Authentification par session, fournisseurs sociaux, protection CSRF et motifs de cookies sécurisés.
Qu'est-ce que compétences ?
Cette compétence fournit un guide d'authentification complet pour les applications web, en privilégiant l'authentification par session avec des cookies httpOnly et en réservant les JWT aux communications API-à-API. Elle intègre des providers sociaux (Google et GitHub minimum), des liens magiques comme alternative aux mots de passe, et une gestion des rôles via le champ `user.role` avec des vérifications middleware. La compétence met l'accent sur la sécurité avec des cookies sécurisés (`httpOnly`, `secure`, `sameSite:"lax"`, `maxAge` approprié), une rotation des refresh tokens, et une protection CSRF obligatoire sur tous les endpoints de mutation. Elle est conçue pour les agents comme Claude Code ou Cursor et alerte sur les pièges à éviter comme le stockage des tokens en localStorage, les implémentations maison de hachage de mots de passe, et les vérifications de rôles uniquement côté client.