Опишите базовый механизм авторизации пользователя на веб-сайте

А, ну вот, классика жанра, блядь! Сейчас объясню, как эта магия работает, без всей этой академической хуйни.

Представь себе клуб строгого режима. Аутентификация — это когда швейцар смотрит на твою рожу и сверяет с фейслистом. Узнал? Отлично, ты — это ты. Авторизация — это когда внутри тебя пускают не везде, а только в тот сортир, на дверь которого у тебя есть ключ. Понял? Всё просто, как три копейки.

Как обычно этот цирк с конями происходит:

1. Подходишь к турникету (логин). Ты — POST /login — суёшь морду и пароль. "Я Вася, впустите".
2. Швейцар проверяет (верификация). Он достаёт толстенную папку, ищет там твою фотку и сверяет, не обосрался ли ты от страха. На сервере это выглядит как сравнение хеша твоего пароля с тем, что лежит в базе. Если не совпало — пошёл нахуй, 401 ошибка.
3. Выдают пропуск. Здесь два пути, оба — пиздец:
   • Сессии (талончик). Тебе выдают бумажку с номерком (sessionId). Ты её хранишь (в куках), и при каждом проходе её показываешь. А у швейцара под стойкой список: "номерок 1488 — это Вася". Удобно, но швейцару надо этот список где-то хранить (Redis, БД).
   • JWT (пропуск с голограммой). Тебе выдают не бумажку, а нагрудный жетон, на котором лазером выгравировано: "Вася, доступ: бар, танцпол, НЕ ВХОДИТЬ В VIP". И этот жетон запечатан сургучной печатью (электронная подпись). Его можно подделать, только если украсть печатку (JWT_SECRET). Ты его носишь с собой (часто в localStorage) и показываешь при каждом чихе.
4. Ходишь по клубу. Захотел в бар — показываешь жетон или талончик. Дверной глазок открывается (мидлварь authenticate), смотрит: а, Вася, жетон не поддельный, срок годности не истёк — проходи.

Вот, смотри, как это выглядит в коде, если не выёбываться:

const jwt = require('jsonwebtoken'); // Библиотека для печати жетонов
const bcrypt = require('bcrypt'); // Инструмент для замешивания парольного теста

// Эндпоинт "Впустите меня, я свой!"
app.post('/login', async (req, res) => {
    const { email, password } = req.body;
    // Ищем морду в базе
    const user = await db.User.findOne({ where: { email } });

    // 1. Пиздец-проверка: есть ли юзер и тот ли это пароль
    if (!user || !(await bcrypt.compare(password, user.passwordHash))) {
        return res.status(401).json({ error: 'Не, браток, иди нахуй' }); // 401 - Unauthorized (на самом деле "Unauthenticated", но всем похуй)
    }

    // 2. Штампуем персональный жетон (JWT)
    const token = jwt.sign(
        { userId: user.id, role: user.role }, // Что внутри жетона (паспортные данные)
        process.env.JWT_SECRET,               // СЕКРЕТНАЯ печатка! Спрячь её, дурак!
        { expiresIn: '1h' }                   // Жетон самоуничтожится через час
    );

    // 3. Суём жетон в руки
    res.json({ token });
});

// Мидлварь-швейцар. Стоит у каждой двери.
const authenticate = (req, res, next) => {
    // Выковыриваем жетон из заголовка "Authorization: Bearer <token>"
    const token = req.headers.authorization?.split(' ')[1];
    if (!token) return res.sendStatus(401); // Нет жетона? Нахуй иди.

    try {
        // Проверяем печать и читаем, что внутри
        const decoded = jwt.verify(token, process.env.JWT_SECRET);
        req.user = decoded; // Вешаем прочитанные данные на реквест: "О, так это ж Вася!"
        next(); // Проходи, Вася.
    } catch (err) {
        // Печать не та, или жетон просрочен
        return res.status(403).json({ error: 'Жетон — фуфло. Доступ закрыт.' }); // 403 - Forbidden
    }
};

А теперь, блядь, самое важное, чтобы не обосраться:

• HTTPS — ОБЯЗАТЕЛЬНО. Иначе ты эти жетоны и пароли по почте открыткой шлёшь. Все увидят.
• Пароли хешируй с солью. bcrypt — твой друг. В базу пароль в чистом виде — это пиздец какой-то, ядрёна вошь.
• Защищайся от тупого перебора (брутфорс). Rate limiting — не давать тыкать в логин 1000 раз в секунду.
• Для JWT: делай время жизни коротким (минуты/часы). Для долгих сессий используй refresh-токены. Иначе украденный жетон — это навсегда твой пропуск вору.
• Для сессий: защищайся от CSRF. Чтобы с другого сайта тебе не подсунули запрос "переведи все деньги".
• От XSS защищайся всегда. Иначе скрипт украдёт твой JWT из localStorage или сессионную куку. В рот меня чих-пых!

Вот и вся философия. Не так страшен чёрт, как его малюют. Главное — печатку (JWT_SECRET) не потеряй и пароли в открытом виде не храни. Остальное — техничка.