第二篇　接入层：路由与鉴权

后端框架选了 Koa2，原因是团队里两个人写过 Node，上手快，中间件机制干净。接入层要处理四件事：路由组织、登录鉴权、HTTPS 证书、图片上传。看上去都是常规活，实际每一件都让我们加过班：token 刷新策略改了三版，证书过期导致线上白屏过一次，COS 直传的回调签名踩了半天才通。

本篇按请求从外到内的顺序写：先定接口约定，让前后端对着同一张表开发；再写 code2session 换 token 的完整链路；然后是 HTTPS 与证书自动续期；最后是 COS 直传加回调，把图片流量彻底从后端服务器上摘掉。所有配置都给最小可跑版本，复制过去改改参数就能用。本篇的阅读体感会有点像安检过程：每一道关卡都平淡无奇，但少任何一道，后面都会出乱子。

小节 内容 关键产出
2.1 接口设计 RESTful 约定
2.2 登录鉴权 code2session
2.3 HTTPS 证书与续期
2.4 图片上传 COS 直传回调

延伸阅读