用途：loom-auth 提供认证（证明身份）与授权（决定可访问资源）的实现模式与安全清单，强调授权才是漏洞高发区，对象级授权（IDOR/BOLA）是 API 首要风险，应先做对象归属校验再打磨令牌流程。
主要能力：涵盖 OAuth2 流程（授权码+PKCE、客户端凭证、设备码；隐式与密码模式已弃用）、JWT 签发与校验、刷新令牌轮换、RBAC/ABAC、会话管理、API 密钥、密码哈希（argon2id 默认，bcrypt 成本≥12）与 MFA（优先 WebAuthn/通行密钥，其次 TOTP，短信仅作备份），并给出常量时间比较与安全核对清单。
必要用法：授权须在查询过滤条件中按主体与租户限定归属，写入、批量与嵌套操作同样校验，默认拒绝，不信任客户端传入的 id/role/tenant。JWT 校验须固定算法（如 algorithms: ["RS256"]），校验 exp、nbf、iss、aud，避免 alg:none 与 RS256→HS256 混淆。OAuth 回调须校验 state、精确匹配 redirect_uri、使用 S256。会话 ID 在登录或提权时重新生成，Cookie 设 httpOnly、Secure、SameSite。密钥与令牌比较使用常量时间函数，如 crypto 的 timingSafeEqual。
适用场景：设计登录流程、令牌/会话生命周期、访问控制模型，以及任何涉及生产凭据的代码。
限制：本技能只覆盖机制本身；漏洞扫描、深度审计与架构威胁建模分别由 loom-security-scan、loom-security-audit、loom-threat-model 负责。资料未提供安装命令、收费与平台信息。