认证、授权与会话：从密码哈希到 OAuth/PKCE 与 IDOR/CSRF 防御

0. 元信息

• 主题路径：docs/topics/web-security/subtopics/web-security-auth-and-access/
• 父主题：web-security
• 主分类：安全与可靠性
• 辅助分类：Web 与后端
• 适合对象：写登录、API 鉴权、第三方集成的全栈开发者
• 建议周期：1.5～2 周（每周 8～10 小时）
• 前置知识：network / rest-api-design；理解 HTTP、cookie、JSON
• 最终目标：能为应用实现带密码哈希、MFA、Session 或 JWT、OAuth 2.0 + PKCE、对象级授权、CSRF token + SameSite 的完整认证与授权链路，能识别并修复 IDOR、垂直/水平越权、CORS 误配

1. 学习路线

密码哈希（Argon2 / bcrypt）
  → Session vs JWT 的取舍
  → OAuth 2.0 角色与流程
  → PKCE（公共客户端）
  → MFA（TOTP / WebAuthn）
  → 垂直与水平越权
  → IDOR（Insecure Direct Object Reference）
  → CSRF token + SameSite + Origin/Referer 验证
  → CORS 配置
  → JWT 风险（alg 攻击、密钥泄露、撤销）

2. 阶段周数分配

建议周期 8 周，每周 6 天、每天 1.5～2 小时（每周约 9～12 小时），第 7 天用于复盘和补测：第 1 周基础模型与威胁边界；第 2～3 周核心机制；第 4～5 周防御实现；第 6 周检测、测试与审计；第 7 周综合演练；第 8 周项目收尾、复盘与最终验收。

3. 九阶段表

关键陷阱：JWT 不是 Session 的替代；CSRF token 单独不够，需要配合 SameSite 与 Origin 校验；OAuth 公共客户端必须用 PKCE；对象级授权要”以属于当前用户为前提”。

4. 第一周：基础与威胁建模（每天 1.5～2 小时）

5. 阶段通用验收

• 阶段 1 验收：完成概念地图；提交威胁模型；能用 10 分钟解释核心资产、信任边界和主要攻击面。
• 阶段 2 验收：完成核心机制最小实现；提交 3 组正向与负向测试；测试输出包含成功和拒绝结果。
• 阶段 3 验收：完成防御实现；提交配置/代码审计清单；所有高风险输入均经过验证、编码或安全 API。
• 阶段 4 验收：完成检测或安全测试规则；提交日志/扫描/测试输出；能从证据定位触发点和影响范围。
• 阶段 5 验收：完成一次事件或攻击链演练；提交时间线、处置动作和恢复验证；复现者按 README 可独立运行。
• 阶段 6 验收：完成综合项目核心功能；边界测试全通过；README、notes/design.md、notes/test.md、notes/retrospective.md 均存在且非空。
• 阶段 7～8 验收：修复复盘发现的问题；重新执行全部命令；最终报告记录版本、命令和结果。

6. 最终验收

学完后应能完成威胁建模、选择合适的安全机制、实现最小防御链路、编写负面测试、读取日志或扫描证据，并向团队解释安全权衡和残余风险。

量化标准：

• 完成至少 24 道相关练习，其中 12 道基础、8 道中等、4 道综合/高难；每题保留测试或答案证据。
• 独立写出至少 4 个可运行 demo，每个包含成功路径和至少 3 个拒绝/异常测试。
• 完成 1 次 60 分钟攻击—防御演练，能在 15 分钟内讲清威胁模型、核心流程和修复理由。
• 综合项目的自动化检查通过率 100%，高危问题数 0，README 可让他人在 10 分钟内复现。

7. 综合项目

首选项目：安全 Web 服务实验室（本主题对应的 “）。实现一个最小 HTTP/API 服务，故意保留一条可控弱点，再用安全实现和自动化测试修复它。

备选项目：安全审计 CLI。读取请求、配置或依赖清单，输出风险、证据、严重性和修复建议。

必做要求：

• 输入：明确的 JSON/HTTP 请求、配置文件或依赖清单；拒绝缺失字段、超长值、非法编码和越权对象。
• 输出：机器可读 JSON 报告或 API 响应，并包含状态、错误码、证据、修复建议；日志不得泄露密码、令牌或密钥。
• 算法/工具：按 §3 选择标准库安全 API、参数化查询、策略匹配、哈希/签名、规则扫描或事件时间线；在 README 说明选择理由与复杂度/局限。
• 验收标准：成功路径通过；至少 10 个边界/负面测试通过；高风险输入被拒绝；运行静态检查或扫描无新增高危；输出可复现。

项目根目录必须包含 README.md、notes/design.md、notes/test.md、notes/retrospective.md。README 需写需求说明、数据结构/工具选择理由、核心流程、模块化实现、边界测试、编译/运行说明、目录结构和复盘记录；notes/design.md 写威胁模型与流程图，notes/test.md 写每组输入/期望/实际输出，notes/retrospective.md 写用时、难点、收获和下一步。

