密码不对

这门课不教你怎么“设密码”，教你怎么搞清楚密码为什么不生效

「密码不对」这个标题本身就是一个场景：你明明记得是这个口令，服务端就是不认。多数人遇到这种情况的处理方式是重试、重置、换个账号再来，问题被绕过去了，但没被弄明白。这门体系课针对的就是这类被绕过去的问题——认证环节里那些看起来是小事、排查起来却能耗掉半天的坑。

它不属于零基础扫盲课。如果你还没写过登录逻辑、没碰过哈希函数、没在服务器上看过一次认证失败的日志，前几节会跟得比较吃力。反过来，如果你已经在做后台、接口或者运维，被 token 过期、鉴权失败、会话丢失这类问题反复绊过，这门课的价值会直接体现在你下一次排查的速度上。

先确认自己缺的是哪一块

认证与授权这条线上，常见的知识断层大致分三类，你可以对照着看自己卡在哪：

• 概念层：分不清身份验证和权限校验的边界，说不清会话、令牌、票据各自解决什么问题，遇到状态丢失只能靠猜。
• 实现层：会调现成的登录接口，但说不清口令在传输和存储过程中经历了什么，为什么加盐、盐存在哪里、哈希算法选错会怎样。
• 排查层：日志里出现了失败记录，但看不懂是关键错、过期错还是校验错，只能一个个试。

这门课的内容基本是沿着这三层往下走的。如果你的缺口在第一层，重点放在前半部分的概念梳理；如果前两层都过了、只是排查时心里没底，可以直接挑中间和后半的实战部分看，把节奏压快一点。

配套练习怎么用才不白做

课程带章节笔记，建议不要只当复习材料。更有效的用法是：每学完一节，合上笔记，自己在纸上或编辑器里把这一节的认证流程复述一遍，从请求发出到校验通过，每一步的输入输出写清楚。写不出来的地方就是没真懂的地方，回头再看对应章节。

涉及动手的环节，尽量别照抄。改一个参数、换一种哈希方式、故意让令牌提前过期，看系统报什么错、日志里留下什么痕迹。认证问题的一大特点是错误表现高度相似，能区分这些相似表现，才算把课学到了手上。学完之后如果能整理出一份自己的排查清单——按现象反推可能原因——那比复述知识点有用得多。

看完应该能回答这几个问题

用来检验学习效果，不要求背，但要求能讲清楚：

• 一个口令从用户输入到落库，中间经过了哪些处理，每一步为什么必要？
• 同样是“认证失败”，会话失效、令牌过期、签名不匹配在日志和响应上分别长什么样？
• 什么时候该用会话，什么时候该用令牌，选错的代价是什么？
• 面对一个陌生的登录报错，你的第一、第二、第三步分别查什么？

如果这几个问题你现在答得含糊，学完再回来答一遍，能明显看出差别；如果已经答得很顺，那这门课对你来说更像是查漏，挑着看就行，不必从头刷到尾。