认证模式集

解决什么问题

多数团队接入认证时并不缺方案，缺的是"哪些做法已被验证、哪些是反复踩坑的反模式"这种判断依据。认证代码常常散落在路由、网关、数据访问层，约定一旦不一致，就会出现令牌泄露、越权访问、用户枚举这类隐蔽问题。这个技能把 JWT 访问令牌与刷新令牌的生命周期管理、OAuth2 授权码流程、RBAC 授权模型以及常见错误写法，收敛成一份可以逐条对照执行的参考。

技能如何工作

令牌策略：访问令牌设为 15 分钟短有效期，刷新令牌 7 天，refresh token 只存放在 HTTP-only Cookie 中，避免被前端脚本读取。

授权流程：公开客户端使用 OAuth2 Authorization Code Flow with PKCE，认证中间件负责校验与透传。

授权模型：RBAC 需要在路由层和数据访问层同时校验权限，而不是只在接口入口检查一次。

反模式清单：明确列出 localStorage 存 JWT（易受 XSS 攻击）、跨服务共用对称密钥（应改用 RS256 密钥对）、未校验 iss、aud、exp 声明、自研密码哈希（应使用 bcrypt 或 argon2）、Cookie 认证缺少 CSRF 防护、错误信息区分"用户不存在"与"密码错误"（用户枚举）。

上线检查：附带一份 Checklist，覆盖令牌有效期、Cookie 属性、密码哈希算法、PKCE、双层权限校验、令牌吊销（版本号或黑名单）、CSRF 防护、错误信息一致性。

适用边界与注意点

该技能描述的是通用模式，不绑定具体框架或语言。令牌有效期、刷新窗口、密钥轮换策略需要结合业务实际调整；RBAC 只覆盖角色维度，需要更细粒度控制时得引入 ABAC 或策略引擎；多租户、设备指纹、零信任等场景还需额外的补充方案。