用途：该技能面向现代 Web、移动与 API 应用的认证（身份验证）与授权（访问控制）实现，涵盖 OAuth2、JWT、RBAC/ABAC、会话管理、API 密钥、密码哈希和 MFA。
主要能力：提供 OAuth2 授权码流程、PKCE 流程、客户端凭证流程的示例；JWT 的 RS256 签名与校验、刷新令牌轮换；RBAC 角色权限中间件与 ABAC 策略函数；基于 Redis 的会话创建、校验与批量失效；API 密钥生成、哈希存储与限流；Argon2id 与 bcrypt 密码哈希及强度校验；TOTP 与备份码的 MFA 流程。
使用方式：资料按主题给出 TypeScript/JavaScript 代码片段，如使用 jsonwebtoken 签名校验、ioredis 管理会话、argon2/bcrypt 哈希密码、otplib 与 qrcode 实现 TOTP。技能说明中区分了 senior-software-engineer（Opus）用于架构设计、策略选型与生产前实现，software-engineer（Sonnet）用于既有认证代码的单元测试、样板中间件与按详细计划搭建。
适用场景：从零设计认证架构、在既有应用中加入 JWT 或会话、集成 OAuth2 提供商、实现 RBAC/ABAC、添加 MFA 或 API 密钥、处理刷新令牌与密钥轮换、配置 SSO/SAML/OIDC、扩展分布式会话存储等。
限制：资料未提供该技能的安装命令、收费方式、平台支持范围或实际效果数据；代码示例为示意，具体依赖版本、部署环境与合规要求需另行确认。