用途：该技能面向需要实现身份认证与授权系统的开发任务，覆盖 JWT、OAuth2、会话管理与 RBAC 等业界常见模式，目标是构建安全、可扩展的访问控制系统。适用场景包括：实现用户认证系统、保护 REST 或 GraphQL API、添加 OAuth2/社交登录或 SSO、设计会话管理或 RBAC、排查认证或授权问题。
主要能力与流程：先定义用户、租户、流程与威胁模型约束；再选择认证策略（会话、JWT、OIDC）与令牌生命周期；随后设计授权模型与策略执行点；最后规划密钥存储、轮换、日志与审计要求。需要详细示例时，可打开 resources/implementation-playbook.md 获取详细模式与示例。
安全要求：不得记录密钥、令牌或凭据；遵循最小权限原则，并对密钥进行安全存储。
限制：不适用于仅需 UI 文案或登录页样式的情况；不适用于与身份无关的纯基础设施任务；在无法更改认证策略或凭据存储的场景下也不适用。具体平台、价格与效果等资料暂未提供。