用途：对建立身份（登录、注册、SSO/OAuth 回调）、延续身份（记住我、刷新令牌）和重建身份（密码重置、账户恢复）的每条路径进行审计，检查凭据校验、令牌签发与失效是否正确，识别枚举、暴力破解、默认凭据、批量赋值、MFA 绕过及 JWT 算法/校验缺陷。
主要能力：
- 凭据校验：确认密码使用慢速加盐 KDF（Argon2id、bcrypt cost>=12、scrypt、PBKDF2-HMAC-SHA256>=600k），标记 md5/sha1/sha256 单次哈希、无盐摘要、可逆加密；检查比较是否使用库的常量时间验证器。
- 登录与暴破防护：服务端按账户和来源计数失败尝试并持久化，检查锁定或指数退避，探测参数污染。
- 注册与批量赋值：对比请求体字段与 ORM 允许列表，标记 role、is_admin、permissions 等来自客户端。
- 密码重置：要求 CSPRNG>=128 位令牌、服务端过期（<=60 分钟）、哈希存储、一次性消费、重发与改密时吊销；检查链接主机来源是否依赖 Host 头。
- MFA：检查是否存在、TOTP 密钥存储、备份码、可跳过流程与设备信任令牌。
- 会话管理：登录后重新生成会话 ID、登出服务端失效、改密使所有会话/刷新令牌失效、空闲与绝对超时。
- 令牌认证：JWT 需固定算法白名单（排除 none）、校验 aud/iss/exp；标记原始解码信任声明、kid/jku/x5u/jwk 注入、URL 中的令牌；OAuth 标记隐式流、缺失 state、redirect_uri 前缀匹配。
- 记住我：要求>=128 位随机 series/token 对并哈希存储。
必要用法：以仓库中的 glob 模式定位登录、令牌、重置、MFA 等代码路径，再用给出的 ripgrep 正则识别弱哈希、弱重置令牌、JWT 误用等线索；命中仅为线索，需人工确认。从路由表出发把每条未认证路由归入上述 sink 进行污点追踪。
适用场景：对 Web 应用、API 与移动后端做认证与会话安全代码审计。
限制：节流深度与 API 滥用见 api.md；重置流之外的 IDOR 见 authz.md；Cookie 属性矩阵见 config.md；硬编码密钥清单见 secrets.md；重定向校验见 ssrf.md。仓库 GUIDE.md 词汇表提供术语说明，findings 需按模板给出证据。具体支持平台、收费与价格暂未提供。