Elixir 认证授权实战：JWT、Guardian 与 Phoenix.Token
系统讲解 Elixir 生态的认证授权方案：JWT 的三段结构与签名算法、Guardian 的配置与 Pipeline 插件链、Token 签发验证与刷新、Phoenix.Token 的适用边界、令牌吊销与密钥轮换，以及 alg=none、算法混淆、重放等常见攻击面与防御。
tag
Authentication
共 14 篇文章。
WebAuthn 无密码认证与 Passkey 实践
系统讲解 WebAuthn 无密码认证与 Passkey 通行密钥：FIDO2 协议栈、公钥凭证注册与认证流程、对抗钓鱼与中间人攻击的原理、防重放与来源绑定，以及落地工程的用户体验、恢复机制与多设备同步方案。
GraphQL 认证与授权：从 JWT 到字段级权限
GraphQL 认证与授权实战：认证（AuthN）与授权（AuthZ）的区别、JWT/Session/OAuth 在 GraphQL 中的落地、context 中的用户解析、字段级与行级权限（RBAC/ABAC）、resolver 层的授权模型、Federation 场景的跨子图授权、深度查询的成本控制、GraphQL 特有的安全攻击面（复杂查询/别名滥用/信息泄露）与授权测试策略。
身份认证与会话安全
深入讲解现代身份认证体系：OAuth 2.0 / OpenID Connect 协议流程、JWT 安全设计、单点登录（SSO）架构、Cookie/Session 安全与会话管理、多因素认证（MFA）实现方案。
API 网关实战：Kong、Envoy 与 Traefik 选型与部署
主流 API 网关深度对比：Kong（OpenResty + Lua 插件）、Envoy（Envoy Proxy + xDS 动态配置）、Traefik（云原生自动发现）。含路由、限流、认证、可观测性完整配置。
Better Auth 完整接入指南：基于 React、Hono、Cloudflare Workers 与 D1 构建认证系统
深入讲解 Better Auth 在 React、Hono、Cloudflare Workers、D1 与 Drizzle ORM 技术栈中的完整接入流程，涵盖邮箱密码登录、Session、OAuth、邮箱验证、密码重置、Turnstile、数据库迁移、服务端鉴权、安全配置、测试与生产部署。
React + Hono + Better Auth 全栈技术方案：构建 Cloudflare 原生 SaaS 应用
深入讲解基于 React、Hono、Better Auth、Drizzle ORM 和 Cloudflare D1 的全栈 SaaS 技术架构，涵盖认证授权、数据库设计、类型安全 API、Workers 部署、安全防护、测试与分阶段实施方案。
OAuth2.0与JWT安全实战：认证授权的正确打开方式
深入讲解OAuth2.0授权框架与JWT令牌的安全实践，包括授权码模式、PKCE扩展、Token刷新策略、JWT签名验证，提供Spring Security、Go的完整实现代码。
API网关架构设计与实现：路由、鉴权与流量治理
深入探讨API网关的核心架构模式，涵盖动态路由、统一鉴权、流量控制、协议转换等关键技术，提供Kong、Envoy、自研网关的实战配置与最佳实践。
后端安全架构：OAuth2.1、JWT认证与零信任网络实战指南
深入讲解后端安全架构的核心实践，涵盖OAuth2.1/OIDC认证流程、JWT安全使用、RBAC/ABAC授权模型、API安全防护、密钥管理及零信任架构设计，打造安全可控的后端系统。
Node.js JWT 认证实战：Express + Passport 的登录鉴权与权限控制
详解 Node.js 后端 JWT 认证的完整实现：Token 签发与验证、Refresh Token 机制、Password 中间件、Role-Based 权限控制、Rate Limiting 防暴力破解。含 Express 完整代码。
Vercel Middleware 实战指南：A/B 测试、认证拦截与请求重写全解
详解 Next.js Middleware 在 Vercel 上的全部实战技巧：请求拦截与重写、A/B 测试路由、JWT 认证中间件、多语言国际化、地理位置定制、与 Edge Functions 协同。含生产级代码示例和性能优化建议。
第 11 章：认证体系（NextAuth.js v5 全解）
从零构建 Next.js 认证系统——NextAuth.js v5 (Auth.js) 配置、邮箱登录、GitHub OAuth、Session 管理、角色权限（RBAC），以及 Lucia / Clerk 方案对比。
Go HTTP Basic Auth 入门：用中间件保护内部页面
很多小型 Go 服务都有一个内部页面：查看任务队列、触发一次同步、检查缓存状态。它不一定值得接入完整登录系统，但也不能裸奔在公网。HTTP Basic Auth 是一个简单选择。浏览器会弹出用户名密码框，请求头里带上凭据，服务端验证后再允许访问。