Autentikasi dan sesi untuk SvelteKit
high5 titik pemeriksaan
Autentikasi adalah target paling bernilai di situs mana pun: credential stuffing, session fixation, dan CSRF semuanya menuju pintu yang sama.
Yang harus ada di SvelteKit
- Form login memakai HTTPS dan menyertakan token CSRF
- Rate limiting dan penguncian setelah percobaan gagal
- MFA tersedia untuk akun istimewa
- Kata sandi disaring terhadap korpus kebocoran yang diketahui
- Tidak ada account enumeration lewat pesan error
Cara memperbaiki
- 1Tambahkan pembatasan per akun dan per IP
- 2Wajibkan MFA untuk admin dan saring kata sandi lewat API k-anonymity
Konteks SvelteKit
Svelte meta-framework with SSR and form actions.
Form actions and load functions are the trust boundary; keep secrets in server-only modules.