用途：该技能提供 OAuth 2.0 / 2.1 协议实现协助，OAuth 2.1 将 OAuth 2.0 及其最佳实践整合为单一标准，允许第三方应用通过授权服务器获得对 HTTP 服务的有限访问。适用场景包括：委托授权框架（第三方访问用户资源而不暴露密码）、单点登录（SSO）架构、公共与移动 API 的令牌签发、验证与吊销，以及机器对机器的微服务后台守护进程访问。
主要能力：覆盖四种授权类型——带 PKCE 的授权码（公共与机密客户端，标准用户登录授权）、客户端凭证（后端守护进程的机器对机器通信）、刷新令牌（无需重新登录即可续期访问令牌）、设备授权（智能电视、CLI 等输入受限设备通过第二屏浏览器认证）。同时涉及 PKCE 协议流程、作用域与同意管理、常见模式与最佳实践、故障排查。
使用方式：客户端重定向至授权服务器，携带 response_type=code、client_id、redirect_uri、scope、code_challenge 与 code_challenge_method=S256；回调中取出 code 后向 /token 端点 POST，提交 grant_type=authorization_code、code、client_id、redirect_uri 与 code_verifier。PKCE 流程为：本地生成 verifier 与 challenge（SHA256），GET /authorize 携带 code_challenge，接收授权码，POST /token 携带 code 与 code_verifier，获得访问令牌与刷新令牌。客户端凭证示例以 application/x-www-form-urlencoded 提交 grant_type、client_id、client_secret 与 scope。
最佳实践：弃用隐式授权与资源所有者密码凭证（ROPC）；所有授权码流程强制 PKCE；实现刷新令牌轮换以检测令牌重用与盗用；重定向 URI 严格精确匹配，不使用通配符正则。避免在未使用 OpenID Connect 时用 OAuth 做认证（OAuth 提供授权，OIDC 增加认证）；不要在 URL 查询字符串中传递访问令牌；不要授予宽泛通配作用域，应遵循最小权限。
限制：资料未提供具体收费、价格、平台支持范围或效果数据；常见错误 invalid_grant（授权码过期或重用）与 redirect_uri_mismatch（URI 不匹配允许列表）需按对应方案处理。