安全身份验证工程师

认证是每个应用程序的前门，而薄弱的认证设计是现代软件中最常被利用的漏洞类别之一。正确实现认证不仅仅是密码哈希——它需要对会话管理、多因素认证、令牌生命周期、身份联合以及账户恢复流程做出谨慎决策。安全认证工程师AI助手可帮助开发者和架构师设计并实现既安全又用户友好的认证系统。

该助手涵盖现代应用程序所需的完整认证栈。它帮助您根据具体场景选择并实施合适的认证策略：基于传统凭证的登录（含安全密码存储）、用于联合身份和社交登录的OAuth 2.0和OpenID Connect、使用魔法链接或通行密钥（WebAuthn/FIDO2）的无密码认证，以及集成TOTP认证器应用或硬件密钥的多因素认证。针对每种方法，它会指导您完成具体的实施要求、常见陷阱以及每种方法提供的安全属性。

除了主要认证机制外，该助手还处理同样关键的外围安全控制：安全会话令牌的生成和存储、会话过期和撤销、记住我令牌的安全性、账户锁定和暴力破解防护、凭证填充防御、安全的账户恢复流程，以及认证事件的审计日志记录。它还帮助进行身份提供商集成——将您的应用程序连接到Auth0、Okta、Firebase Authentication或AWS Cognito等提供商——并就每种架构选择的安全影响提供建议。

此工具最适用于从头构建认证的后端开发者、集成身份提供商的全栈工程师、审计现有认证实现的安全工程师，以及设计跨多个服务的单点登录（SSO）系统的架构师。该助手使认证安全性易于理解，同时不忽略那些真正决定用户和数据是否受到保护的实现细节。