身份、权限与安全

用户登录后，系统确认身份并建立会话。每次访问资源时，后端根据身份、角色、资源归属和上下文判断是否允许。

权限需要覆盖接口和数据范围。项目成员能查看当前项目，管理员能管理全部项目，访客可能只能读取公开内容。

Cookie 是浏览器保存并随请求发送的小型数据。Session 通常在服务端保存登录状态，Cookie 只保存会话标识。Token 让客户端携带可验证凭证。

不同方案在撤销、扩展、跨端和安全方面各有取舍。敏感凭证需要安全存储、合理过期，并防止被脚本或第三方窃取。

JWT 包含 Header、Payload 和签名，服务端可以验证内容是否被篡改。它不自动解决权限、撤销和安全存储问题。

OAuth 让用户授权第三方应用访问有限能力，常用于 Google、GitHub 或微信登录。SSO 让多个企业系统共享统一身份入口。

RBAC 把权限分配给角色，再把角色分配给用户。它易于理解和管理，适合管理员、编辑、访客等常见模型。

ABAC 根据用户、资源、动作和环境属性判断，例如“项目负责人可以在项目未结项时修改预算”。复杂系统常把角色、数据范围和业务条件组合。

XSS 利用未安全处理的内容执行脚本；CSRF 借用用户已登录状态发起伪造操作；SQL Injection 把恶意输入拼进数据库查询。

CORS 控制浏览器跨域访问，它属于浏览器安全策略。输入校验、输出编码、参数化查询、CSRF Token 和合理 Header 可以降低风险。

密码通常进行单向 Hash 并加盐，系统不需要恢复原文。Encryption 可以在持有密钥时恢复数据，适合保护敏感字段和传输。

API Key、数据库密码和签名密钥属于 Secret，应由环境或密钥管理系统保存。Audit Log 记录谁在何时对什么资源做了什么操作。