Реализовывал ли с нуля аутентификацию?

Моя практика в реализации аутентификации с нуля

Да, я несколько раз реализовывал системы аутентификации с нуля для различных проектов, от монолитных веб-приложений до распределенных микросервисных архитектур. Это сложная, но критически важная задача, требующая глубокого понимания безопасности, протоколов и архитектурных паттернов.

Ключевые компоненты и мои подходы

Реализация полного цикла аутентификации всегда включает несколько обязательных модулей:

1. Модель пользователя и хранилище данных

Я начинал с создания сущности User, которая содержала не только логин и пароль, но и метаданные для безопасности.

public class User
{
    public int Id { get; set; }
    public string Username { get; set; }
    public string Email { get; set; }
    // Пароль никогда не хранится в чистом виде
    public string PasswordHash { get; set; }
    public string PasswordSalt { get; set; }
    public DateTime CreatedAt { get; set; }
    public bool IsLocked { get; set; }
    public int FailedLoginAttempts { get; set; }
    // Для JWT или сессий
    public string? RefreshToken { get; set; }
    public DateTime? RefreshTokenExpiry { get; set; }
}

Для хранения использовал либо Entity Framework Core с SQL Server/PostgreSQL, либо, в высоконагруженных системах, комбинацию SQL для основных данных и Redis для сессий и временных токенов.

2. Хеширование паролей

Никогда хранить пароли в plain text. Я применял алгоритм PBKDF2 или BCrypt через библиотеку Microsoft.AspNetCore.Cryptography.KeyDerivation.

public static string HashPassword(string password, out string salt)
{
    salt = GenerateRandomSalt();
    using var deriveBytes = new Rfc2898DeriveBytes(
        password,
        Convert.FromBase64String(salt),
        iterations: 10000,
        HashAlgorithmName.SHA256
    );
    return Convert.ToBase64String(deriveBytes.GetBytes(256));
}

public static bool VerifyPassword(string password, string hash, string salt)
{
    var newHash = HashPassword(password, salt);
    return hash == newHash;
}

3. Генерация и валидация токенов (JWT)

Для REST API реализовывал JWT (JSON Web Tokens) механизм.

public class JwtService
{
    public string GenerateToken(User user)
    {
        var claims = new[]
        {
            new Claim(JwtRegisteredClaimNames.Sub, user.Id.ToString()),
            new Claim(JwtRegisteredClaimNames.Email, user.Email),
            new Claim("username", user.Username)
        };

        var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_secret));
        var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

        var token = new JwtSecurityToken(
            issuer: _issuer,
            audience: _audience,
            claims: claims,
            expires: DateTime.UtcNow.AddMinutes(_expiryMinutes),
            signingCredentials: creds
        );

        return new JwtSecurityTokenHandler().WriteToken(token);
    }

    public bool ValidateToken(string token, out ClaimsPrincipal? principal)
    {
        // ... валидация с проверкой issuer, audience и expiry
    }
}

4. Механизм Refresh Tokens

Для избегания постоянного логина пользователя реализовывал пару Access Token + Refresh Token. Refresh Token хранился в базе (или Redis) с ограниченным сроком жизни и мог быть отозван (при logout, изменении пароля).

5. Безопасность и защита от атак

• Rate limiting на endpoints аутентификации для защиты от брутфорса.
• Автоматическая блокировка учетной записи после N неудачных попыток входа.
• Хранение истории IP адресов и времени входа для аудита.
• Все пароли и токены передавались только через HTTPS.
• Реализация CORS политик для API.

Архитектурные решения и интеграции

В зависимости от требований проекта я выбирал разные подходы:

• Для монолита ASP.NET Core MVC: использовал стандартный Cookie Authentication с сессиями, хранящимися в Redis.
• Для SPA + API (React, Angular): реализовывал JWT-based authentication с отдельным Auth API.
• Для микросервисов: создавал выделенный Authentication Service, который генерировал JWT, а другие сервисы лишь валидировали их через публичный ключ (используя RSA асимметричное шифрование).

Также реализовывал интеграцию с внешними провайдерами (OAuth 2.0 / OpenID Connect) для социального логина (Google, Facebook) через библиотеку Microsoft.AspNetCore.Authentication.

Чем я руководствовался

• Принцип минимальных необходимых прав: токены содержали только необходимые claims.
• Инвариантность пароля: при изменении пароля все предыдущие токены (refresh) становились невалидными.
• Аудит и логирование: все события аутентификации (успешные/неуспешные логины, изменения пароля) записывались в отдельную таблицу для безопасности.
• Следование стандартам: старался максимально соответствовать RFC для JWT и OAuth.

Реализация аутентификации с нуля — это не только код, но и глубокое понимание угроз (XSS, CSRF, подмена токенов, брутфорс) и способов защиты от них. Каждый такой опыт значительно усиливает компетенцию в безопасности веб-приложений.