用途：Spider Weave 用于为应用搭建认证体系，覆盖从结构搭建到安全加固与测试的完整流程。用户提出“添加认证”“设置登录”“保护路由”，或需要集成 OAuth、会话管理、API 路由保护、基于角色的访问控制（RBAC）、实现 PKCE 流程、接入 Heartwood（GroveAuth）时启用。
主要能力：按 SPIN（创建）→ CONNECT（连接）→ SECURE（加固）→ TEST（测试）→ BIND（绑定）五阶段推进。SPIN 选择认证模式（Session、JWT、OAuth 2.0、PKCE、API Keys），搭建 src/lib/auth/ 结构、定义用户与会话表、配置环境变量；CONNECT 实现登录重定向、回调处理、用户 upsert、会话创建与客户端认证状态；SECURE 加入 requireAuth()、requireRole()、安全响应头、CSRF 校验、限流（每 IP 15 分钟 5 次）；TEST 覆盖 OAuth 流程、路由保护、CSRF 拒绝、会话过期等；BIND 完成 UI 状态、事件日志、可疑活动告警与完成报告。
使用方式：技能调用为 /spider-weave，或提及 spider/auth；各阶段按需加载 references/oauth-pkce-flow.md、session-management.md、route-protection.md、security-headers.md、heartwood-integration.md 等参考文件。配套技能包括 raccoon-audit（安全审查）、beaver-build（认证测试）、eagle-architect、swan-design、elephant-build、turtle-harden、deer-sense。
适用场景：简单内部应用用会话认证；面向公众的社交登录用 OAuth 2.0 + PKCE；移动/SPA 的 API 用带刷新令牌的 JWT；服务间通信用带 IP 白名单的 API Keys；Grove 生态用 Heartwood 集成。
限制：资料强调不应明文存储密码、OAuth 流程不能跳过 PKCE、不信任未校验的用户输入、不保留默认密钥、不忽略会话过期、不记录敏感数据（令牌、密码）、不未校验地反射 redirect_uri 或 next 参数、不通过 OAuth 声明分配管理员角色（仅手动数据库分配）。价格、平台支持范围与效果等暂无提供。