用途：审查身份认证与授权相关代码，检查安全缺陷、最佳实践与规范符合性。适用于审阅登录、会话、权限控制及 OAuth/OIDC 等认证授权逻辑。
主要检查项：凭据处理方面，要求密码使用强算法（bcrypt、argon2）哈希，禁止明文存储，禁止记录密钥；令牌安全方面，要求设置合理过期时间、使用密码学随机方式生成、安全存储（敏感令牌用 httpOnly cookie 而非 localStorage）；会话管理方面，防止会话固定，登出时正确失效，设置空闲超时；访问控制方面，每个受保护端点都要做授权检查，不能只依赖客户端校验，遵循最小权限原则；OAuth/OIDC 流程方面，使用 state 参数防 CSRF，公共客户端使用 PKCE，正确校验重定向 URI；输入校验方面，防止认证查询注入，对登录端点限流，配置账户锁定策略；错误处理方面，使用通用错误信息避免用户枚举，保持时间一致性以防时序攻击。
使用方式：作为审查清单在评审认证授权代码时逐项核对。
限制：资料未提供安装命令、调用方式、平台支持、收费信息或具体使用步骤，暂未提供；实际效果取决于代码上下文与审查者判断。