边缘认证与会话管理：JWT、Cookie 与 Serverless 登录实战

纯边缘函数（Cloudflare Workers）：无状态优先 → JWT
需要强登出/权限变更即时生效  ：KV 存 Session → 每次查 KV
混合（推荐）：
  JWT 管「身份信息」+ KV 存「撤销名单/会话元数据」

JWT 验签：用公钥/密钥在边缘函数内验签 → 无需查库
Session 查询：每个请求查 KV/Redis → 边缘到数据中心有延迟
因此边缘场景默认 JWT，除非有强撤销需求

Header.Payload.Signature
Header : { "alg": "HS256", "typ": "JWT" }
Payload: { "sub": "user-123", "role": "admin", "exp": 1730000000, "iat": 1729996400 }
签名   : HMAC(header.payload, secret)  （或 RS256 用私钥签、公钥验）

// Cloudflare Workers：签发 JWT（示意）
import { SignJWT, jwtVerify } from 'hono/jwt'

// 登录成功 → 签发
const token = await new SignJWT({ sub: user.id, role: user.role })
  .setProtectedHeader({ alg: 'HS256' })
  .setExpirationTime('2h')
  .sign(secret)

// 每次请求 → 验签
async function authenticate(req: Request) {
  const token = getCookie(req, 'session') || bearerToken(req)
  try {
    const { payload } = await jwtVerify(token, secret)
    return payload  // { sub, role }
  } catch {
    return null     // 过期/篡改
  }
}

HS256：对称密钥，同密钥签发+校验 → 适合单信任域
RS256：私钥签发、公钥验签 → 适合多服务/第三方验证（无共享密钥）
边缘验证用 RS256 公钥：任何边缘函数都能验，密钥不泄露

// 登录后设置会话 Cookie
return new Response('ok', {
  headers: {
    'Set-Cookie': `session=${token}; HttpOnly; Secure; SameSite=Lax; Path=/; Max-Age=7200`
  }
})

SameSite=Lax：绝大多数跨站请求不带 Cookie → 挡住 CSRF
高危写操作再加：CSRF Token（双重提交）+ Origin 校验

// 双保险：校验 Origin + 自定义头
function csrfGuard(req: Request) {
  const origin = req.headers.get('Origin')
  const allowed = new Set(['https://app.example.com'])
  if (origin && !allowed.has(origin)) return false
  // 自定义头要求：fetch 必须带 X-Requested-With（浏览器不会自动带）
  return !!req.headers.get('X-Requested-With')
}

HttpOnly 挡「读 Cookie」，但挡不住「执行脚本」
XSS 防护组合：
  1. 输出转义（前端框架默认）
  2. CSP（Content-Security-Policy）限制脚本来源
  3. 敏感操作二次验证（密码/短信）

// Vercel：Middleware 在边缘对所有请求做鉴权
import { NextResponse } from 'next/server'
import { jwtVerify } from 'hono/jwt'

export async function middleware(request: Request) {
  const token = request.cookies.get('session')?.value
  if (!token) {
    return NextResponse.redirect(new URL('/login', request.url))
  }
  try {
    const { payload } = await jwtVerify(token, process.env.JWT_SECRET!)
    request.headers.set('x-user-id', payload.sub as string)
    return NextResponse.next({ request })
  } catch {
    return NextResponse.redirect(new URL('/login', request.url))
  }
}

export const config = {
  matcher: ['/dashboard/:path*', '/api/private/:path*']  // 只拦截敏感路径
}

// Cloudflare Workers：入口统一鉴权
export default {
  async fetch(req: Request) {
    const url = new URL(req.url)
    if (url.pathname.startsWith('/admin')) {
      const auth = await authenticate(req)
      if (!auth) return new Response('Unauthorized', { status: 401 })
    }
    // 继续路由
  }
}

边缘中间件/入口：全局兜底（未登录 → 重定向）
具体路由/API   ：细粒度权限（角色校验）
函数内二次校验  ：敏感操作（写操作/改权限）
三层叠加，边缘兜底 + 核心再次校验

适合 Serverless（无需保存客户端密钥的风险方案）：
  1. 前端生成 code_verifier → 计算 challenge → 跳转授权
  2. 授权回调 → 带 code + code_verifier 换 token
  3. 用 access_token 取用户信息 → 本地签发会话

// NextAuth + Vercel Postgres 存会话
import NextAuth from 'next-auth'
import GitHub from 'next-auth/providers/github'
import { PostgresAdapter } from '@auth/pg-adapter'

export const { handlers, auth } = NextAuth({
  adapter: PostgresAdapter(pool),
  providers: [GitHub],
  session: { strategy: 'database' },  // 数据库会话，登出即时生效
})

1. 回调 URL 必须是稳定的公网地址（不能是临时 Preview）
2. 会话存储选 KV/数据库（数据库会话可即时登出）
3. OAuth 状态参数要防 CSRF（state 随机值 + 校验）
4. 用户信息变更后要能同步（webhook 或下次登录刷新）

JWT Payload 带 tenant_id → 每个请求都能判断「属于哪个租户」
数据访问必须带租户条件 → 防越权

// JWT 带租户
const token = await new SignJWT({
  sub: user.id, tenant: user.tenantId, role: user.role
}).setExpirationTime('2h').sign(secret)

// 查询必须限定租户
async function getOrders(payload: { tenant: string }, req) {
  return await db.query('SELECT * FROM orders WHERE tenant_id = $1', [payload.tenant])
}

1. Cookie 名可加租户后缀，避免跨租户串会话
2. 缓存键带 tenant_id（防止一租户命中另一租户缓存）
3. 边缘中间件也可按租户路由到不同后端
4. 登出要按租户+用户精确失效

JWT 发出去就「无法主动作废」（除非黑名单）
方案：
  1. 短 exp（15分钟-2小时）→ 过期即失效
  2. KV 黑名单：登出时把 jti 写进 KV → 每次验签查 KV（有状态了）
  3. 版本号：改密/改角色时递增 user 的 auth_version → token 里带 version，不匹配即失效

// KV 黑名单登出
await KV.put(`blacklist:${jti}`, '1', { expirationTtl: ttl })

// 校验时
if (await KV.get(`blacklist:${payload.jti}`)) {
  return null  // 已登出
}

用户改密码 → 递增 auth_version → 所有旧 token 验签时 version 不匹配 → 全失效
这是「吊销所有已发 Token」最干净的实现

请求 → 边缘中间件（Vercel/Cloudflare）
       ├─ 无 session Cookie → 302 到 /login
       ├─ 有 Cookie → 验签 JWT（RS256 公钥 / HS256 密钥）
       │    ├─ 校验 auth_version + 黑名单
       │    ├─ 通过 → 注入 x-user-id/tenant → 放行到函数
       │    └─ 失败 → 401 / 清 Cookie
       └─ 写操作 → 函数内再校验角色 + CSRF Token

登录 → OAuth PKCE / 密码 → 签发 JWT（短 exp）→ Set-Cookie（HttpOnly/Secure/SameSite）
登出 → 清 Cookie + KV 黑名单写 jti → 立即失效

边缘中间件：全局「是否登录」兜底（快）
函数内     ：角色/租户/写权限细粒度校验（准）
KV/数据库  ：会话撤销与审计（可管）