认证与授权实现模式
使用行业标准模式和现代最佳实践,构建安全、可扩展的认证与授权系统。
使用此技能的场景
- 实现用户认证系统
- 保护REST或GraphQL API
- 添加OAuth2/社交登录或SSO
- 设计会话管理或RBAC
- 调试认证或授权问题
不使用此技能的场景
- 仅需要UI文案或登录页面样式
- 任务仅涉及基础设施,没有身份关联问题
- 无法更改认证策略或凭据存储
使用指导
- 定义用户、租户、流程和威胁模型约束。
- 选择认证策略(会话、JWT、OIDC)和令牌生命周期。
- 设计授权模型和策略执行点。
- 规划密钥存储、轮换、日志记录和审计要求。
- 如需详细示例,请打开
resources/implementation-playbook.md。
安全注意事项
- 切勿记录密钥、令牌或凭据。
- 实施最小权限原则,并确保密钥的安全存储。
资源
resources/implementation-playbook.md:提供详细的模式和示例。