Demo-Hinweis: Der Login-Endpunkt ist durch adaptive PoW-Herausforderungen geschützt – wiederholte Fehlversuche erhöhen den Proof-of-Work-Schwierigkeitsgrad. Cache-gestütztes Rate-Limiting ist implementiert und getestet, aber aktuell in der Live-Demo nicht aktiviert; setze createCacheClient in app.ts um es zu aktivieren.

Eine von Grund auf entwickelte Authentifizierungs-Referenzimplementierung für Cloudflare Workers – PBKDF2-Passwort-Hashing, JWT-Dual-Token-Sessions, Konstantzeit-Vergleich, gleitendes Ablaufdatum und ein entfernbarer Observability-Plugin – alles zusammengeschaltet mit Hono, Turso (optional mit Valkey/Redis-Caching) und striktem TypeScript.

Jede Designentscheidung geht auf einen Standard zurück: NIST SP 800-63B für Anmeldedaten, NIST SP 800-132 für Schlüsselableitung, OWASP ASVS für Verifikation und RFC 8725 für JWT-Best Practices.

Du entwickelst ein Produkt? Verwende stattdessen Better Auth – es deckt OAuth, Passkeys, MFA, Rate-Limiting und mehr direkt aus der Box ab, mit einem aktiven Plugin-Ökosystem. Dieses Repository dient dazu, dir zu zeigen, wie Authentifizierung funktioniert, und nicht als Ersatz für eine Produktionsbibliothek.

Warum dieses Repository

• Lies den Code, nicht nur die Dokumentation – jede Sicherheitseigenschaft (timing-sichere Zurückweisung, sitzungsgebundene Sperrung, Algorithmus-Pinning) ist implementiert und getestet, nicht nur beschrieben
• NIST + OWASP + RFC-Referenzen durchgehend – lerne das Warum hinter jeder Entscheidung
• 630+ Tests inklusive Angriffsvektor-Suites (Token-Manipulation, Algorithmus-Verwirrung, Unicode-Randfälle)
• Observability-Plugin – strukturiertes Audit-Logging, adaptive PoW-Herausforderungen, agentenauthentifizierte Ops-API und WebSocket-Event-Streaming – per Hono-Middleware einsteckbar, ohne die Kern-Authentifizierung zu ändern
• Für die Edge entwickelt – läuft auf Cloudflare Workers mit Web Crypto API, keine Node.js-Abhängigkeiten
• Apache-2.0 – forke es, lehre damit, lerne davon

Was du darin findest

Produktions-Nächste Schritte

Dieses Projekt lässt bewusst Funktionen weg, die außerhalb seines pädagogischen Rahmens liegen. Wenn du diesen Code in Richtung Produktion erweiterst (oder bewertest, was ein Produktions-Auth-System benötigt), ordnen die folgenden Tabellen die Lücken nach Prioritätsstufen.

Für die meisten realen Projekte verwende stattdessen Better Auth, anstatt diese selbst zu bauen.

Kritisch – Vor echten Benutzern hinzufügen

Hohe Priorität – Produktionsreife

Mittlere Priorität – Mit dem Produktwachstum

Fortgeschritten – Enterprise / Hohe Sicherheit

All dies sind hervorragende Gründe, zu Better Auth zu greifen.

Repository-Struktur

.
├── apps/
│   └── cloudflare-workers/    # Beispiel-Worker + Hono-Routen
├── packages/
│   ├── core/                  # Auth-Dienste, Middleware, Crypto-Utilities
│   ├── infrastructure/        # DB-Client + Utilities
│   ├── observability/         # Ereignisausgabe, adaptive Challenges, Ops-API (entfernbarer Plugin)
│   ├── schemas/               # Zod-Schemas
│   └── types/                 # Gemeinsame TypeScript-Typen
├── tools/
│   └── cli/                   # plctl — Go TUI für die /ops-Oberfläche
└── docs/
    ├── adr/                   # Architecture Decision Records
    └── audits/                # Sicherheitsaudits

Erste Schritte

git clone https://github.com/vhscom/private-landing.git
cd private-landing
bun install
bun run dev

Das war's – keine Konten, keine API-Schlüssel, keine .env-Dateien. Der Dev-Server startet mit einer lokalen SQLite-Datenbank und generierten Geheimnissen. Öffne http://localhost:8788, um ein Konto zu registrieren und die Auth-Abläufe zu erkunden.

Hast du ein Turso-Konto? Lege eine .dev.vars-Datei in apps/cloudflare-workers/ an (siehe .dev.vars.example) und bun run dev verwendet automatisch wrangler mit deiner entfernten Datenbank. Verwende bun run dev:local, um unabhängig davon den lokalen Server zu erzwingen.

Siehe CONTRIBUTING.md für Test- und Bereitstellungsanweisungen.

Verwendung mit KI

Dieses Repository enthält eine CLAUDE.md-Datei, die Kontext für KI-Assistenten bereitstellt. Bei Verwendung von Claude Code, Cursor oder ähnlichen KI-gestützten Entwicklungstools:

1. Die KI liest automatisch CLAUDE.md für Projektkontext
2. Architecture Decision Records in docs/adr/ erklären Designentscheidungen
3. Sicherheitsaudits in docs/audits/ dokumentieren die Sicherheitslage
4. Tests zeigen erwartetes Verhalten und Randfälle

Die Codebasis ist für KI-Lesbarkeit mit klaren Modulgrenzen, umfassenden Typen und beschreibenden Namen ausgelegt.

Lizenz

Apache-2.0