安全第一Convex Better Auth 生产环境10个必做安全配置清单【免费下载链接】better-authConvex Better Auth 项目地址: https://gitcode.com/gh_mirrors/con/better-authConvex Better Auth 是目前在 Convex 后端上构建完整认证体系的主流方案它把 Better Auth 的邮箱密码登录、OAuth 社交登录、双因素认证与 JWT 会话能力无缝接入 Convex 的 Serverless 数据库和函数。认证系统是攻击者的头号目标配置稍有疏漏就可能造成账号被接管、数据泄露。这份生产环境安全配置清单整理了 10 个上线前必做的加固步骤帮你像老手一样快速排查风险、补齐防护短板。1️⃣ 密钥管理所有敏感配置一律走环境变量生产环境最容易翻车的地方就是密钥硬编码进代码。Better Auth 的secret、各 OAuth 提供商的clientId/clientSecret都必须通过环境变量注入绝不允许提交到仓库。参考项目中的完整配置examples/next/convex/auth.ts社交登录的密钥全部来自环境变量GITHUB_CLIENT_ID/GITHUB_CLIENT_SECRETGOOGLE_CLIENT_ID/GOOGLE_CLIENT_SECRETSLACK_CLIENT_ID/SLACK_CLIENT_SECRET 部署前用npx convex env set逐个写入并保证开发、预发、生产使用不同密钥。2️⃣ 固定 baseURL 与可信来源杜绝开放重定向认证回调 URL 被篡改是常见攻击面。生产环境必须把baseURL固定为你的正式域名而不是让框架自动推断。在examples/next/convex/auth.ts中可以看到规范做法baseURL取自SITE_URL环境变量同时客户端侧可通过trustedOrigins见src/client/create-client.ts显式声明允许的跨域来源白名单之外的回调一律拒绝从源头阻断开放重定向与 CSRF 风险。3️⃣ 强制邮箱验证拦截未验证账号未验证邮箱的账号往往是垃圾注册和薅羊毛的重灾区。开启邮箱验证后未验证用户无法登录或只能访问受限功能。在认证选项中设置emailAndPassword: { enabled: true, requireEmailVerification: true, // 强制验证 sendResetPassword: async ({ user, url }) { ... }, }邮件发送逻辑可参考项目中的examples/next/convex/email.tsx它基于 Resend React Email 封装了验证邮件、重置密码邮件、OTP 邮件等完整模板。4️⃣ 开启双因素认证守住账号最后防线密码泄露防不胜防双因素认证2FA是性价比最高的兜底方案。Better Auth 官方插件一行即可启用import { twoFactor } from better-auth/plugins/two-factor; plugins: [twoFactor()],前端配合twoFactorClient见examples/next/lib/auth-client.tsx即可支持 TOTP 验证码与备份码。建议将 2FA 设为可选但重点引导管理员账号则强制开启。5️⃣ 收紧账号连接策略防撞库与账号接管同一个邮箱关联多个 OAuth 提供商的账号连接功能很便利但也容易被攻击者利用来接管账号。examples/next/convex/auth.ts中的配置值得借鉴account: { accountLinking: { enabled: true, allowDifferentEmails: true, }, },⚠️ 注意allowDifferentEmails在生产环境建议设为false仅允许相同邮箱自动关联避免攻击者用不同的邮箱绑定你的账号。6️⃣ 安全的密码重置与魔法链接配置密码重置链接和魔法链接是社工攻击的热门目标务必做到链接使用一次性、带签名且有时效的 tokenBetter Auth 默认支持自定义sendResetPassword/sendMagicLink回调用公司域名发送邮件避免进入垃圾箱或被仿冒不要在邮件正文中附带明文密码或可逆信息项目中这两类邮件的发送逻辑分别在examples/next/convex/email.tsx与对应邮件模板中可在此基础上加上防滥用限制。7️⃣ 定期轮换 JWKS 密钥保障 JWT 安全Convex Better Auth 通过自定义 JWT 把认证状态传递给 Convex 函数JWT 签名密钥JWKS一旦泄露等于把整座大门交给攻击者。项目专门提供了密钥轮换机制src/auth-config.ts认证提供方由getAuthConfigProvider()生成issuer 固定为CONVEX_SITE_URLexamples/next/convex/auth.ts中内置了rotateKeys内部 Action供定时或手动触发轮换支持把静态 JWKS 写入环境变量避免每次请求都查库npx convex run auth:generateJwk | npx convex env set JWKS建议设置定期轮换任务并在疑似泄露时立即执行。8️⃣ 邮件服务与验证码防滥用OTP 验证码、邮箱验证码都是刷接口的突破口。参考项目配置examples/next/convex/email.tsx时请注意为验证码设置较短有效期与尝试次数上限对发送邮件的接口做限流同一邮箱/同一 IP 频控生产环境务必把 Resend 等邮件服务切到真实模式并校验回调域名9️⃣ 查询层最小权限统一校验登录态Convex 函数默认是公开的必须显式校验调用者身份。项目提供了安全封装examples/next/lib/auth-server.tsconvexBetterAuthNextJs导出的isAuthenticated、getToken以及客户端safeGetAuthUser见examples/next/convex/auth.ts确保每个涉及用户数据的 query/mutation 都先通过认证做到最小权限暴露。 经验法则宁可多校验一次也不要放过任何未授权访问。 上线前最终自检清单检查项状态所有密钥已迁移到环境变量☐baseURL / trustedOrigins 白名单正确☐邮箱验证已强制开启☐双因素认证已启用☐账号连接策略收紧allowDifferentEmailsfalse☐密码重置与魔法链接使用公司域名☐JWKS 轮换任务已配置☐邮件发送接口已限流☐所有 Convex 函数已做登录态校验☐HTTPS、Cookie Secure 属性已开启☐安全配置不是一次性工作而是持续迭代的过程。建议把这份Convex Better Auth 生产环境安全配置清单保存下来每次发版前逐项过一遍。认证安全做好了你的用户才能安心把账号交给你。【免费下载链接】better-authConvex Better Auth 项目地址: https://gitcode.com/gh_mirrors/con/better-auth创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考