身份认证Authentication
登录成功以后，就能查看每个人的客户资料吗？
先认识请求与响应
认证（Authentication，AuthN）是核验请求主体所声称身份的过程，通常检查密码、登录会话、令牌或其他认证凭据。认证建立的是系统可验证的身份关系，不自动证明该身份拥有所有操作权限。
先确认这次请求代表哪个账号。确认是你以后，再按权限判断你能看什么、改什么。
像前台核对员工工牌：知道你是公司员工，不代表你可以打开财务室和所有客户档案柜。
类比到这里为止：数字账号不一定对应经过实名核验的人，登录也不总要密码。会话会过期，凭据还可能被盗用。
公开产品资料不一定需要登录；销售后台需要核验会话。进入后台后，仍然只应返回该销售获准查看的询盘。
从登录到下一次请求
- 核验凭据
- 由受控服务检查登录凭据，不能仅看浏览器提交一个用户名。
- 建立或取得会话
- 后续请求携带可核验的会话信息，服务端检查有效性。
- 授权具体动作
- 身份有效后，还要判断本次目标和动作是否允许。
- 过期与退出
- 会话失效时拒绝受保护操作，并提供清楚的重新登录路径。
公开入口与内部后台不要混为一谈
采购商提交普通询盘可能不需要先注册，但仍需要字段校验与适当的防滥用措施。不能为了保护后台就给所有公开学习内容都加登录墙。
若会话过期，保留必要输入也要考虑共享设备上的隐私。身份、权限与用户体验应一起设计，不能只把登录弹窗做好就算完成。
登录成功以后，就能查看每个人的客户资料吗？
可以操作，也可以重试。数据为虚构示例，不连接真实业务系统。
正在准备当前演示，正文可以继续阅读。
继续看项目应用与交付检查
身份认证 在项目中负责什么
- 什么时候用
- 区分访客与账号、保护个人学习记录或内部客户后台时。
- 它解决什么
- 让受保护操作知道请求来自哪一个经核验的身份，并处理登录、过期和退出。
- 它不负责什么
- 前端的 loggedIn 或 isAdmin 变量不构成可信认证。验证码也不能替代账号身份核验或业务授权。
- 放进真实项目
- 销售登录后只能查看自己负责的询盘和报价资料。
先确认“你是谁”，再谈你能做什么
销售进入线索库要证明身份；买家提交公开询盘则不该被要求先注册。
- 01
按用户角色区分需要登录的动作。
- 02
让凭据和会话只在受控环境传递。
- 03
为过期或失败提供明确的重新认证路径。
认证核身份，授权判动作。
容易混淆的地方
认证成功不是授权全部；身份平台、应用会话与账号可访问范围也要分别配置。
销售登录成功后，只凭浏览器保存的 isAdmin=true 就允许导出全部客户。这套实现缺少什么？
你可以这样告诉 AI Agent
“
我在处理这件事：销售登录后只能查看自己负责的询盘和报价资料。请以“身份认证”为主线，先说明它在这里负责什么、不负责什么；再列出必要输入、建议动作和可验证结果。用外贸独立站的业务语言回答，不确定的信息标为待确认。
内容依据与延伸
本站用原创中文解释把专业概念映射到外贸独立站；定义和机制继续以官方资料为准，业务例子再回到 外贸独立站询盘优化实战 验证。
本站整理说明：站内案例：销售跟进资料的访问边界