用途：为 Web 应用与 API 设计并实现认证与授权，包括注册、登录、登出、刷新令牌、当前用户查询，以及会话、JWT、OAuth、SSO、MFA 和 RBAC 权限边界。
主要能力：先梳理应用类型、认证面、存储与运行时、信任边界和运维需求，再选择最小合适的认证模型（会话 Cookie、JWT 访问加刷新、OAuth/SSO 或混合）；设计身份、密钥与持久化边界；实现核心认证流程；执行授权与运维防护，如路由级权限检查、默认拒绝、登录与重置限流、安全 Cookie、CORS 或重定向白名单、避免记录敏感信息；并验证成功登录、无效凭据、未授权、越权、过期或撤销令牌、登出及恢复路径等风险场景。
使用方式：按步骤先分类产品形态再写代码；密码使用 bcrypt 或 argon2，访问令牌短时效，刷新令牌或会话可撤销，特权角色显式存储与检查，密钥不进入源码。框架样板与安全细节放在 references/framework-recipes.md 和 references/security-checklist.md，需要时再读取。
适用场景：为 Express 等 API 添加 JWT 登录、刷新与管理员角色保护；为服务端渲染的内部管理后台选择会话 Cookie 并配合 Redis；在已有邮箱密码账户上增加 Google 登录且不破坏原有账户。
限制：不适合作为高度受监管身份要求或自定义密码学设计的唯一依据，需结合项目安全要求与官方厂商指南；若仓库已有认证系统，应先审查现有代码再重写模型。具体框架代码、价格与平台支持暂未提供。