用途：在实现安全认证流程时，搭建支持 JWT、OAuth 2.0、API 密钥与会话的 API 认证系统。
主要能力：签发与校验 JWT（含 sub、iat、exp、roles、scopes，15 分钟访问令牌）；刷新令牌轮换（30 天，存哈希、每次刷新失效旧令牌）；RBAC 中间件，同时支持角色级（admin、user）与作用域级（read:users、write:orders）授权；API 密钥认证（随机生成、存哈希、校验 X-API-Key 头）供机器对机器通信；OAuth 2.0 客户端凭据流程（带令牌缓存与到期前自动续期）；登录暴力破解防护（每 IP 每分钟 5 次、递进锁定 15 分钟与 1 小时、记录所有尝试）。
使用方式：先用 Grep 和 Read 检查现有认证机制与绕过认证的端点，再按步骤实现令牌签发、认证中间件、刷新轮换、RBAC、API 密钥、OAuth 流程与防护，并编写覆盖有效/无效/过期令牌、刷新轮换、角色强制、密钥校验、锁定与吊销的安全测试。输出文件位于 ${CLAUDE_SKILL_DIR}/src/auth/ 与 ${CLAUDE_SKILL_DIR}/tests/auth/。
前提与限制：需加密库（jsonwebtoken、PyJWT 或 jjwt）、安全密钥存储（环境变量、AWS Secrets Manager 或 HashiCorp Vault）、存储凭据/刷新令牌/API 密钥的数据库表、bcrypt 或 Argon2 密码哈希，以及第三方 OAuth 提供方凭据。完整实现指南见 ${CLAUDE_SKILL_DIR}/references/implementation.md，错误模式见 ${CLAUDE_SKILL_DIR}/references/errors.md。具体安装命令、收费与平台支持资料未提供。