写给真正
交付技术栈的人
关于 React、Node.js、TypeScript 与 AI 的文章。有译文正文时显示译文。没有时显示英文，并注明这一点。
标签：JWT
认证词汇映射：API密钥、会话、JWT、OAuth2、OIDC、SSO
通过一个核心问题将 API 密钥、会话、JWT、OAuth2、OpenID Connect 以及 SSO 归类到一起，从而了解它们之间的关联：是谁在发起请求，或者他们能做些什么。
阅读约 10 分钟将 React 应用的 JWT 从 localStorage 移至 HttpOnly Cookie 中
了解为何 localStorage 中的 JWT 容易受到任何 XSS 攻击，以及如何通过带 SameSite 属性、定期轮换和 BFF 机制降低风险，还有 React 应用中仍存在的哪些隐患。
阅读约 9 分钟Express 中基于角色的访问控制：JWT与两个中间件的应用
了解如何通过将 JWT 认证中间件与可重用的 authorize() 保护机制结合，在 Express API 中实现基于角色的访问控制，以及何时返回 401 错误码而非 403 错误码。
阅读约 4 分钟Express与Axios令牌刷新，逐个请求追踪
使用 Express 后端和 Axios 客户端构建 JWT 访问及刷新流程，然后追踪 401 错误如何转化为一次共享的刷新操作以及透明的重试机制。
阅读约 8 分钟MovieVault使用指南：基于Express 5、Prisma 7和JWT的观看列表API实现
MovieVault：一项限时的全栈开发练习，使用Express 5、Prisma 7和JWT实现观看列表API，并附有关于所有权检查、级联效应及错误处理的详细说明。
阅读约 14 分钟在 Node.js API 中构建可用于生产的 JWT 认证机制
如何对密码进行哈希处理、生成短时效的 JWT、添加刷新令牌与撤销机制、分离授权功能、抵御暴力攻击，以及验证认证失败时的处理是否正确。
阅读约 13 分钟API安全实现：JWT与OAuth、验证、速率限制、监控。
实际应用中的API安全措施：JWT与OAuth认证、授权、加密、输入验证、速率限制以及用于检测攻击的日志记录。
阅读约 22 分钟当 JWT 认证变为有状态时：在 Node 中使用服务器端会话的必要性
黑名单与刷新存储机制本身就让 JWT 认证具有状态性。Node.js 中基于 Postgres 的 Express 会话机制更为简单，且在适合使用 JWT 的场景下表现良好。
阅读约 7 分钟为何并发的401认证会使用户登出，以及单次刷新的解决方案
并行请求与刷新令牌轮换是如何相互影响导致意外登出，以及 Axios 拦截器中的共享刷新承诺又是如何避免这种情况的。
阅读约 6 分钟