用途：在 TanStack Start 项目中设计、实现、审计或调试认证与授权，覆盖会话、Cookie、登录、登出、OAuth state 与 PKCE、密码重置等场景。
主要能力与做法：先定义信任边界，阅读 ../../docs/authentication-and-security.md，明确主体、凭据、会话存储、受保护资源、租户边界以及每个可调用端点。在每个访问受保护数据的 server function 或 server route 内部完成认证与授权；beforeLoad 仅用于导航行为和早期 UX。
安全原语：按请求解析会话；使用安全、HTTP-only、作用域合适的 Cookie；认证或权限变更后轮换会话；登出时使会话失效；使用通用凭据与重置响应以防账户枚举；使用 OAuth state 与 PKCE，并将回调绑定到发起会话；保护基于 Cookie 认证的变更操作以防 CSRF；对敏感端点限流；校验密钥与配置但不暴露其值；不要自创加密或密码哈希。
对抗性验证：测试匿名访问、无效凭据、过期与已撤销会话、CSRF 失败、重放的 OAuth state、密码重置重用、用户或租户之间的横向访问、角色不足以及限流行为。
输出：按严重程度返回发现，并给出确切的端点与文件引用，区分已确认漏洞与加固建议。
限制：资料未提供具体安装命令、代码示例、收费或平台信息。