用途：auth-analyzer 是一个面向认证与授权代码的安全审查技能，通过调用 @auth-analyzer 等指令检查应用的认证与授权实现，识别安全漏洞并生成报告。
主要能力：分析密码安全与哈希、会话管理、基于令牌的认证（JWT、OAuth）、多因素认证、单点登录、API 密钥认证、生物识别等机制；审查 RBAC、ABAC、ACL、权限层级、资源归属校验、权限提升防护等授权模式；检查认证绕过、会话劫持、令牌安全、不安全密码存储、失效的访问控制、账户枚举、暴力破解等风险；并对照 OWASP Top 10（A01:2021 失效的访问控制）、NIST 认证指南、密码策略、会话超时与 PCI-DSS 要求。
使用方式：在支持该技能的环境中以 @auth-analyzer 调用，可指定目录如 @auth-analyzer src/auth/，或用 --check-passwords、--check-sessions、--check-jwt、--check-authorization、--report 等参数分项检查或生成报告。报告按严重级别列出问题，附位置、示例漏洞代码、攻击场景、影响与修复代码，例如密码应使用 Argon2id 或 bcrypt 并加盐，JWT 必须用 jwt.verify 校验签名并限制算法，登录后应重新生成会话，服务端需强制所有权和权限检查。
适用场景：Web 应用与 API 的认证授权代码审计、上线前安全评审、合规检查准备。
限制：资料未提供独立的安装命令、运行环境要求、支持的编程语言范围、定价或是否收费等信息，暂未提供；示例以 JavaScript/Node.js 为主，其他语言的覆盖情况暂未提供。