auth-patterns

用途：在实现登录/注册、存储用户凭据、验证用户身份、处理会话或令牌时，提供认证安全模式指导，避免不安全凭据存储。主要能力：明确禁止明文密码、可逆加密及 MD5/SHA1/SHA256 等快速哈希；推荐 bcrypt 或 Argon2 慢哈希并加盐，bcrypt 盐轮数建议≥12；提供 hashPassword 与 verifyPassword 示例；登录时使用恒定时间比较，用户不存在时也进行验证；对“用户不存在”和“密码错误”返回相同错误以防用户枚举；要求登录端点限流与失败锁定；JWT 使用短过期和安全密钥，会话使用 secure、httpOnly Cookie，支持令牌刷新，登出或改密后失效。限制与说明：资料未提供具体安装命令、依赖版本、部署方式、收费信息或性能数据；示例为 TypeScript 代码片段，实际使用需结合项目技术栈调整。资料强调所有环境（含开发）都应使用正确哈希，不应以“仅内部用户”“防火墙后”“以后再加密”等理由降低安全标准。