Auth Service

Åtkomsttoken är JWT som går ut efter 15 minuter. Refresh-token är slumpade strängar som bara sparas som SHA-256-hashar, så en kopia av databasen ger ingen tillgång till sessioner. Varje förnyelse spärrar den gamla token och utfärdar ett nytt par, och en återställning av lösenordet avslutar alla användarens sessioner.

Avvägning: Korta åtkomsttoken gör att en stulen token inte är värd mycket, men apparna förnyar ofta, så förnyelsen måste vara snabb och pålitlig.

Allt med en livslängd ligger i Redis med en utgångstid: räknaren för misslyckade inloggningar (fem misslyckanden låser kontot i 15 minuter), begränsningar per IP-adress för inloggning, registrering och lösenordsåterställning, engångstoken som skyddar inloggningen med GitHub och Google mot CSRF, och en spärrlista för åtkomsttoken som spärrats innan de gått ut.

Glömt lösenord och ny verifieringslänk svarar likadant oavsett om e-postadressen finns, och en misslyckad inloggning säger ”fel e-post eller lösenord” i båda fallen. Token för återställning och verifiering sparas hashade och fungerar exakt en gång.

Avvägning: Registreringen säger fortfarande när en e-postadress redan finns: den vanliga kompromissen mellan integritet och ett tydligt felmeddelande.

Användare har roller (admin, moderator, användare) som skapas av en migrering. En route anger vilken roll den kräver med ett require_role()-beroende, så kontrollen står bredvid routen i stället för inuti den. Administratörer hanterar användare och roller via API:t, och det lilla webbgränssnittet som följer med tjänsten har en adminvy ovanpå det.

Tjänsten går också att följa från början: varje svar har ett X-Request-ID som kopplas till de strukturerade loggarna, viktiga händelser skriver granskningsposter, svar som begränsats säger när man kan försöka igen, och /health kontrollerar PostgreSQL och Redis och svarar 503 om någon av dem ligger nere.