用途：在实现认证（确认身份，如登录、令牌签发）或授权（访问控制、权限）相关任务时参考该技能。
主要能力： 认证方面：建议使用经过验证的成熟库，不要自行实现加密；用 bcrypt/argon2 哈希密码，禁止用 MD5/SHA1 处理密码；使用 15–60 分钟的短期 JWT 配合刷新令牌，并安全存储刷新令牌；对敏感操作实施 MFA。 授权方面：每次请求都要检查授权，而非仅在登录时；在服务层而非 UI 层执行 RBAC 或 ABAC；遵循最小权限原则，只授予所需的最小权限。 OAuth2/OIDC 方面：面向用户的应用使用带 PKCE 的授权码流程；每次校验令牌的 iss、aud、exp 和 nonce 声明。 会话管理方面：登录后重新生成会话 ID 以防会话固定；为会话 Cookie 设置 HttpOnly 和 Secure 标志。
使用方式：以该技能作为实现与审查认证授权逻辑的检查清单，按上述要点逐项落地。
适用场景：涉及登录、令牌、权限控制、OAuth/OIDC 集成和会话安全的开发任务。
限制：资料未提供具体代码示例、依赖版本、安装命令或性能数据；实际实现需结合所用语言与框架的官方文档。