补丁。

技能如何引导实现

本技能按工程顺序推进：先界定用户、租户、流程与威胁模型约束，再选定认证策略（session、JWT、OIDC 等）并明确 token 生命周期；随后设计授权模型与策略执行点（PEP），把「谁能在什么资源上执行什么操作」写清楚；最后规划密钥存储、轮换、日志与审计要求。需要对照具体模式与示例时，可打开 resources/implementation-playbook.md。

安全约束写进流程：绝不记录密钥、token 或凭证；密钥遵循最小权限并采用安全存储。

适用边界

• 适合：从零或重构用户认证、保护 REST/GraphQL API、接入 OAuth2/社交登录或 SSO、设计会话管理与 RBAC、排查认证/授权异常。
• 不适合：只做登录页 UI 文案或样式；任务与身份模型无关的纯基础设施；或你无法决定认证策略与凭证存储方式的环境。