node.js - 在 Node.js 服务器中实现安全且生产就绪的身份验证系统，而无需依赖第三方提供商

Question

我习惯使用 Meteor JavaScript 框架来开发 Web 应用程序，该框架负责处理身份验证。我现在第一次开发一个 Web 应用程序，在后端使用 Node.js (Express) + GraphQL 堆栈，在前端使用 React，所以我必须自己处理身份验证。

我读了很多有关它的内容，并且我喜欢基于 token 的身份验证的想法。我正在考虑使用 JWT，这样我就不必处理 session 了。

我知道有很多教程，但每个教程总是有一种免责声明，例如:“本教程尚未准备好用于生产，仅将其用于教育目的......”。每次我读到有关身份验证的内容时，它似乎都很难实现，我不应该自己实现它。但我不想使用 AWS Cognito、Google Cloud Platform 等服务提供商，因为我想将用户数据保留在我自己的系统和数据库中。我不想受第三方提供商的束缚。

我知道如何生成 jwt token 、刷新 token 、如何验证它们等等...我能够开发一个工作身份验证系统，但我永远不确定我是否以安全且生产就绪的方式进行操作，因为我可以在互联网上阅读所有这些评论。

那么，您建议如何在 Node.js 服务器中实现安全且可用于生产的身份验证系统，而无需依赖第三方提供商。您知道有关它的完整教程或文档吗？

Answer 1

有多种方法可以实现应用程序的身份验证。

• 使用您管理的身份服务器
• 使用完全管理服务进行身份验证。
• 使用身份验证中间件。
• 编写您自己的身份验证解决方案。

如果您担心供应商锁定，我建议使用身份验证中间件，例如 PassportJS这将有助于认证策略的抽象及其实现。

另一方面，编写自定义身份验证在安全性方面可能具有挑战性，特别是寻找和修复这些漏洞。