身份认证

用完整代码复盘 Taro 小程序冷启动认证竞态：useLaunch 登录为何报找不到页面实例，App.onShow 刷新为何制造数据库写入，以及认证屏障、401 单飞续期、无状态 JWT 和角色同步应当怎样配合，并给出可直接落地的客户端与服务端代码。

读完一篇认证令牌存储文章后，我重新梳理了 localStorage、HttpOnly Cookie、服务端 Session 与 BFF 的适用场景，也补充了 CSRF、JWT 撤销和 DBSC 的边界。存储位置没有统一答案，先要确认浏览器究竟需不需要接触 Token。