身份认证Authentication
你可能会说
怎么证明“你是你”？我要加登录功能。
确认当前用户身份的检查过程用户可以用密码、验证码或第三方登录证明身份；成功后，网站会保存一份登录凭证，让用户不必每个页面重新登录。密码不能直接保存为可读文字；确认身份后还要继续判断这个用户能做什么。
也常被叫作登录认证AuthJWTJWT 认证用户登录
你可以这样告诉 AI Agent
订单页目前只根据前端传来的 userId 取数据。请改为从已验证的登录态取得当前用户，再查询其订单。分别用已登录和未登录状态访问：前者只能看到自己的订单，后者应被要求登录。
什么时候用
- 优先采用成熟身份服务或框架方案，不自己发明密码系统成熟方案提供常见认证能力密码 / 验证码→身份服务→安全会话
- 在 HTTPS 下为登录 Cookie 设置 Secure、HttpOnly，并按跨站需求选择 SameSite登录 Cookie 的常见保护HttpOnly脚本不可读Secure只走 HTTPSSameSite限制跨站携带
- 登录失败使用模糊提示，避免泄露账号是否存在失败提示不泄露账号状态不推荐该邮箱不存在 → 推荐账号或密码错误
- 退出登录时让服务端会话或令牌真正失效退出要让凭证真正失效会话有效→服务端撤销→再次请求 401
什么时候不用
- 数据库明文保存密码：一旦数据泄露，受影响记录的密码会直接暴露密码不能明文入库email: dev@ans.orgpassword: 123456数据库泄露后，明文存储的密码会直接暴露
- 把 JWT 当加密保险箱：内容通常只是编码，仍可能被读到JWT 内容通常可以解码查看header.payload.signaturepayload: { "email": "dev@ans.org" }不要在里面放密码、令牌等敏感信息
- 只在前端 localStorage 里写 isLoggedIn=true改本地变量不能证明身份控制台修改isLoggedIn = true → 服务端检查没有有效会话 · 401
- 登录接口没有限速：容易被批量猜密码缺少限速的登录接口1 分钟10,000 次尝试结果可持续猜密码
组成结构 · Anatomy
身份凭证→服务端验证→登录状态
密码、一次性验证码或第三方平台返回的身份结果
服务端核对凭证、限速并处理失败，不相信前端自己宣布登录成功
用安全 Cookie 或受保护 Token 让后续请求能证明是同一位用户
常见变体 · Variants
Cookie SessionCookie Session
Set-Cookie: session=…传统网站常见，浏览器自动携带 Cookie
TokenBearer Token
Authorization: Bearer …移动端或独立 API 常见
第三方登录OAuth Login
Continue with GitHub
把身份验证交给成熟平台
典型使用场景
邮箱密码登录
邮箱密码验证成功后建立登录状态
登录
Session✓ 已建立
短信或邮箱验证码
一次性验证码验证码只在短时间内有效
剩余时间04:32尝试次数1 / 5
验证使用 GitHub / Google 登录
第三方登录把身份验证交给成熟平台
使用 GitHub 继续使用 Google 继续
平台返回身份结果，本站再建立自己的会话
退出与登录过期
退出与过期会话失效后需重新认证
点击退出→服务端撤销 Session→受保护请求 → 401
延伸阅读 · 权威出处
快速练习