认证Patterns

解决的安全痛点

在构建 AI Agent 或现代 Web 应用时，认证模块往往是安全漏洞的重灾区。开发者容易在令牌存储、签名算法选择、权限校验等细节上踩坑，导致 XSS 窃取凭证、用户枚举或越权访问等严重问题。

核心能力与工作方式

该技能提供了一套经过实战检验的认证设计模式与自检清单，核心能力包括：

• JWT 双令牌机制：采用短效 access_token（15 分钟）配合长效 refresh_token（7 天），并强制将刷新令牌存入 HTTP-only Cookie 以防脚本读取。
• OAuth2 与 PKCE：指导公共客户端实现标准的 OAuth2 授权码流程，结合 PKCE 扩展防止授权码拦截。
• RBAC 权限模型：要求在路由层与数据访问层双重校验基于角色的访问控制，避免单层校验被绕过。
• 反模式避坑：明确指出如将 JWT 存入 localStorage、跨服务使用对称密钥、不校验 iss/aud/exp 声明等危险做法，推荐 bcrypt 或 argon2 进行密码哈希。

适用边界与注意点

该指南侧重于架构层面的模式指导，不绑定特定语言的实现库。落地时需根据业务风险调整令牌生命周期；对于分布式系统，还需落实清单中提到的令牌撤销机制（如版本计数器）与 CSRF 防护，以构建端到端的完整安全闭环。