本主题贡献

• 职责 1（密码哈希 + MFA + 泄露检查）：登录服务唯一用 Argon2id（m=64MiB, t=3, p=1，§3 阶段 1）替换历史 MD5/SHA1；注册与改密路径强制走 HIBP k-Anonymity 前缀查（§9.4 #8）；TOTP 二次因子对“改密码 / 改支付 / 登出全部设备”强制启用（§3 阶段 5、§9.3.5）。
• 职责 2（OAuth 2.0 + PKCE 公共客户端）：对外的第三方登录（GitHub / Google）走 Authorization Code + PKCE S256，code_verifier ≥ 43 字符随机；redirect_uri 走服务端硬编码白名单（§9.4 #4）；access token 短 TTL + refresh token + 服务端撤销列表，敏感操作重新认证。
• 职责 3（对象级授权 + CSRF + CORS）：所有 GET/PUT/DELETE /resource/:id 走同一 authorize(user, resource) 中间件——跨用户读返回 403/404（不泄露存在性，§9.4 #3）；CSRF 防御叠加 token + SameSite=Lax/Strict + Origin/Referer 校验（§9.4 #5）；CORS 白名单显式 Access-Control-Allow-Origin，禁止 * + credentials: true（§9.4 #6、§10 误区）。
• 交付物 1：可运行 demo apps/auth-lab/ 提供“注册 → 登录 → MFA 注册 → 改密 → OAuth+PKCE 登录”完整 happy path + 10 个负面用例（含 alg=none JWT、IDOR、CSRF、CORS *+credentials、Session 固定等，对应 §9.4 表）。
• 交付物 2：packages/auth 暴露 hashPassword / verifyPassword / signJWT / verifyJWT / authorize / requireRole 六个 API；verifyJWT 强制算法白名单（HS256/RS256，禁 none，§9.4 #2）。
• 交付物 3：notes/test.md 至少 12 条测试用例覆盖 §9.4 表 #1~#10；notes/design.md 含威胁模型 + 时序图（mermaid）。
• 交付物 4：CI 中跑 npm audit + 自写脚本扫描 JWT 头（alg、kid 注入）、CORS 配置（Access-Control-Allow-Origin: * 与 credentials 共存即失败）、cookie 属性（Set-Cookie 必须含 Secure; HttpOnly; SameSite）。
• 指标 1：JWT 验签 100% 拒绝 alg=none 与错误算法（CI 用 100 个恶意 token 样本断言零通过）；Argon2id 在中端 CI 单次 hash ≤300ms。
• 指标 2：对象级授权中间件覆盖率 100%——所有 GET/PUT/DELETE /resource/:id 必须 import authorize，CI 用 ast-grep 规则扫缺失即红。
• 指标 3：CORS 配置零容忍——Access-Control-Allow-Origin: * 与 credentials: true 共存 0 次（CI 静态扫描强制），OAuth redirect_uri 命中率 100%（白名单匹配才放行）。

8. 推荐开源资料

许可证提示：使用 OWASP、ZAP 或其他开源资料与源码前，先打开仓库或页面的 LICENSE/版权说明；默认只引用链接和思路，复制代码时保留版权与许可证文本。

默认使用顺序：先读 §1 与 OWASP 入门资料建立模型 → 用 MDN/规范查 API 和约束 → 在本地项目实现 → 用 ZAP 或对应扫描工具验证 → 到 PortSwigger 做练习 → 将证据和复盘写入 notes/。

9. 学习资料汇聚（v0.3 自包含）

9.1 背景与动机

OWASP Top 10 2021 把”A07 Identification and Authentication Failures”与”A01 Broken Access Control”列为前两位。它们覆盖了”你是谁”和”你能做什么”两个核心问题。

历史上踩过的坑：

• 2012 LinkedIn：650 万 SHA1 哈希无 salt 泄露，几天内被破；
• 2017 Equifax：管理后台越权访问 1.4 亿用户；
• 2018 Facebook Access Token 大规模泄露：View As 漏洞；
• 2019 Capital One：SSRF 到 AWS 元数据 + IAM 角色越权；
• 2023 Okta 客户支持系统：HAR 文件含 session token 泄露。

这些事件的共同点：密码弱哈希、对象授权缺失、token 管理失误、CORS/CSRF 配置松。本子主题逐一拆解。

9.2 概念地图

flowchart LR
  AuthN[认证 AuthN] --> Pwd[密码哈希]
  AuthN --> Session[Session]
  AuthN --> JWT
  AuthN --> OAuth[OAuth 2.0]
  AuthN --> MFA[TOTP / WebAuthn]
  Pwd --> Argon2[Argon2id]
  Pwd --> Bcrypt[bcrypt]
  Pwd --> Breach[泄露检查 HIBP]
  Session --> Cookie[Cookie: Secure/HttpOnly/SameSite]
  JWT --> Alg[alg 白名单]
  JWT --> Kid[kid 注入]
  JWT --> Revoke[撤销与黑名单]
  OAuth --> Code[Authorization Code]
  OAuth --> PKCE
  OAuth --> State
  OAuth --> Scope
  OAuth --> Redirect[redirect_uri 白名单]
  AuthZ[授权 AuthZ] --> RBAC
  AuthZ --> ABAC
  AuthZ --> ObjectAuth[对象级授权]
  AccessCtrl[访问控制] --> Vertical[垂直越权]
  AccessCtrl --> Horizontal[水平越权/IDOR]
  CSRF[CSRF] --> Token[CSRF token]
  CSRF --> SameSite
  CSRF --> Origin[Origin/Referer 校验]
  CORS[CORS] --> Simple[简单请求]
  CORS --> Preflight[预检 OPTIONS]
  CORS --> AllowOrigin[Allow-Origin 白名单]
  CORS --> Credentials[credentials]

