前端安全：身份认证最佳实践-育师

前端安全：身份认证最佳实践

前言

身份认证是网站安全的核心！如果你的网站身份认证机制有漏洞，那你的用户账户随时可能被劫持。今天我就来给大家讲讲身份认证的最佳实践，让你的网站安全可靠。

为什么身份认证如此重要

保护用户账户：防止未授权访问
保护敏感数据：确保数据安全
合规要求：满足安全法规
用户信任：提升用户信任度

身份认证策略

1. 密码认证

// 密码哈希 const bcrypt = require('bcrypt'); // 注册时哈希密码 async function register(username, password) { const saltRounds = 12; const hashedPassword = await bcrypt.hash(password, saltRounds); await db.saveUser({ username, password: hashedPassword }); } // 登录时验证密码 async function login(username, password) { const user = await db.getUser(username); if (!user) return false; const isMatch = await bcrypt.compare(password, user.password); return isMatch; }

2. 多因素认证(MFA)

// 使用TOTP const speakeasy = require('speakeasy'); // 生成MFA密钥 function generateMFAKey() { return speakeasy.generateSecret({ length: 20 }); } // 验证MFA代码 function verifyMFA(secret, token) { return speakeasy.totp.verify({ secret: secret.base32, encoding: 'base32', token: token }); }

3. JWT认证

// 生成JWT const jwt = require('jsonwebtoken'); function generateToken(userId) { return jwt.sign({ userId }, process.env.JWT_SECRET, { expiresIn: '1h' }); } // 验证JWT function verifyToken(token) { try { return jwt.verify(token, process.env.JWT_SECRET); } catch (err) { return null; } }

4. OAuth认证

// 使用Passport.js进行OAuth const passport = require('passport'); const GoogleStrategy = require('passport-google-oauth20').Strategy; passport.use(new GoogleStrategy({ clientID: process.env.GOOGLE_CLIENT_ID, clientSecret: process.env.GOOGLE_CLIENT_SECRET, callbackURL: '/auth/google/callback' }, (accessToken, refreshToken, profile, done) => { // 处理用户信息 done(null, profile); }));

身份认证最佳实践

1. 使用HTTPS

// 强制HTTPS app.use((req, res, next) => { if (!req.secure && process.env.NODE_ENV === 'production') { return res.redirect(`https://${req.hostname}${req.url}`); } next(); });

2. 安全存储密码

// 使用Argon2代替bcrypt const argon2 = require('argon2'); async function hashPassword(password) { return argon2.hash(password, { type: argon2.argon2id, memoryCost: 19456, timeCost: 2, parallelism: 1 }); }

3. 实现会话管理

// 使用安全的session配置 app.use(session({ secret: process.env.SESSION_SECRET, resave: false, saveUninitialized: false, cookie: { secure: true, httpOnly: true, sameSite: 'strict', maxAge: 24 * 60 * 60 * 1000 // 24小时 } }));

4. 实施速率限制

// 登录尝试速率限制 const rateLimit = require('express-rate-limit'); const loginLimiter = rateLimit({ windowMs: 15 * 60 * 1000, // 15分钟 max: 5, // 最多5次尝试 message: '登录尝试次数过多，请稍后再试' }); app.post('/login', loginLimiter, (req, res) => { // 登录逻辑 });

5. 实现账户锁定

// 账户锁定机制 const MAX_ATTEMPTS = 5; const LOCK_DURATION = 30 * 60 * 1000; // 30分钟 async function checkAccountLock(username) { const user = await db.getUser(username); if (!user) return false; if (user.loginAttempts >= MAX_ATTEMPTS && Date.now() < user.lockUntil) { return true; // 账户已锁定 } return false; } async function incrementLoginAttempt(username) { const user = await db.getUser(username); user.loginAttempts++; if (user.loginAttempts >= MAX_ATTEMPTS) { user.lockUntil = Date.now() + LOCK_DURATION; } await db.saveUser(user); }