GitHub 登录与权限

const user = await requireSession(request);
const notes = await database.notes.findMany({ ownerId: user.id });

这是解释结构的代码骨架，外部函数与数据需要在实际项目中实现。

放进真实情境里看

GitHub 登录后，用户只能读取自己的学习记录。即使在请求正文传入别人的 userId，接口也应从服务端会话取得真实身份并拒绝越权。

1. 01

   分析边界

   OAuth 让第三方确认身份，但应用仍需建立自己的会话与权限规则。登录回调要验证状态并限制跳转目标；数据库查询必须按当前用户过滤。认证回答你是谁，授权回答你可以做什么，两者缺一不可。

2. 02

   观察具体过程

   GitHub 登录后，用户只能读取自己的学习记录。即使在请求正文传入别人的 userId，接口也应从服务端会话取得真实身份并拒绝越权。

3. 03

   验证失败路径

   不要将用户提交的 ID 当作身份，也不要将服务端管理密钥放到前端。跨站写请求、会话过期和回调白名单都需要单独处理。