身份认证Authentication
你可能会说
怎么证明“你是你”？我要加登录功能。
确认当前用户身份的检查过程用户可以用密码、验证码或第三方登录证明身份；成功后，网站会保存一份登录凭证，让用户不必每个页面重新登录。密码不能直接保存为可读文字；确认身份后还要继续判断这个用户能做什么。
也常被叫作登录认证AuthJWTJWT 认证用户登录
组成结构 · Anatomy
身份凭证→服务端验证→登录状态
密码、一次性验证码或第三方平台返回的身份结果
服务端核对凭证、限速并处理失败，不相信前端自己宣布登录成功
用安全 Cookie 或受保护 Token 让后续请求能证明是同一位用户
常见变体 · Variants
Cookie SessionCookie Session
Set-Cookie: session=…传统网站常见，浏览器自动携带 Cookie
TokenBearer Token
Authorization: Bearer …移动端或独立 API 常见
第三方登录OAuth Login
Continue with GitHub
把身份验证交给成熟平台
典型使用场景
邮箱密码登录
邮箱密码验证成功后建立登录状态
登录
Session✓ 已建立
短信或邮箱验证码
一次性验证码验证码只在短时间内有效
剩余时间04:32尝试次数1 / 5
验证使用 GitHub / Google 登录
第三方登录把身份验证交给成熟平台
使用 GitHub 继续使用 Google 继续
平台返回身份结果，本站再建立自己的会话
退出与登录过期
退出与过期会话失效后需重新认证
点击退出→服务端撤销 Session→受保护请求 → 401
延伸阅读 · 权威出处