Теория разбирает express-rate-limit, zxcvbn, crypto.timingSafeEqual и dummy-bcrypt equalization. Brute-force lab проверяет per-IP rate limiting, weak-password lab — базовую server-side policy и default secret, а timing lab — user enumeration через неодинаковые bcrypt-ветви, но не timingSafeEqual.
Обзор механизмов аутентификации в Node.js, passport.js, bcrypt и типичные ошибки разработчиков.
Атака перебором паролей на эндпоинт логина и защита через независимые IP/subnet и account rate limits с отдельным spray detection.
Эксплуатация слабых паролей и защита через blocklist, server-side policy и прикладную оценку zxcvbn.
Два разных механизма — constant-time сравнение fixed-length secrets через timingSafeEqual и user enumeration через неодинаковые bcrypt-ветви.
Чек-лист безопасности аутентификации, passport.js стратегии, реальные инциденты утечек.
Reference architecture для edge/application/data/detection слоёв и примеры SAST, DAST, CI/CD и runtime detection, требующие адаптации и regression tests.