身分驗證策略選擇器

回答六個問題，比較 session、JWT、OAuth/OIDC、passkey 與 magic link 的取捨。

auth-chooser本機處理

1. 設定與探索

所有輸入留在本分頁，不寫入瀏覽器儲存空間、不放入網址、不發送網路請求。

選擇範例、填寫欄位或探索流程。

方案比較與界線
方案	取捨與限制
Server session	不透明 HttpOnly cookie；集中撤銷並處理 CSRF；需要伺服器狀態。
JWT	簽章 claims 可讀，不是加密；需要短效期、issuer／audience／演算法檢查與更新／撤銷設計。
OAuth + OIDC	OAuth 委派存取，OIDC 提供身分；驗證 state、PKCE 與 ID token 的 issuer／audience／nonce。
Passkey	綁定來源的公鑰登入；需要帳號復原與伺服器 challenge／assertion 驗證。
Magic link	單次短效郵件連結；依賴信箱安全、傳遞及郵件掃描器處理。

啟發式建議不能取代威脅模型。登入方式與 session 機制屬於不同層，通常需要搭配。

資料／規則日期: 2026-10-21 · 官方來源

回答所有問題、檢查明確決策規則、比較所有方法，再匯出規劃筆記。

啟發式建議不能取代威脅模型。登入方式與 session 機制屬於不同層，通常需要搭配。