用途：在系统设计中实现身份与访问管理（IAM），适用于设计认证、授权或用户管理时参考。
主要能力：区分认证（AuthN，你是谁）与授权（AuthZ，你能做什么）；梳理 OAuth 2.0 流程，包括授权码（Web 应用）、PKCE（移动端/SPA，用 code verifier/challenge 替代 secret）、客户端凭证（机器对机器）；介绍 OpenID Connect（OAuth 2.0 加身份层，新增 ID Token、UserInfo 端点及 sub、email、name 等标准声明）；说明 JWT 结构 header.payload.signature；给出基于角色的访问控制（RBAC）的 Role、Permission 接口与 hasPermission 判断示例。
最佳实践：密码最少 12 位，用 Argon2id 或 bcrypt 哈希，绝不存明文，并做速率限制；会话使用安全、HttpOnly Cookie，防 CSRF，设置合理过期时间，登出时失效；令牌方面访问令牌短时效（15 分钟）、刷新令牌较长（数天）并轮换，安全存储（不要放 localStorage）；MFA 支持 TOTP（如 Google Authenticator），可考虑 WebAuthn/passkeys，并提供备用恢复码。
限制：资料未提供具体安装命令、依赖、平台支持、收费或效果数据，暂未提供。