用途：为 Web、移动端与 API 提供完整的认证（身份验证）与授权（访问控制）实现参考，强调生产前的安全审查。
主要能力：OAuth2 多种流程（授权码、PKCE、客户端凭证）；JWT 签名与校验（推荐 RS256/ES256，含 exp、iss、aud、nbf 校验）与刷新令牌轮换；RBAC 基于角色的权限中间件与 ABAC 基于属性的策略判断；基于 Redis 的会话创建、校验、失效与超时；API 密钥生成、哈希存储、前缀标识与限流；Argon2id/bcrypt 密码哈希与强度校验；TOTP 多因素认证、备份码与 MFA 验证流程；身份提供商（Keycloak、Auth0、Cognito）与 SSO/SAML/OIDC 集成；密钥轮换、证书管理与密钥库配置。
使用方式：作为 Claude Code 技能按需调用，senior-software-engineer(Opus) 用于架构设计、策略选择与安全决策，software-engineer(Sonnet) 用于既有认证代码的单元测试、按既定模式的中间件样板与具体计划脚手架。分段示例覆盖各流程的关键调用，可按原文使用。
限制与注意：资料未提供安装命令、价格与具体平台支持信息；示例参数（如 15 分钟访问令牌、7 天刷新令牌、限流阈值）为参考配置，需按实际场景评估。涉及 PII、合规与上线前的认证实现应谨慎处理。