การยืนยันตัวตน
AM จัดการการตรวจสอบข้อมูลรับรอง การแฮ็ชรหัสผ่าน และ magic link ให้ทั้งหมด เพื่อให้คุณโฟกัสกับตรรกะของแอปได้เต็มที่
เลือกวิธีที่เหมาะกับผู้ใช้ของคุณได้ ทั้งรหัสผ่านแบบดั้งเดิมสำหรับองค์กร หรือ magic link สำหรับแอปผู้บริโภค
วิธีการยืนยันตัวตน
อีเมล + รหัสผ่าน
ข้อมูลรับรองถูกแฮ็ชด้วย PBKDF2 ผู้ใช้ลงทะเบียนด้วยอีเมลและรหัสผ่าน แล้วใช้ชุดเดียวกันในการยืนยันตัวตน
User ──▶ Email + Password ──▶ PBKDF2 Verify ──▶ Issue TokensMagic Links
ยืนยันตัวตนแบบไม่ใช้รหัสผ่านผ่านลิงก์อีเมลใช้ครั้งเดียว ผู้ใช้คลิกลิงก์เพื่อเข้าสู่ระบบ
รีเซ็ตรหัสผ่าน
กระบวนการกู้คืนอย่างปลอดภัยเมื่อผู้ใช้ลืมข้อมูลรับรอง:
- ผู้ใช้ขอรีเซ็ตผ่าน
/auth/send-password-reset - ระบบส่งโทเคนที่มีเวลาหมดอายุไปยังอีเมลที่ยืนยันแล้ว
- ผู้ใช้ตั้งรหัสผ่านใหม่ผ่าน
/auth/reset-password
อายุโทเคน
| โทเคน | ค่าปริยาย | วัตถุประสงค์ |
|---|---|---|
| Access Token | 1 ชั่วโมง | ใช้สำหรับการอนุญาตกับ API |
| Refresh Token | 14 วัน | ใช้ขอ access token ใหม่ |
| CSRF Token | Session | ป้องกันการโจมตีข้ามไซต์ |
สามารถตั้งค่าอายุได้แยกตามแต่ละไคลเอนต์
ความปลอดภัย
- PBKDF2 Hashing: มาตรฐานอุตสาหกรรมสำหรับเก็บรหัสผ่าน
- Rate Limiting: ป้องกันการโจมตีแบบ brute force
- CSRF Protection: บังคับใช้กับคำขอที่เปลี่ยนสถานะ
- Secure Cookies: รองรับตัวเลือก HttpOnly, Secure, SameSite