用途：对认证与授权实现做全面安全审计，覆盖 JWT、会话、OAuth2、密码和 MFA 五类。
主要能力：按固定工作流执行——识别认证实现（JWT、会话、OAuth），扫描已知反模式，核验密码学选择，检查令牌/会话生命周期，审计授权逻辑（RBAC、ABAC）。审计类别与检查项：JWT 关注签名算法、过期、刷新、存储；会话关注存储、过期、重新生成、固定；OAuth2 关注 PKCE、state 参数、重定向校验；密码关注哈希算法、强度规则、重置流程；MFA 关注实现、备份码、恢复。
可发现的常见漏洞：JWT 使用 none 算法签名、JWT 密钥过短（低于 256 位）、无令牌过期或过期过长、刷新令牌存于 localStorage、登录后会话固定、缺少 CSRF 防护、公共客户端 OAuth 缺少 PKCE、OAuth 流程缺少 state 参数。
使用方式：资料未提供具体安装命令或调用步骤，仅说明其运行固定工作流；参考资料为 Auth Patterns 与 Auth Checklist。
适用场景：在代码审查或安全评估中审计认证授权实现。
限制：资料未提供支持的平台、语言、收费与价格信息，暂未提供。