auth-module-builder

用途：帮助开发者实现安全、可上生产的认证系统，围绕登录、注册、登出、令牌刷新与找回密码等环节给出实现模式。主要能力：提供路由设计（POST /login、/register、/logout、/refresh、/forgot-password）；提供中间件 authenticate、requireAuth、optionalAuth；安全措施包括 bcrypt 哈希、JWT 签名、安全 Cookie、CSRF 令牌；会话支持 Redis 或数据库存储、过期与刷新令牌；并记录常见攻击与缓解方式。使用方式：JWT 模式中用 jwt.sign 生成访问令牌（有效期 15m）与刷新令牌（7d），在 authenticate 中间件里从 Authorization 头取令牌并用 jwt.verify 校验；会话模式中使用 express-session 搭配 RedisStore，设置 secret、cookie 的 secure、httpOnly、maxAge 与 sameSite。密码使用 bcrypt.hash 与 bcrypt.compare。安全清单建议密码 bcrypt 成本≥10、JWT 密钥来自环境并定期轮换、生产环境仅 HTTPS、httpOnly 与 secure Cookie、启用 CSRF、认证路由限流、失败锁定、重置令牌过期、新账号邮箱验证。威胁模型说明暴力破解用限流与账户锁定、令牌窃取用短过期与 httpOnly HTTPS、CSRF 用 SameSite 与令牌、会话固定用登录时重新生成会话 ID、XSS 用输入清理与 CSP 头。限制：资料未提供具体安装命令、依赖版本、所支持框架的完整列表以及价格或授权信息。