用途：为登录、注册、密码重置、会话、JWT、OAuth、MFA、passkey 等认证原语提供生产级安全实现模式，目标不是最简实现，而是不易引发合规与法律风险的实现。
主要能力：覆盖认证架构选型（会话、JWT+刷新令牌、passkey 优先）、密码存储（默认 argon2id，备选 bcrypt、scrypt，FIPS 场景用 PBKDF2）、密码策略（NIST SP 800-63B-4）、会话实现、JWT 校验与撤销、OAuth、MFA、passkey/WebAuthn，以及限流、时序攻击防护、HIBP 泄露密码检查等。
使用方式：技能默认要求先做 4 角度调研（权威标准、在野利用、工具与库状态、从业者讨论），并行派发子代理，每个返回不超过 300 词并带引用；随后写一段“当前状态”综合，若与技能正文冲突则以综合为准。仅当同一会话 4 小时内已对同一原语调研、无紧急公告、并记录一行跳过原因时才可跳过。无法使用子代理时改为 4 次顺序检索。
适用场景：服务端渲染应用、单域名的会话认证；多服务验证、移动端+API、第三方集成的 JWT；需要抗钓鱼（NIST AAL3、政府、金融、医疗）的 passkey 优先场景。
限制：技能正文为快照，安全知识半衰期约 6-12 个月，示例最后验证于 2026-05-08，可能过时；不得以“我已知晓”“赶进度”等理由跳过调研。资料未提供完整 OAuth、MFA、passkey 实现细节与官方文档全文。