驗證
AM 會處理憑證驗證、密碼雜湊與 magic link，讓你專注在應用程式邏輯。
你可以依使用者型態選擇適合的方式，例如企業場景使用傳統密碼、消費型產品使用 magic link。
驗證方式
Email + 密碼
憑證使用 PBKDF2 雜湊。使用者以 email 和密碼註冊，之後以同一組憑證登入。
User ──▶ Email + Password ──▶ PBKDF2 Verify ──▶ Issue TokensMagic Links
透過一次性 email 連結完成無密碼驗證。使用者點擊連結後即可登入。
密碼重設
使用者忘記憑證時的安全復原流程：
- 使用者呼叫
/auth/send-password-reset發出重設請求 - 系統將時效性 token 寄到已驗證的 email
- 使用者透過
/auth/reset-password設定新密碼
Token 存活時間
| Token | 預設值 | 用途 |
|---|---|---|
| Access Token | 1 hour | API 授權 |
| Refresh Token | 14 days | 取得新的 access token |
| CSRF Token | Session | 防止跨站請求攻擊 |
存活時間可依 client 進行設定。
安全性
- PBKDF2 雜湊：業界標準的密碼儲存方式
- Rate Limiting：防止暴力破解攻擊
- CSRF 保護：對狀態變更請求強制啟用
- 安全 Cookie：支援 HttpOnly、Secure、SameSite 選項