🛒 电商网站：

• 保存购物车商品
• 查看订单历史
• 管理收货地址

📱 社交网站：

• 发布个人动态
• 关注好友
• 私信聊天

📚 学习网站：

• 记录学习进度
• 保存笔记
• 获得证书

字段名	类型	说明	示例
id	整数	用户唯一标识	1001
username	字符串	用户名	zhangsan
email	字符串	邮箱地址	zhang@example.com
password_hash	字符串	加密后的密码	$2y$10$abc...
created_at	时间	注册时间	2024-01-15 10:30:00
is_active	布尔值	账户是否激活	true

💡 注意：密码必须加密存储，绝不能明文保存

📋 必需元素：

• 用户名输入框 - placeholder: "请输入用户名"
• 密码输入框 - type="password" 隐藏输入
• 登录按钮 - 提交表单
• 错误提示区域 - 显示错误信息

🎯 可选元素：

• 记住我复选框
• 忘记密码链接
• 注册新账户链接
• 第三方登录按钮

✨ 提升用户体验的小技巧：

• 自动焦点 - 页面加载后光标自动到用户名框
• Enter键提交 - 按回车键直接登录
• 密码可见切换 - 小眼睛图标显示/隐藏密码
• 加载状态 - 登录时显示"正在登录..."
• 表单验证 - 实时检查输入格式

⚠️ 错误处理：

• 用户名不存在 → "用户名不存在"
• 密码错误 → "密码错误，请重试"
• 账户被冻结 → "账户已被冻结，请联系客服"

🔄 完整登录流程：

1. 接收请求 - 前端发送用户名和密码
2. 数据验证 - 检查输入是否为空、格式是否正确
3. 查找用户 - 在数据库中根据用户名查找用户
4. 验证密码 - 使用密码哈希函数验证密码
5. 检查状态 - 确认账户是否激活、是否被冻结
6. 生成Token - 创建JWT令牌
7. 记录日志 - 保存登录时间和IP地址
8. 返回结果 - 将Token发送给前端

🔐 密码哈希过程：

• 注册时：用户密码 → 哈希函数 → 加密密码存入数据库
• 登录时：用户输入密码 → 哈希函数 → 与数据库中的对比

💡 比喻理解：

就像把原始密码"123456"放进一个神奇的搅拌机，出来的是"$2y$10$abc123..."这样的乱码。

每次验证时，都把用户输入的密码放进同样的搅拌机，看出来的结果是否一样。

🛡️ 安全特性：

• 无法从加密结果推出原密码
• 相同密码每次加密结果都不同（加盐）
• 即使数据库泄露也无法直接获得密码

🎫 Token包含的信息：

• 用户ID - 标识是哪个用户
• 用户角色 - 普通用户还是管理员
• 过期时间 - 通常是24小时
• 签发时间 - 什么时候生成的

🔍 验证过程：

1. 前端每次请求都带上Token
2. 后端检查Token是否存在
3. 验证Token是否有效（未过期、未被篡改）
4. 从Token中提取用户信息
5. 根据用户权限决定是否允许访问

🛡️ 前端权限控制：

• 界面显示 - 根据权限显示/隐藏按钮
• 路由守卫 - 控制页面访问权限
• 功能禁用 - 灰掉无权限的功能

⚙️ 后端权限控制：

• 接口拦截 - 每个API都检查权限
• 数据过滤 - 只返回用户有权看的数据
• 操作限制 - 阻止无权限的操作

💡 双重保护原则：

前端控制用户体验，后端确保数据安全。
前端可以被绕过，所以后端验证是最后防线！

🔒 密码策略：

• 最少8位，包含字母数字符号
• 不能是常见密码（123456等）
• 定期提醒用户更换密码
• 支持双因素认证

🛡️ 系统防护：

• 使用HTTPS传输所有数据
• 设置Token合理过期时间
• 记录所有登录和敏感操作
• 定期更新系统和依赖包

📊 监控告警：

• 异常登录IP监控
• 频繁失败登录告警
• 大量请求的检测

✅ 基础功能测试：

• 正确用户名密码能成功登录
• 错误密码会显示错误提示
• 不存在的用户名会提示用户不存在
• 空用户名或密码会提示必填
• 登录后能正常访问需要权限的页面

✅ 安全性测试：

• 多次错误登录会触发限制
• Token过期后需要重新登录
• 注销后Token失效
• 无权限用户不能访问管理功能

✅ 用户体验测试：

• 登录速度要快（小于2秒）
• 错误提示要清晰
• 在手机上操作要方便

🤔 问题原因：

• Token没有正确存储
• 页面刷新时没有检查登录状态
• Token存储在内存中而不是持久化

✅ 解决方案：

• 将Token存储在localStorage或Cookie中
• 页面加载时检查Token是否存在且有效
• 自动恢复用户登录状态

💡 实现思路：

• 短期Token - 正常登录，24小时过期
• 长期Token - 勾选"记住我"，30天过期
• 自动续期 - 用户活跃时自动延长Token有效期
• 安全退出 - 提供"在所有设备上退出"功能

⚠️ 安全考虑：

• 长期Token权限应该受限
• 敏感操作需要重新验证密码
• 支持远程注销所有设备