每次在注册页面输入邮箱和密码时，你有没有闪过一个念头：这串字符究竟经历了什么，才能让服务器认出你，又不让外人偷看？Dr. Angela 的 BootCamp 教程里，把这一整套流程拆成一节节“安全闯关”，我们不妨跟着走一遍，看看从最糙的明文存储到加盐哈希、再到会话维持，安全防线是怎么一层层垒起来的。

先看最基础的注册登录回路。用户填好邮箱和密码，账号信息被存进数据库，回头用同一组凭证登录，服务器比对无误才放行。这套流程人人都熟，但教程第一关就点出一个要命的常识：密码绝不能以明文入库。一旦数据库泄露，所有用户的原始密码直接裸奔，这不是技术漏洞，是根本就没关门。

那怎样才能让偷走数据库的人拿不到密码原始值？第一批登场的工具是哈希函数。它像一台单向碎纸机，不论你喂进去多长一段文字，吐出来的都是固定长度的摘要，而且没法从摘要逆推出原文。比对密码时，只需把登录时输入的密码再碎一次，看两份碎渣是否一致。这比明文强了一大截，却仍然有个坑：如果两个用户恰好用了同一个密码，碎出来的渣一模一样。攻击者提前把常见密码的哈希值全算出来做成一张大表，一比对就能猜出大量账户的密码，这就是彩虹表攻击的由来。

于是“加盐”登场了。给每个用户的密码随机撒一把“盐”——也就是一串随机值，再扔进哈希碎纸机。结果是，即便不同用户的原始密码相同，最终哈希值也截然不同，那张提前算好的彩虹表瞬间失效。教程里特别强调，盐轮次越高，计算所需时间越长，相当于给暴力破解强行拖慢节奏。实际落地时，主流选择是 bcrypt 库，它把生成盐值、指定轮次、哈希运算这些细节全包圆了，开发者只需要调用 hash() 和 compare() 两个方法，暗地里就完成了防彩虹表、抗暴力破解的双重加护。

密码安全只是故事的一半。用户不会每点一个按钮都重新登录一次，于是会话机制进场。服务器在验证通过后，给浏览器贴一张临时的“身份标签”，后续请求带着标签就能持续访问受保护资源。教程提到用 express-session 中间件管理这块，配置里要设一个足够难猜的 secret，避免攻击者伪造会话标识。在此基础上，Passport.js 充当认证中间件，把“用本地邮箱密码登录”的策略封装成一小块可插拔的模块。初始化、序列化用户信息、反序列化这些步骤都有固定写法，中间件调用顺序一旦摆错，认证流程就失效，这也算是个容易踩的小陷阱。

兜底的最后一道防线藏在环境变量里。API 密钥、会话 secret、数据库密码、OAuth 客户端密文这些敏感信息一旦写死在代码仓库里，就等于把家门钥匙贴在公告栏上。业界惯用的 dotenv 工具能把这类配置抽离到单独的 .env 文件，只发给运行时环境，不跟着代码进版本控制。教程把这叫做 Level 5，像是在说：前面四关都闯过了，如果折在这一点上，未免太憋屈了点。

说到底，登录框背后那短短几秒的交互，串联了注册存储、哈希加盐、会话维持、秘密隔离这一整串安全决策。用明文存密码是原始人，用了哈希还要防彩虹表，加上盐还必须管好轮次，最后别忘了把秘密藏出代码库——每多一步防备，都是在给用户的数据多上一把锁。下一次再顺手注册时，或许可以轻笑一下：嘿，我知道你们在背后忙了不少活。