在 Node.js 服务器中实现安全且生产就绪的身份验证系统，而无需依赖第三方提供商

Question

我习惯使用 Meteor JavaScript 框架来开发 Web 应用程序，该框架负责处理身份验证。我现在第一次开发一个 Web 应用程序，在后端使用 Node.js (Express) + GraphQL 堆栈，在前端使用 React，所以我必须自己处理身份验证。

我读了很多有关它的内容，并且我喜欢基于令牌的身份验证的想法。我正在考虑使用 JWT，这样我就不必处理会话了。

我知道有很多教程，但每个教程总是有一种免责声明，例如：“本教程尚未准备好用于生产，仅将其用于教育目的......”。每次我读到有关身份验证的内容时，它似乎都很难实现，我不应该自己实现它。但我不想使用 AWS Cognito、Google Cloud Platform 等服务提供商，因为我想将用户数据保留在我自己的系统和数据库中。我不想受第三方提供商的束缚。

我知道如何生成 jwt 令牌、刷新令牌、如何验证它们等等...我能够开发一个工作身份验证系统，但由于所有这些评论，我永远不确定我是否以安全和生产就绪的方式进行操作我可以在网上阅读。

那么，您建议如何在 Node.js 服务器中实现安全且可用于生产的身份验证系统，而无需依赖第三方提供商。您知道有关它的完整教程或文档吗？

Answer 1

有多种方法可以实现应用程序的身份验证。

• 使用您管理的身份服务器
• 使用完全管理服务进行身份验证。
• 使用身份验证中间件。
• 编写您自己的身份验证解决方案。

如果您担心供应商锁定，我建议使用像PassportJS这样的身份验证中间件，它将有助于身份验证策略及其实现的抽象。

另一方面，编写自定义身份验证在安全性方面可能具有挑战性，特别是寻找和修复这些漏洞。