用途：分析源代码中的身份认证与会话管理漏洞，对应 OWASP Top 10 2021 A07（Identification and Authentication Failures），并映射 STRIDE 的 Spoofing、Repudiation 及 CWE-287、CWE-384、CWE-307、CWE-521、CWE-916、CWE-613、CWE-308 等。
主要能力：检测登录接口缺少限流、弱密码校验、明文或弱哈希（MD5、SHA1、未加盐 SHA256）存储密码、会话 ID 出现在 URL、登录后未重新生成会话、接受 JWT alg:none、硬编码 JWT 密钥、缺失或可绕过的 MFA、登出或超时后会话未失效等。输出发现含严重级别、置信度、文件与行号、影响说明和修复建议，ID 前缀为 AUTH。
使用方式：支持 --scope（默认 changed）、--depth（quick 仅模式扫描，standard 完整读取分析，deep 跨文件追踪认证流，expert 红队模拟与 DREAD 评分）、--severity、--format（text、json、sarif、md）、--fix、--quiet、--explain。优先调用 semgrep，其次 bandit（Python）、gosec（Go）、gitleaks（硬编码凭据）；无扫描器时用 Grep 模式分析并注明。作为 OWASP 调度器子代理运行时从父代理接收 scope 与 flags。
适用场景：审查登录、注册、密码重置、会话配置、JWT/OAuth 代码及框架认证配置。
限制：资料未提供具体安装命令、价格、平台支持范围及实际效果数据；分析依赖可用扫描器与代码可读性，Claude 单独发现置信度为 medium。