用途：围绕实验性 WorkOS auth.md v0.6.0 提案，设计、实现或审查智能体注册。该版本是变动中的提案而非稳定 RFC，实施前应核对上游，并在设计或审计中注明版本、上游提交或文档日期及审查日期。
主要能力与关注点：
- 先给安全结论：遇到捷径请求或协议混淆时，先输出紧凑检查清单，覆盖协议区分、禁止代理收集或提交用户密码与 user_code、授权轮询与 slow_down 退避、发现层准确性、ID-JAG 校验与范围不升级等。
- 协议边界：区分 WorkOS auth.md、Better Auth Agent Auth、OAuth 动态客户端注册与 RFC 8628 设备授权，不得视为线上兼容。
- 流程选择：先固定角色与信任边界，再执行发现；仅当提供方可签发受服务信任、受众绑定的 ID-JAG 时使用 identity_assertion，否则优先 service_auth；默认关闭匿名注册。
- 用户仪式：service_auth 使用服务方 verification_uri 与 user_code，要求用户自行认证并输入代码；代理不得代输或索取密码。
- 服务安全：ID-JAG 需要 issuer 与算法允许列表、JWKS 校验、精确受众、短过期、新 auth_time 与 jti 重放防护；claim_token、user_code 等须哈希存储；claim、交换、续期均不得扩大范围。
使用方式：先阅读 references/protocol-discovery-and-flow-selection.md 再选择流程；可用 scripts/probe_auth_md.py 做只读发现探测，该脚本仅 GET/HEAD，不注册、不认领、不签发、不交换、不提交机密。实现服务端前阅读 references/service-implementation.md 与 references/security-consent-and-operations.md；签发 ID-JAG 前阅读 references/agent-provider-and-id-jag.md；集成 Better Auth 前阅读 references/better-auth-integration.md。
适用场景：实现或审查 auth.md 智能体注册、服务端 claim 流程、代理客户端轮询与错误恢复、ID-JAG 提供方与 Better Auth 集成。
限制：资料未提供具体收费、价格、平台或效果数据。v0.6.0 存在受众歧义，需按部署固定并记录一种契约；不得把 Better Auth Agent Auth 或 /sign-up/email 当作原生 auth.md 支持。