用途：面向 API 认证与授权场景，提供协议实现与安全实践参考，涵盖 OAuth 2.0、JWT、API Key、会话管理、令牌安全与最佳实践。
主要能力：
- API Key：支持请求头（X-API-Key）与查询参数两种传递方式，并指出查询参数安全性较低。
- JWT：给出生成与校验示例，使用 HS256 签名，包含 exp、iat 声明，并处理过期与无效令牌异常。
- OAuth 2.0 授权码流程：展示授权重定向（含 client_id、redirect_uri、response_type、scope、state）与用授权码换取 access token 的请求。
- 令牌安全存储：refresh token 存于 HttpOnly Cookie（secure、sameSite、maxAge），access token 建议存内存而非 localStorage。
- 认证中间件：提供 Go 与 TypeScript/Express 示例，从 Authorization 头解析 Bearer 令牌并校验。
- 令牌刷新策略：TokenManager 在过期时调用刷新接口，失败则登出。
- MFA：使用 pyotp 生成 TOTP 密钥与二维码，并校验一次性口令。
- 安全头与 CORS：使用 helmet 配置 CSP，cors 限制允许来源并开启 credentials。
- 密钥轮换：通过 kid 标识签名密钥，使用 RS256 签名与校验。
- 限流：基于客户端 IP 与时间窗口的简单限流装饰器，超限返回 429。
使用方式：该技能以参考文档形式提供代码片段与建议，需结合自身技术栈选用对应语言示例，并按项目实际调整密钥、有效期与来源配置。
适用场景：构建或审查 API 认证层、设计令牌生命周期、加固登录与会话安全、实现 MFA 与限流。
限制：资料未提供安装命令、依赖版本、收费与平台信息；示例为通用模式，未覆盖具体框架的完整集成步骤，生产使用前需自行验证与补充。