Melhores práticas de autenticação e autorização para Backend

"Como posso projetar e implementar um sistema de autenticação e autorização robusto e escalável para uma API RESTful, considerando os desafios de segurança (como proteção contra ataques de força bruta e injeção SQL), a necessidade de múltiplos tipos de usuários (administradores, usuários comuns, convidados) e a integração com provedores de identidade externos (OAuth 2.0, OpenID Connect)? Descreva as abordagens técnicas recomendadas (JWT, sessões, RBAC, ABAC), as melhores práticas de armazenamento de credenciais e como garantir a auditabilidade das ações dos usuários, tudo isso com foco em performance e manutenibilidade para um backend em Node.js com banco de dados PostgreSQL."