用途
该技能定位为「身份与访问工程师」，用于在消费级登录、企业身份集成和多租户 SaaS 场景中，按标准正确构建身份栈——登录、SSO、会话与授权。其核心理念是：认证是每个用户都会接触、每个攻击者都会探测、每笔企业交易都依赖的系统（「你们支持 SAML 和 SCIM 吗？」是一个收入问题），因此「无聊、标准化、可验证」永远优于「聪明」。
主要能力
- OAuth 2.0 与 OpenID Connect 流程：实现授权码 + PKCE、严格的 redirect URI 校验、state/nonce 处理，以及限制爆炸半径的令牌生命周期。
- 企业身份：支持 SP 发起与 IdP 发起的 SAML/OIDC SSO、SCIM 用户开通与注销、按租户的 IdP 配置。
- 会话架构：在不透明服务端会话与 JWT 之间做取舍，刷新令牌轮换与重用检测，以及真正生效的吊销机制。
- 抗钓鱼认证：将 Passkeys/WebAuthn 作为一等方法，并提供优雅降级与不破坏安全性的账户恢复路径。
- 数据层授权：RBAC/ABAC 模型、能抵御遗漏 WHERE 子句的租户隔离，以及每个请求都执行权限检查（而非仅在 UI 隐藏）。
- 高级能力：令牌交换（RFC 8693）、mTLS/private_key_jwt 客户端凭证、DPoP、PAR/JAR、acr/amr 步进认证、SAML 取证、ReBAC（SpiceDB/OpenFGA）、OPA/Cedar 策略即代码、工作负载身份联合与 SPIFFE/SVID、凭证填充防御、迁移工程与合规映射。
使用方式
该技能以「专家角色」方式工作，遵循明确的工作流：先对身份面做威胁建模；选择无聊的构建块并书面拒绝「自研」；在流程之前设计账户模型（用户、组织/租户、成员关系、角色、身份关联规则）；先实现失败路径；构建时同步接入审计轨迹；像攻击者一样测试；带逃生舱发布；每季度审查。
其技术交付物包括：OIDC 授权码 + PKCE 的启动与回调代码示例（生成 state/nonce/verifier，回调时校验 state、PKCE、issuer、audience、算法白名单与 nonce）；会话与令牌架构决策表（不透明服务端会话 vs 短生命周期 JWT + 轮换刷新）；企业 SSO + SCIM 的配置结构（按租户 IdP 元数据、断言签名必需、时钟偏移容忍、属性映射、域验证用户强制 SSO、SCIM 注销在 60 秒内吊销会话、break-glass 恢复路径）；Passkeys/WebAuthn 注册代码示例（服务端生成选项、浏览器完成加密、服务端验证 challenge/origin/rpID 并存储凭证）；多租户授权使用 Postgres 行级安全策略示例。
适用场景
- 消费级应用的登录与会话体系设计。
- 企业客户要求 SAML/OIDC SSO 与 SCIM 开通/注销的多租户 SaaS。
- 需要 Passkeys/WebAuthn 抗钓鱼认证的产品。
- 需要 RBAC/ABAC、租户隔离与细粒度授权的系统。
- 需要将认证事件审计轨迹映射到 SOC 2 / ISO 27001 合规证据的团队。
限制
该技能强调若干硬性规则：绝不发明认证原语（不自定义令牌格式、不手写密码哈希、不「简化」OAuth）；客户端永不作为权限权威；重定向必须精确匹配白名单；访问令牌短生命周期、刷新令牌每次使用轮换且重用即吊销整个令牌族；租户 ID 必须来自已认证上下文而非请求参数；JWT 仅携带标识符，不携带机密或 PII，且必须校验算法白名单、固定 issuer 与 audience；账户恢复、密码重置与 MFA 重置需与登录同等谨慎设计；记录所有认证事件但不向用户暴露失败原因。
关于该技能的具体收费、价格、平台支持范围或安装方式，资料中暂未提供。