身分驗證 Auth

白話文說明

Auth 其實是兩件事的合稱：**驗證（Authentication）**是「證明你是你」，例如輸入帳號密碼或用 Google 登入；**授權（Authorization）**是「決定你能做什麼」，例如一般使用者不能進入管理後台。

登入成功後，系統會發給你一張「通行證」（Token 或 Session），之後每次請求都帶著它，系統就知道是你、不用每次重新輸入密碼。這張通行證要設有效期限、能被撤銷，否則被偷走會很危險。

架構圖

運作流程

真正造成外洩的錯誤

多數 Auth 災難並不高深，往往來自幾個重複出現的錯誤：

• 相信前端的檢查——只把後台按鈕藏起來，後端端點卻沒擋，任何人直接呼叫就進得去。
• Token 沒有期限、也無法撤銷——被偷走的通行證就會永遠有效。
• 用明文存密碼——資料庫一旦外洩，所有帳號同時曝光（密碼應該經過雜湊）。
• 某個端點漏掉授權檢查——只要有一條路徑沒問「你能不能」，攻擊者就有缺口。

重點整理

• Auth＝驗證（你是誰）＋ 授權（你能做什麼）。
• 登入後用 Token / Session 當通行證，要設期限與撤銷機制。
• 授權檢查一定要在後端，前端隱藏按鈕不等於安全。