用途：这是一个以无密码优先为设计原则的认证实现技能，用于为现代 Web 与移动应用搭建和排查登录体系。资料给出的适用场景包括：实现 Passkeys/WebAuthn 认证、Google 与 Apple OAuth 社交登录、Supabase Auth 配置与排障、魔法链接与一次性验证码的无密码流程、跨设备认证同步、MFA（TOTP、Passkey 作为二次验证）、邮箱与短信找回流程，以及社交登录的 App Store 合规。
主要能力：技能采用认证方式分层建议。首选抗钓鱼方式为 Passkeys（平台认证器如 Face ID、Touch ID、Windows Hello，或漫游认证器如 YubiKey）；其次是 Google 与 Apple 社交 OAuth；降级方案为魔法链接、邮箱 OTP，短信 OTP 因 SIM 交换风险被列为最后手段；密码加邮箱属于不推荐的传统方式。技能附有安全分级对比，说明各方式在抗钓鱼、设备绑定、可同步和摩擦程度上的差异，并给出 WebAuthn L2、FIDO2/CTAP2、OAuth 2.1 等标准的状态说明。
使用方式：资料推荐前端使用 @simplewebauthn/browser 与 next-passkey-webauthn，后端使用 @simplewebauthn/server。以 Next.js + Supabase 为例，技能给出 passkey_credentials 表结构、注册与认证 API 路由的 options/verify 两步流程、前端 usePasskey Hook，以及 Google OAuth 在 Web 与 React Native/Expo 下的接入思路。Apple 登录部分提到需在 Apple Developer Portal 启用能力、创建 Service ID 与 .p8 密钥（密钥每 6 个月过期），并在 Supabase 后台配置。
限制：资料属于技能说明，未提供统一安装步骤、定价或版本信息，部分段落内容被截断（如 Apple 登录实现代码未完整给出）。技能明确不适用于无认证上下文的会话管理、授权与 RBAC（建议用 security-auditor）、API 密钥管理（建议用 api-architect）、Supabase RLS 策略（建议用 supabase-admin）。