认证与授权评估（MASVS-AUTH）技能面向移动应用安全审计，依据 OWASP MASVS-AUTH 控制项和 MASTG 测试用例对目标应用代码库进行系统检查。
用途：审计移动应用的身份验证和授权机制，识别登录流程、令牌管理、本地认证和敏感操作防护中的安全问题。
主要能力：
- 验证 MASVS-AUTH-1：远程认证与授权是否使用安全协议并在服务端强制执行，参考 OAuth 2.0、OpenID Connect 等最佳实践。
- 验证 MASVS-AUTH-2：生物识别和本地 PIN 认证是否遵循平台最佳实践且不易绕过。
- 验证 MASVS-AUTH-3：高风险操作（支付、账户变更、数据导出）是否要求步进认证。
- 映射 MASTG 测试：包括 MASTG-TEST-0017（Android 生物识别）、MASTG-TEST-0018（Android 确认凭据）、MASTG-TEST-0064（iOS 本地认证）、MASTG-TEST-0326（无 CryptoObject 的生物识别）、MASTG-TEST-0327（注册变更时生物识别密钥未失效）、MASTG-TEST-0266（无 Keychain 的生物识别本地认证）。
使用方式： 审计目标通过参数指定代码库路径；若未提供路径，则审计当前工作目录。执行过程分为五个步骤：
- 认证流程分析：梳理登录机制、令牌管理、令牌存储位置与保护、令牌刷新与过期逻辑、登出与会话失效、账户恢复流程。
- 远程认证检查：验证凭据不以明文本地存储；检查 OAuth 2.0/OIDC 的 PKCE、重定向 URI 校验、state 参数；确认令牌存储在平台安全存储（Keychain/KeyStore）；检查访问令牌 TTL 和刷新令牌轮换；验证登出后的服务端会话失效与令牌撤销；检查认证端点的 TLS 和证书验证，并评估是否需要对第一方高风险端点使用证书固定。
- 本地认证检查：Android 侧查找 BiometricPrompt，检查 setAllowedAuthenticators 配置、CryptoObject 使用、负按钮回退、setUserAuthenticationRequired(true)，并检测仅检查布尔标志的绕过；iOS 侧查找 LAContext、evaluatePolicy、canEvaluatePolicy，验证 deviceOwnerAuthenticationWithBiometrics 与 deviceOwnerAuthentication 的使用，检查 Keychain 与 kSecAccessControlBiometryCurrentSet 的集成，检测 evaluatePolicy 回调劫持，以及 evaluatedPolicyDomainState 对生物识别注册变化的检测。在安全关键场景，建议使用 Frida 或 r2frida 进行动态验证。
- 步进认证：识别敏感操作（支付交易、密码/邮箱修改、账户删除、数据导出、管理员/权限提升、添加新设备或可信联系人），检查是否要求重新认证。
- MASTG 测试映射：将发现关联到上述 MASTG 测试 ID。
输出格式：结构化报告包含认证架构概览、发现（严重程度、MASVS 控制项、MASTG 测试 ID、文件:行号、代码片段、修复建议）、会话管理评估、本地认证评估、步进认证覆盖情况，以及 MASVS-AUTH-1、AUTH-2、AUTH-3 的合规总结（通过/失败）。
适用场景：移动应用安全审计、代码审查、合规检查、认证机制专项评估。
限制：本技能为审计流程指南，实际执行依赖对目标代码库的访问和人工或工具分析；动态验证需要 Frida 或 r2frida 等工具；具体平台、收费、效果等资料暂未提供。