用途：在用户要求检查身份伪造风险、分析认证漏洞时，分析源代码中攻击者能否冒充合法用户或系统组件，对应 STRIDE 的 S（Authentication 违背）。
主要能力：按范围脚本解析 --scope、--depth、--severity、--format、--fix、--quiet、--explain 等通用标志；聚焦认证与身份相关文件，包括登录/注册路由、认证中间件、会话管理、令牌生成校验、OAuth/OIDC 集成、凭据配置、密码重置流程。检查清单涵盖明文凭据、MD5/SHA-1 等弱哈希、缺失认证的端点、会话固定、JWT 算法固定与过期校验、TLS 证书验证关闭（如 verify=False、rejectUnauthorized: false、InsecureSkipVerify: true）、仅凭 IP 或 X-Forwarded-For 认证、凭据比较时序、默认凭据、OAuth state 缺失、MFA 绕过、账户枚举等。
使用方式：确定范围并解析目标文件列表；对范围内文件按清单逐项分析，--depth standard 通读文件，--depth deep 跨文件追踪认证流程；按 findings 模式输出，编号形如 SPOOF-001 并设置 references.stride 为 S。
输出字段：id、severity、confidence、location、description、impact、fix、references（stride、cwe）、metadata。严重度由 critical 到 low 分级，常见 CWE 含 CWE-287、256、327、384、295、346、798、208。
适用场景：代码安全审计、认证设计评审、上线前认证风险评估。
限制：需符合比例原则，并非所有应用都需要 MFA；时序攻击需网络邻近与大量请求，通常评为 medium；测试开发种子数据若受环境门控可接受；Cookie 属性缺失属纵深防御，需与其他发现组合评估。资料未提供具体价格、付费方式或平台支持信息。