FedCM登录与身份提供方治理（providers/mediation/nonce）最佳实践
通过FedCM对身份提供方列表、mediation策略与nonce绑定进行治理，在浏览器端实现安全一致的联邦登录体验并降低钓鱼风险。
oauth
JWKS公钥轮换与缓存门禁（kid/ttl/回退）最佳实践
通过对JWKS进行缓存与kid精确匹配、TTL上限控制与失败回退策略，保障公钥轮换期间JWT验签稳定与安全。
OAuth 会话与安全治理（2025）
NextAuth.js 多提供商 OIDC/OAuth 会话与安全治理（2025）一、提供商与回调Providers：配置多个 OIDC/OAuth 提供商；统一回调处理。回调：校验状态与来源与作用域；防止劫持。二、会话与令牌会话：设置会话时长与续期策略；区分持久与临时。令牌：安全存储与轮换刷新；最
OAuth 2.1 授权码 + PKCE 与刷新令牌轮换（安全实践与实现）
采用授权码+PKCE并启用刷新令牌轮换的安全实践，涵盖客户端与服务端实现、参数选择与验证方法，降低令牌泄露与重放风险。
OAuth 2.1授权与安全收敛（禁止Implicit/强制PKCE/短期令牌）最佳实践
统一禁用Implicit、强制PKCE S256与短期令牌策略，收敛授权流程风险并提升跨端一致性与安全性。
OAuth DPoP验证与持有者证明（htu/htm/jti/iat）最佳实践
通过验证DPoP JWS中的htu/htm/jti/iat并绑定访问令牌的cnf.jkt，实施持有者证明与重放防护，强化OAuth资源访问的安全性。
OAuth mTLS客户端认证与令牌绑定（cnf.tls_client_cert）最佳实践
通过mTLS客户端证书认证与在令牌中嵌入cnf.tls_client_cert拇指指，实现令牌绑定与盗用阻断，提升端到端安全。
OAuth PAR与JAR请求对象签名（请求URI/签名验证）最佳实践
通过Pushed Authorization Requests与JWT-secured Authorization Request将授权参数推送并签名，保障授权请求的完整性与可信性。
OAuth PKCE与授权码拦截防护最佳实践
通过严格的PKCE S256校验、state/nonce对齐和redirect_uri白名单，降低授权码拦截与重放风险，保障移动与SPA流程安全。
OAuth Scope设计与资源服务器授权策略最佳实践
围绕OAuth Scope的细粒度设计与资源服务器授权策略执行，提供统一的权限映射、拒绝默认与最小授权落地方案。
