用途：该技能聚焦“身份验证缺失或失效”这一安全反模式（CWE-287，严重级别 Critical），用于在生成或审查代码时发现未验证用户身份、缺少会话检查、弱凭据校验等可被绕过或暴力破解的问题。资料指出 AI 生成的代码常产生带桩或缺失认证检查的不安全样板。
主要能力：识别访问敏感数据或功能的端点是否缺少身份验证与有效会话校验；区分认证（验证身份）与授权（验证权限），强调端点需同时完成两者；提供检测思路，包括用 rg 搜索未加认证装饰器/中间件的路由、定位 /admin、/api/users、/profile、/account、/payment 等敏感端点、查找 fail-open 逻辑，以及用 curl 直接测试未认证访问（如无认证头请求 /api/users/me，若无 401/403 则存在风险）。
使用方式：在生成或审查登录系统、API 端点、受保护路由相关代码时调用。资料给出正反示例：不安全写法直接按 user_id 返回资料，不检查请求者；安全写法使用 @require_authentication 装饰器校验会话，并做授权判断（非本人且非管理员返回 403）。
防护建议：默认拒绝，所有端点默认要求认证，仅显式标记登录、注册等公开端点为例外；集中认证逻辑，使用中间件（Express）、装饰器（Flask/Django）或过滤器（Java），避免重复实现；使用 JWT、OAuth2 或安全会话管理，不要自行实现认证。
适用场景与限制：适用于 Web/API 安全审查与安全编码辅助。资料未提供安装命令、收费、价格或平台支持信息，暂未提供。相关模式包括会话固定、JWT 误用、缺少速率限制等反模式。