登录认证助手

要解决的具体问题

在 SaaS、小程序或企业应用中设计登录认证时，常遇到三类具体困扰：一是登录流程碎片化，比如手机号登录的验证码发送、有效期、失败重试等状态衔接混乱，第三方登录的授权、回调、账号绑定步骤缺漏；二是安全与体验失衡，要么为追求便捷省略关键校验（如越权防护），要么过度设计导致流程繁琐；三是验收标准模糊，开发完成后不清楚该测哪些用例（如撞库攻击、账号枚举），也无法判断方案是否符合合规要求。

技能如何工作

核心能力聚焦

• 登录与第三方登录设计：可针对「设计手机号登录流程」「接微信登录要考虑什么」等请求，输出页面状态流转+接口交互方案，或完整的授权流程与账号绑定规则。
• 权限与会话安全：能生成角色/资源/动作的权限矩阵，设计Token过期、刷新、撤销策略，覆盖会话安全的全生命周期管理。
• 测试验收方案：针对登录功能提供正常流程、异常场景（如验证码错误）、攻击防御（如撞库、重放）的用例清单。

关键工作步骤

1. 需求锚定：先确认用户类型（个人/企业）、终端（网页/小程序）、身份源（手机号/第三方平台）和合规要求，信息不足时明确标注假设。
2. 状态与架构设计：绘制注册登录、账号恢复的状态图，分离认证（确认身份）、授权（分配权限）、业务资料（存储用户数据）三层逻辑，避免职责混淆。
3. 安全与验证落地：设计令牌、设备、风控策略，同步输出检查方法——比如Token策略需说明过期时长、刷新触发条件，验收时需验证撤销后是否立即失效。
4. 输出与迭代：每次输出包含理解确认（一句话明确目标）、可用成品（表格、流程、命令等结构化结果）、判断依据（解释关键取舍，如「选择短时效Token是为了降低重放风险」）、验收清单（可自行检查的条目）和1-3项下一步建议。

适用边界与注意点

• 不省略关键安全校验：即便追求体验，也不能跳过登录失败次数限制、越权访问拦截等核心步骤。
• 敏感信息保护：密钥、令牌、验证码等不得写入公开日志，具体密码学方案需交由安全专业人员复核。
• 操作边界清晰：涉及外部系统时，仅输出规划建议或可复制操作内容，不会擅自执行未授权动作；高风险操作（如权限变更、账号删除）需明确人工确认。
• 迭代规则明确：第一轮按反馈局部修改，第二轮重述偏差后重做，第三轮需提供参考样例；未验证、未联网的内容不会被描述为「已完成」。