1. 课程导入与安全目标
在任何一个需要“登录”的Web系统里，认证与会话都是绕不开的基础设施。用户输入账号密码、扫码、刷脸或使用一次性验证码，系统确认“你是谁”，这是认证（Authentication）；确认身份之后，系统还要在后续的每一次请求中记住“你仍然是刚才那个人”，这是会话（Session）。认证解决的是身份断言问题，会话解决的是身份延续问题。二者一旦被攻破，攻击者不需要破解数据库、不需要拿到服务器权限，就能以合法用户的身份读取数据、发起交易、修改配置。因此，本课程把“Web认证与会话安全治理”作为一条完整的安全主线来讲解，而不是零散地介绍某个漏洞或某个框架的用法。
一、核心资产：我们到底在保护什么
做安全治理，第一步不是找漏洞，而是明确资产。Web认证与会话场景中，真正需要保护的核心资产可以归纳为四类：
- 身份凭证：口令、口令哈希、TOTP种子、WebAuthn私钥、OAuth客户端密钥等。它们决定“能否证明身份”。
- 会话凭据：Session ID、JWT、Refresh Token、Cookie中的会话标识。它们决定“能否延续身份”。
- 身份上下文：用户ID、角色、权限、租户、登录时间、设备指纹等。它们决定“以什么身份、在什么范围内操作”。
- 认证审计数据：登录日志、失败次数、IP、User-Agent、会话创建与销毁记录。它们决定“能否发现和追溯异常”。
这四类资产的价值不同，攻击者的目标也不同。凭证泄露往往导致撞库和横向移动；会话凭据泄露则直接造成账户接管；身份上下文被篡改可能引发越权；审计数据缺失会让攻击长期潜伏而无人察觉。治理动作必须围绕这些资产展开，而不是围绕“某个框架的默认配置”展开。
二、威胁模型：攻击者会从哪里下手
认证与会话的威胁模型可以按“攻击者位置”和“攻击目标”两个维度来理解。常见威胁包括：
- 凭证填充与撞库：攻击者用泄露的账号密码批量尝试登录，利用用户复用口令的习惯。
- 会话固定（Session Fixation）：攻击者预先让受害者使用一个已知的Session ID，登录后该ID升级为已认证会话，攻击者直接复用。
- 会话劫持：通过XSS读取Cookie、通过中间人嗅探明文传输、通过恶意浏览器扩展窃取Token。
- CSRF：利用浏览器自动携带Cookie的特性，诱导已登录用户在不知情的情况下发起请求。
- JWT相关缺陷：算法混淆（alg=none或RS256/HS256混淆）、未校验签名、过期时间过长、密钥硬编码。
- OAuth/OIDC配置错误：redirect_uri校验不严、state缺失、授权码泄露、隐式流滥用。
- 会话生命周期失控：登出只清前端、服务端会话未失效；长期不活动会话仍有效；并发会话无限制。
这些威胁不是孤立存在的。一次典型的账户接管往往由“弱口令 + 无速率限制 + 会话固定 + 缺少异常检测”共同促成。因此，治理必须成体系，而不是单点修补。
三、治理框架：从认证到会话的完整链路
本课程把治理动作组织为一条从“身份断言”到“会话终结”的链路，并在每个环节设置控制点。下图展示了这条链路的核心结构与关键控制点，便于在后续章节中逐项展开。
图中四个阶段并非线性独立，而是相互影响。例如，会话建立阶段的Cookie属性设置不当，会让会话维持阶段的CSRF防护形同虚设；会话终结阶段没有服务端销毁，会让前面的认证强度失去意义。治理的目标不是把每个阶段做到“绝对安全”，而是让整条链路的安全水位可度量、可运营、可回溯。
四、课程实战路线图
本课程共30章，按“认知—实现—检测—治理”的节奏推进。前几章建立认证与会话的基本模型，明确资产与威胁；中间章节进入具体实现，包括口令存储与校验、多因素认证、Session与JWT的签发与校验、Cookie安全属性、CSRF防护、OAuth/OIDC集成、单点登录与登出；随后进入检测与响应，覆盖登录限速、异常会话识别、审计日志、会话固定与劫持的排查；最后落到治理与运营，包括会话生命周期策略、密钥与令牌轮换、权限最小化、合规检查与持续改进。
每一章都会围绕一个可验证的目标展开。例如，在“会话固定”章节中，我们会构造一个示例：攻击者先访问登录页获得SESSIONID=abc123，然后诱导受害者使用同一ID登录；如果服务端在认证成功后没有重新生成Session ID，攻击者就能用abc123直接访问受害者的账户。对应的治理动作是：认证成功后必须调用会话重建接口，使旧ID立即失效。这个动作是否生效，可以通过“登录前后Session ID是否变化”以及“旧ID是否返回401”来验证。
五、一个可用的治理检查起点
在进入具体章节之前，可以先建立一份最小检查表，用于后续逐项对照。以下字段来自认证与会话治理中最常见的控制点，可直接作为自查或评审的起点：
| 检查项 | 观察对象 | 合格判断示例 |
|---|---|---|
| 口令存储 | 数据库中的口令字段 | 使用bcrypt/Argon2等慢哈希，含随机盐，不可逆 |
| 登录限速 | 连续失败请求的响应 | 同一账号/IP在阈值后触发延迟或锁定，并记录日志 |
| 会话ID随机性 | Set-Cookie中的Session ID | 长度足够、不可预测、认证成功后重新生成 |
| Cookie属性 | Set-Cookie头部 | HttpOnly、Secure、SameSite=Lax/Strict按场景设置 |
| CSRF防护 | 状态变更请求 | 校验CSRF Token或使用SameSite+自定义头双重约束 |
| 登出有效性 | 登出后的旧会话请求 | 服务端销毁会话，旧Cookie/Token返回未授权 |
| 审计日志 | 登录、登出、失败、异常事件 | 包含时间、账号、IP、结果、会话标识，可检索 |
这份表不是标准答案，而是一个起点。随着课程推进，你会逐步理解每一项背后的攻击路径、实现细节和验证方法。真正的治理能力，体现在你能根据业务场景调整控制强度，而不是机械地勾选检查项。