关系说明：认证回答”你是谁”；授权回答”你能做什么”；对象级授权覆盖单条资源；CSRF 与 CORS 处理跨域身份传递。OAuth 解决”代用户授权第三方”，不是认证协议本身。

9.3 基础知识讲解

9.3.1 经典论文 / 标准

主推：OWASP Auth/AuthZ/CSRF Cheat Sheet + RFC 6749/7636。备查：JWT Cheat Sheet、TOTP RFC、WebAuthn。

9.3.2 经典书籍

主推：Richer《OAuth 2.0 in Action》。备查：Madden《API Security in Action》、Manico《Iron-Clad JavaScript》。

9.3.3 优秀博客 / 文档

主推：PortSwigger Academy（Access Control + CSRF）+ Auth0 Docs。备查：Okta、OWASP OAuth Cheat Sheet、MDN SameSite。

9.3.4 核心人物

主推：Justin Richer、Jim Manico。备查：Nat Sakimura、John Bradley、Neil Madden。

9.3.5 开发方法

9.4 经典问题与经典案例

9.5 学习难点

概念难点

思维难点

工程难点

9.6 技术标准与接口

9.6.1 Entity

9.6.2 Scope

• OAuth 2.0：授权框架，不定义认证；
• OIDC：在 OAuth 上加 ID Token 与 UserInfo，提供认证；
• PKCE：公共客户端防截获 authorization code；
• JWT：自包含令牌，撤销是难题；
• Session：服务端状态，撤销容易但跨服务麻烦；
• WebAuthn：浏览器侧 FIDO2，强认证；
• SameSite cookie：浏览器侧限制第三方 cookie，CSRF 防线之一。

9.6.3 Structure

必会字段、接口、API：

• HTTP 头：Set-Cookie: __Host-id=...; Secure; HttpOnly; SameSite=Strict; Path=/；
• OAuth：response_type=code、code_challenge、code_challenge_method=S256、scope、state、redirect_uri；
• JWT：alg、kid、exp、iat、nbf、aud、iss；
• Argon2id 参数：t、m、p；
• bcrypt cost factor；
• TOTP：secret（base32）、period、digits；
• WebAuthn：challenge、rpId、user verification。

9.6.4 Ecosystem

• 认证库：Auth0、NextAuth、Passport.js（Node）、Spring Security、Spring Authorization Server、Keycloak、ORY Hydra；
• OAuth 服务：Okta、Auth0、AWS Cognito、Keycloak；
• 密码哈希：argon2（Node/Python/Rust）、bcrypt、libsodium；
• JWT：jsonwebtoken、jose、PyJWT、go-jwt；
• MFA：otplib（TOTP）、SimpleWebAuthn、WebAuthn 库；
• CORS：cors（Express）、Django CORS、Spring CORS；
• 事实标准 vs 标准本身：浏览器 SameSite 默认值、CORS preflight 行为；这些不是 RFC 但部署时要考虑。

9.6.5 Depth Tiers

本计划目标：L3。

9.6.6 Source

• OWASP 仓库：https://github.com/OWASP/
• IETF RFC Editor：https://www.rfc-editor.org/
• W3C WebAuthn：https://www.w3.org/TR/webauthn-2/
• Auth0 文档：https://auth0.com/docs
• 引用版本快照日期：2026-07-30。

10. 常见误区

• 用 MD5 / SHA1 哈希密码；
• 密码明文写日志；
• JWT alg: none 接受；
• 不区分 access token 与 refresh token；
• refresh token 永不过期；
• OAuth 公共客户端不用 PKCE；
• redirect_uri 不做白名单（https://attacker.com 也能拿 code）；
• 认证后不做对象级授权（任何登录用户都能改任何资源）；
• CSRF 只靠 SameSite；token + Origin 校验仍必要；
• CORS * + credentials: true；
• “前端已经隐藏就算安全”；
• 用 GET 请求做状态变更；
• TOTP secret 明文存数据库；
• 强制 MFA 但提供弱恢复路径；
• WebAuthn 不验证 challenge 一次性。

11. 所有知识点分类（统一规则）

1. 编程语言
2. 数据结构与算法
3. 计算机基础
4. 工程技术
5. Web 与后端
6. 前端与客户端
7. 数据与人工智能
8. 项目与职业能力
9. 安全与可靠性

本计划归属：安全与可靠性 主 + Web 与后端 辅。