数据与服务 · 账号与安全

登录Login

登录是一次握手：交出标识和秘密，服务端比对存的 hash，通过就发一张可复用凭证（session id / token），之后每个请求靠它证明身份——登录只是鉴权的开始。

登录握手观察台：提交一次，看服务端各阶段与失败升级

登录不是「点一下就进去了」：你交出标识和秘密，服务端比对存的 hash，通过就发一张可复用凭证。在这里亲手提交，看管线哪几段亮、凭证是否出现、连错和猛试如何升级。

以已注册账户 me@demo.com 为例（库里存的密码摘要是 $2b$12$R1p…aGh（bcrypt 摘要，库里只存这个，不存明文密码））。填好密码点主操作「登录」，看握手管线哪几段亮、凭证物件是否出现、尝试日志如何升级。

面板已经把每次提交的结果演给你看了，这里把它们命名清楚，并补上无法直接操作的部分。

登录是一次握手，不是持续连接：提交标识+秘密 → 比对 hash → 发凭证 → 写 Cookie / 回 token → 跳转；握手结束后密码就不再参与后续请求。
永远不存明文密码：库里只有加盐慢哈希（bcrypt / argon2），比对用 compare(输入密码, hash) 在服务端做；就算库里这张 $2b$12$… 泄漏也无法直接还原密码。
失败要通用、不泄漏账户：邮箱错和密码错回同一句「邮箱或密码不正确」，避免被人用不同响应逐个探测哪些邮箱已注册（用户枚举）。
锁定与限流位置不同：账户锁定在查记录之后（连错 N 次短路在比对前），边缘限流在请求进入应用之前（提交过快直接 429，整条管线都不走）——两者互补。
登录只是开始：之后每个请求靠 sid / token 证明身份，密码不再发送；所以 sid 的保管（HttpOnly、有效期、可撤销）才是日常鉴权的重心。
日志不记明文密码：只记掩码或指纹，避免日志、监控、Referer、网关访问记录把密码长期留存。

从「这次调用要不要把匿名动作绑到一个身份」出发，而不是默认都加登录墙。

一次能跑通的登录握手，只走这几步。

前端用真实 <form> + <label> + autocomplete="username" / "current-password"，POST /api/login 提交邮箱和密码。
服务端查用户记录，取出存的 hash，用 bcrypt.compare / argon2.verify 比对，不要自己拼摘要算法。
通过则生成随机 opaque sid（或签名 token），落库映射到用户与角色，回 Set-Cookie（HttpOnly + Secure + SameSite）或 Authorization token。
失败回通用提示并计数；到阈值锁定账户或限流 IP；成功回 302 跳转登录前的原目标页。
之后请求靠 sid / token 鉴权，密码不再发送；登出时撤销服务端会话并用同名 Cookie Max-Age=0 清掉浏览器侧。

只改几处关键选择，结果差很多。这是登录工程边界里最该记住的一组对照。

正例：argon2 存摘要 + 通用错误 + 锁定与限流 + HttpOnly Cookie 发 sidcompare(输入密码, argon2_hash) → 通过则发 sid；失败回「邮箱或密码不正确」

库里只有 argon2 摘要、密码无法还原；凭证不匹配用同一句通用提示，连错锁定账户、猛试 429 限流；sid 走 HttpOnly + Secure + SameSite Cookie，脚本读不到、日志不记密码。

反例：明文存密码 + 区分「邮箱不存在 / 密码不对」+ 无限流 + 写日志SELECT password FROM users WHERE email=… 然后直接字符串比较

库里被脱库一次，全部账号密码同时泄漏；两种错误响应能被脚本用来逐个探测已注册邮箱；没有限流可以无限撞库；明文进日志后，网关、监控、备份都会长期留底——任何一处泄漏都等于全员泄漏。

同一登录页，「该邮箱未注册」和「密码不正确」返回不同文案，最大的风险是什么？

术语的技术定义和行为以这些一手或权威资料为准。

和本知识点经常一起出现的概念。