身份认证

读完一篇认证令牌存储文章后，我重新梳理了 localStorage、HttpOnly Cookie、服务端 Session 与 BFF 的适用场景，也补充了 CSRF、JWT 撤销和 DBSC 的边界。存储位置没有统一答案，先要确认浏览器究竟需不需要接触 Token。

复盘一个长期潜伏的 Taro 小程序认证竞态：AuthProvider 在 useEffect 中静默登录，分享页却已发出受保护请求。文章从 Git 演变和 missing_auth_header 日志还原成因，并给出全局启动屏障、刷新令牌轮换与 401 单次重试方案，也说明为什么只隐藏错误提示无法真正修复问题。