身分驗證與授權實作模式
運用業界標準模式與現代最佳實務,建構安全且可擴充的身分驗證與授權系統。
使用此技能的時機
- 實作使用者驗證系統時
- 保護 REST 或 GraphQL API 時
- 加入 OAuth2/社交登入或單一登入(SSO)時
- 設計工作階段管理或 RBAC 時
- 除錯身分驗證或授權問題時
不應使用此技能的時機
- 只需 UI 文案或登入頁面樣式
- 任務僅涉及基礎架構而無身分管理需求
- 無法變更驗證政策或憑證儲存方式
操作指南
- 定義使用者、租戶、流程及威脅模型限制。
- 選擇驗證策略(工作階段、JWT、OIDC)及令牌生命週期。
- 設計授權模型與政策執行點。
- 規劃機密儲存、輪換、記錄及稽核需求。
- 若需詳細範例,請開啟
resources/implementation-playbook.md。
安全注意事項
- 絕不記錄機密、令牌或憑證。
- 強制最小權限原則並確保金鑰的儲存安全。
資源
resources/implementation-playbook.md:提供詳細模式與範例。