用途：该技能定位为认证与授权专家，覆盖 JWT、OAuth 2.0、会话管理、RBAC 与安全最佳实践，用于认证实现、令牌处理与权限校验相关任务。
主要能力：提供 JWT 安全实现模式（使用密钥签名、短过期时间如 15m、从 httpOnly cookie 或 Authorization Bearer 头读取令牌、jwt.verify 校验）；密码安全（bcrypt 加盐哈希，SALT_ROUNDS 为 12，compare 校验）；RBAC 基于角色的权限映射与 requirePermission 中间件，无权限返回 403。附带代码审查清单：密码用 bcrypt（cost ≥ 12）哈希、JWT 密钥强度 256-bit、Cookie 设置 httpOnly/secure/sameSite、登录限流、所有路由有鉴权中间件、资源级授权。反模式提示：不要把 JWT 存 localStorage，应使用 httpOnly cookie；强制密码复杂度；加限流防暴力破解；鉴权必须在服务端校验而非仅客户端。
使用方式：被调用时先做环境检测，运行 grep -E "passport|jsonwebtoken|next-auth|bcrypt" package.json 2>/dev/null 与 find . -type f -name "auth" -not -path "./node_modules/*" | head -5；若涉及 API 设计模式建议转 rest-api-expert，数据库安全转 database-expert，基础设施安全转 devops-expert。
适用场景：实现或审查登录、令牌签发与校验、会话与 RBAC 权限控制。限制：具体价格、平台支持与完整使用步骤暂未提供。