Claude Code Login 实战指南：从零构建安全认证系统

1次阅读

共计 2482 个字符，预计需要花费 7 分钟才能阅读完成。

现代认证系统主要解决身份核验与权限控制问题，其核心流程可抽象为：凭证提交→身份验证→令牌颁发→访问控制。传统方案中，Session 和 JWT 是两种主流实现方式：

Session-Cookie 机制
服务端存储会话数据（内存 /Redis）
通过 Set-Cookie 返回 sessionId
后续请求自动携带 Cookie 进行验证
优势：服务端完全控制会话状态
缺陷：跨域限制、分布式存储开销
JWT 无状态方案
采用签名令牌包含用户信息（Header.Payload.Signature）
客户端自主存储（LocalStorage/HttpOnly Cookie）
服务端仅需验证签名有效性
优势：天然支持跨域、无服务端存储压力
缺陷：令牌无法主动失效

// app.js
const express = require('express');
const jwt = require('jsonwebtoken');
const bcrypt = require('bcryptjs');

const app = express();
app.use(express.json());

// 内存模拟数据库
const users = [{ id: 1, email: 'test@claude.com', password: bcrypt.hashSync('123456', 8) }
];

// 密钥配置
const JWT_SECRET = process.env.JWT_SECRET || 'claude_secure_key';
const JWT_EXPIRES = '2h';

登录接口

app.post('/api/login', (req, res) => {const { email, password} = req.body;

  // 1. 用户存在性验证
  const user = users.find(u => u.email === email);
  if (!user) return res.status(404).json({message: 'User not found'});

  // 2. 密码校验
  const isValid = bcrypt.compareSync(password, user.password);
  if (!isValid) return res.status(401).json({message: 'Invalid credentials'});

  // 3. 生成 JWT
  const token = jwt.sign({ id: user.id},
    JWT_SECRET,
    {expiresIn: JWT_EXPIRES}
  );

  // 4. 安全响应（建议生产环境启用 HttpOnly+Secure）res.json({ 
    access_token: token,
    token_type: 'Bearer',
    expires_in: 7200 
  });
});

认证中间件

const authenticateJWT = (req, res, next) => {
  const authHeader = req.headers.authorization;

  if (!authHeader) {return res.sendStatus(401);
  }

  const token = authHeader.split(' ')[1];

  jwt.verify(token, JWT_SECRET, (err, user) => {if (err) {
      // 细化错误类型（过期 / 篡改）return res.status(403).json({ 
        error: 'FORBIDDEN',
        message: err.message.includes('expired') 
          ? 'Token expired' : 'Invalid token'
      });
    }

    req.user = user;
    next();});
};

对敏感操作采用 SameSite Cookie 策略
关键接口添加 CSRF-Token 校验
请求头验证（Origin/Referer）

前端禁止直接渲染未过滤的用户输入

服务端设置安全头部：

helmet({ 
  contentSecurityPolicy: {
    directives: {defaultSrc: ["'self'"],
      scriptSrc: ["'self'"],
    }
  }
})

app.post('/api/refresh', (req, res) => {const { refresh_token} = req.body;

  try {const decoded = jwt.verify(refresh_token, JWT_SECRET);

    // 检查 refresh_token 是否在有效白名单中
    const newToken = jwt.sign({ id: decoded.id},
      JWT_SECRET,
      {expiresIn: JWT_EXPIRES}
    );

    res.json({access_token: newToken});
  } catch (err) {res.status(401).json({error: 'INVALID_REFRESH_TOKEN'});
  }
});