用途：对自有或获授权站点的登录流程做被动、只读的卫生与健壮性审计，无需注册或有效凭据，只检查表单、响应头与 Cookie。
前提：需要 Playwright MCP（随 Claude Code 提供）；仅可用于你拥有或获授权测试的站点。
触发方式示例："Audit my login flow at https://..."、"Check auth hygiene on mysite.com"、"Is my login form password-manager friendly?"。
工作流：用 mcp__playwright__browser_navigate 打开登录页；用 browser_snapshot 获取可访问性快照并定位表单；用 browser_evaluate 检查表单卫生（密码框 type="password" 与 autocomplete="current-password"、用户名框 autocomplete="username"、表单或页面为 HTTPS、一次性验证码框 autocomplete="one-time-code" 与 inputmode="numeric"、表单在 DOM 内而非跨域 iframe）；用 browser_network_requests 检查传输与 Cookie 卫生（Set-Cookie 是否含 Secure、HttpOnly、SameSite，登录响应是否 Cache-Control: no-store）；只读检查 2FA/passkey 就绪信号；若公开页有登出控件，确认其为 POST/表单而非 GET。
限制：不尝试真实登录，不通过高频请求测试速率限制，不使用凭据列表探测，只评估被动可见内容。报告不覆盖需要认证测试的会话过期、会话固定、实际 2FA 注册、登录后 Cookie 轮换。报告以表格对照 OWASP ASVS、WHATWG autofill、OWASP Session Management、OWASP CSRF 等标准，列出通过/失败及发现与修复方向。