Примечание к демо: Конечная точка входа защищена адаптивными PoW-задачами — повторные неудачи увеличивают сложность доказательства работы. Ограничение частоты запросов на основе кэша реализовано и протестировано, но в данный момент не включено в демо-версии; для активации переключите createCacheClient в app.ts.

Эталонная реализация аутентификации с нуля для Cloudflare Workers — хеширование паролей PBKDF2, JWT-сессии с двумя токенами, сравнение за константное время, скользящее истечение и подключаемый плагин наблюдаемости — всё собрано с Hono, Turso (с опциональным кэшированием Valkey/Redis) и строгим TypeScript.

Каждое проектное решение опирается на стандарт: NIST SP 800-63B для учётных данных, NIST SP 800-132 для вывода ключей, OWASP ASVS для верификации и RFC 8725 для лучших практик JWT.

Создаёте продукт? Используйте Better Auth — он покрывает OAuth, passkey, MFA, ограничение частоты запросов и многое другое из коробки с активной экосистемой плагинов. Этот репозиторий существует, чтобы научить вас как работает аутентификация, а не заменять production-библиотеку.

Зачем этот репозиторий

• Читайте код, а не только документацию — каждое свойство безопасности (отклонение с постоянным временем, отзыв, привязанный к сессии, фиксация алгоритма) реализовано и протестировано, а не просто описано
• Ссылки на NIST + OWASP + RFC по всему тексту — узнайте почему за каждым решением
• Более 630 тестов, включая наборы векторов атак (подделка токенов, путаница алгоритмов, граничные случаи Unicode)
• Плагин наблюдаемости — структурированные журналы аудита, адаптивные PoW-задачи, агент-аутентифицированное API операций и потоковая передача событий через WebSocket — подключается через middleware Hono без изменения основного кода аутентификации
• Создано для edge — работает на Cloudflare Workers с Web Crypto API, без зависимостей Node.js
• Apache-2.0 — форкайте, используйте для обучения, учитесь

Что внутри

Следующие шаги к продакшену

Этот проект намеренно опускает функции, выходящие за рамки его образовательной цели. Если вы расширяете этот код в сторону продакшена (или оцениваете, что требуется для production-системы аутентификации), таблицы ниже группируют пробелы по уровням приоритета.

В большинстве реальных проектов используйте Better Auth вместо создания собственного решения.

Критично — Добавить до реальных пользователей

Высокий приоритет — Уверенность в продакшене

Средний приоритет — По мере масштабирования продукта

Продвинутый уровень — Enterprise / Высокая безопасность

Все это отличные причины обратиться к Better Auth вместо самостоятельной реализации.

Структура репозитория

.
├── apps/
│   └── cloudflare-workers/    # Пример Worker + Hono маршруты
├── packages/
│   ├── core/                  # Сервисы аутентификации, middleware, утилиты криптографии
│   ├── infrastructure/        # Клиент БД + утилиты
│   ├── observability/         # Генерация событий, адаптивные задачи, ops API (удаляемый плагин)
│   ├── schemas/               # Zod-схемы
│   └── types/                 # Общие типы TypeScript
├── tools/
│   └── cli/                   # plctl — Go TUI для поверхности /ops
└── docs/
    ├── adr/                   # Записи архитектурных решений
    └── audits/                # Аудиты безопасности

Начало работы

git clone https://github.com/vhscom/private-landing.git
cd private-landing
bun install
bun run dev

Всё — никаких учётных записей, ключей API или файлов .env. Dev-сервер запускается с локальной SQLite-базой и сгенерированными секретами. Откройте http://localhost:8788, чтобы зарегистрировать аккаунт и изучить потоки аутентификации.

Есть аккаунт Turso? Поместите файл .dev.vars в apps/cloudflare-workers/ (см. .dev.vars.example), и bun run dev автоматически использует wrangler с вашей удалённой базой. Используйте bun run dev:local, чтобы в любом случае принудительно запустить локальный сервер.

Инструкции по тестированию и развёртыванию см. в CONTRIBUTING.md.

Использование с ИИ

Этот репозиторий включает файл CLAUDE.md, который предоставляет контекст для ИИ-ассистентов. При использовании Claude Code, Cursor или аналогичных инструментов разработки с поддержкой ИИ:

1. ИИ автоматически прочитает CLAUDE.md для контекста проекта
2. Записи архитектурных решений в docs/adr/ объясняют дизайнерские выборы
3. Аудиты безопасности в docs/audits/ документируют состояние безопасности
4. Тесты демонстрируют ожидаемое поведение и граничные случаи

Кодовая база спроектирована для чтения ИИ: четкие границы модулей, всесторонние типы и описательные имена.

Лицензия

Apache-2.0