用途：当扫描器报告 API Gateway 路由缺少授权，或 cdk-nag 报出 AwsSolutions-APIG4 类授权问题时，用本技能审查并修复根因，而不是仅为让扫描通过而添加无实际作用的安全措施。
主要能力：建立路由授权清单，逐条记录路由、方法、暴露面、已配置授权器、实际安全检查与分类；识别“直通式”授权器（如对所有请求返回 isAuthorized: true、未验证签名或声明即放行、捕获校验错误后放行、仅检查请求头存在、把 API Key 或 CORS 当认证等）；将路由分类为受保护、有意公开或不清楚。
使用方式：先检查基础设施源码与合成后的 CloudFormation 模板，可用 rg -n "addRoutes|addMethod|authorizer|authorizationType|isAuthorized|Effect.*Allow" .、npx cdk synth、rg -n "AuthorizationType|AuthorizerId|AuthorizerUri|IdentitySource" cdk.out 等命令。受保护路由按 IAM SigV4、API Gateway JWT/Cognito、真实 Lambda 授权器、私有 API 或资源策略的顺序优先选择托管机制。有意公开路由应显式配置为未认证并做窄范围扫描例外；若策略仍要求授权器，才可挂载专用的始终放行兜底授权器。
限制与规则：兜底授权器不是认证，不得替换、包裹或补充真实业务授权器；不得对受保护路由使用 businessAuthorizer ?? fallbackAuthorizer 之类的静默回退，缺失业务授权器应让部署或校验失败；不得把 API Key、CORS、隐蔽性或限流描述为认证；不得做全栈或全规则抑制；不得记录凭据或完整授权事件。验证需运行 npm run build、npm test、npx cdk synth，并确认合成模板中每条路由的授权类型与授权器引用符合预期。具体 CDK 示例与路由级控制见 remediation-patterns.md。