认证实现与框架集成
RESTful API、JWT 与权限认证#Python全栈#第十三阶段#RESTful API、JWT 与权限认证#认证实现与框架集成约 762 字 · 2 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
FastAPI 的 OAuth2PasswordBearer 或安全依赖主要负责什么？
追问 它能否自动验证签名、加载用户和判断业务权限？依赖声明与真正安全逻辑如何衔接？
Django Session 认证与 JWT Bearer 认证有什么差别？
追问 服务端状态、撤销、浏览器自动携带和跨服务验证分别怎样影响选择？为什么不存在对所有系统都更优的一种？
Flask 中实现 JWT 认证时，装饰器、依赖函数和业务服务如何分工？
追问 如何让视图获得当前用户而不重复解析令牌？装饰器包装如何保留函数元数据与清晰错误？
登录接口如何防止暴力尝试和账号枚举？
追问 限流、逐步延迟、统一错误反馈、审计和异常登录提醒怎样组合？为什么只在前端限制按钮没有意义？
密码重置令牌与访问 JWT 为什么通常不应共用格式和权限？
追问 重置链接的单次使用、短期有效、绑定用户和撤销如何处理？使用访问令牌代替会带来什么风险？
服务间调用使用 JWT 时，应如何区分用户令牌与服务身份？
追问 client credentials、服务账户、audience 和最小 scope 如何表达？转发用户令牌是否总是合适？
公钥发布与密钥轮换如何支持多个验证版本？
追问 kid、JWKS、旧钥匙保留窗口和缓存刷新怎样配合？轮换时怎样避免立即让合法用户全部掉线？
密钥泄露后，应如何应急处理？
追问 撤换密钥、撤销令牌、排查日志、通知影响方和恢复服务的顺序如何安排？为什么仅更换环境变量不等于所有旧令牌失效？
JWT 时钟、时区和时间精度问题如何排查？
追问 exp、nbf 与 iat 使用什么时间基准？服务器时钟漂移如何造成间歇性认证失败？
如何把认证失败、权限拒绝与业务异常统一接入日志和监控？
追问 请求 ID、subject、tenant、资源 ID 和拒绝原因怎样脱敏记录？为什么不能把完整 Authorization 头写入日志？