AyAccount

本文介绍了我独立开发的统一身份认证后端服务，为 Web 与移动应用提供安全、便捷的账号体系。

简介

AyAccount 是一套完整的账号认证后端解决方案，旨在帮助应用快速拥有自己的用户系统，而无需从零搭建复杂的身份验证逻辑。它负责处理用户的注册、登录、会话保持、安全验证等核心环节，开发者只需调用几个简单的接口，即可在自己的应用中集成登录功能。

与常见的 OAuth 服务不同，AyAccount 主打“轻量集成”和“自有账号体系”——您不需要将用户数据交给第三方，所有账号信息都存储在您自己的数据库（通过 D1），且完全可自定义扩展。它尤其适合独立开发者、小型团队或快速原型项目，让您专注于业务本身，把繁杂的认证工作交给它。

主要功能

账号生命周期管理

从用户注册、登录到登出，AyAccount 提供了完整的 API 支持。用户可使用邮箱或用户名注册，密码经过高强度加密（PBKDF2 + 随机盐）存储，安全性有保障。登录成功后，系统自动签发短时效的访问令牌和长时效的刷新令牌，通过 HttpOnly Cookie 安全传输，前端无需额外存储，即可实现“一次登录，长期有效”的无感会话体验。

主动安全防御

为应对恶意攻击和暴力破解，AyAccount 内置了人机验证机制。在注册、登录、修改密码等敏感操作时，若系统检测到异常，会自动要求用户完成极验行为验证，有效过滤机器人请求。验证通过后，操作才会继续，从而大幅提升账号安全性。

令牌自动续期

访问令牌的有效期仅为 15 分钟，但刷新令牌可长达 30 天。前端 SDK 在检测到令牌即将过期时，可自动调用刷新接口，静默获取新的访问令牌，用户几乎感知不到会话中断，既保证了安全，又不影响体验。而一旦用户修改密码，所有已有的刷新令牌将被立即撤销，强制重新登录，防止旧令牌继续生效。

跨应用统一登录

AyAccount 支持跨域 Cookie 共享，通过配置允许的域名白名单，多个子服务（如官网、控制台、编辑器等）可以共用同一套账号体系。用户在任意一个服务登录后，其他服务将自动识别登录状态，实现“一次登录，全域通行”的便利。

灵活的多语言支持

配合前端 SDK，AyAccount 可以无缝切换界面语言，内置简体中文、繁体中文、英文，并允许开发者自定义翻译包，满足全球用户的需求。所有错误提示均以统一错误码返回，前端可自由适配翻译。

极简运维与扩展

整个服务基于 Cloudflare Workers 构建，无需维护服务器，自动扩展应对流量波动。数据库使用 D1，存储用户信息；刷新令牌使用 KV 存储，高速读写。您只需配置一个 appId 和必要的密钥，即可在几分钟内部署上线。

服务特色

• 开箱即用：前端 SDK 提供了完整的 UI 弹窗和交互逻辑，后端 API 已全部就绪，您只需传入 appId 即可集成。
• 安全可靠：密码哈希、JWT 签名、Cookie HttpOnly、CORS 白名单、人机验证，多层次防护。
• 性能卓越：边缘节点全球分布，请求延时低，高并发场景下依然稳定。
• 数据自主：用户数据完全由您掌控，不依赖任何第三方身份提供商。

AyAccount 是我在开发多个应用后沉淀下来的通用认证模块，它既是一个技术实现，更是一种“认证即服务”的理念——让身份验证变得简单、安全、无感。

许可与版权

• 开源协议：MIT License
• 作者：韵典（AeYunDian）
• 版权年份：2026