用途：对 Web 应用、API 和后端服务的认证机制做安全审查，发现实现缺陷、合规缺口与弱点，覆盖密码哈希、JWT 处理、会话管理、OAuth 流程、MFA 与账户安全控制，参照 OWASP 与 NIST 标准。
主要能力：扫描登录路由、令牌端点、会话初始化与 OAuth 回调等认证入口；检查密码存储是否使用 bcrypt、scrypt 或 Argon2id 及合适成本因子，将 MD5、SHA-1、无密钥拉伸的 SHA-256 或明文存储标记为 CWE-916；校验 JWT 签名算法与 exp、iat、aud、iss 声明，检查令牌是否存于 localStorage 及刷新令牌轮换；评估会话 ID 重建、超时、Cookie 的 HttpOnly/Secure/SameSite 属性与会话固定防护；审查 OAuth/OIDC 的 state、重定向 URI 白名单、PKCE 与令牌存储；评估 MFA 可用性、TOTP 密钥加密、备份码随机性与绕过路径；检查登录限流、锁定策略、密码重置流程与凭据传输安全。
使用方式：需能访问目标代码库与配置文件（${CLAUDE_SKILL_DIR}/），熟悉所用认证框架（Passport.js、Spring Security、Django Auth、NextAuth 等），具备标准 shell 工具及 Grep/Glob 扫描能力；参考 ${CLAUDE_SKILL_DIR}/references/README.md 中的 OWASP 认证速查表、NIST 密码指南与 JWT RFC 规范。
输出：认证清单、含严重级别/CWE 引用/文件行号/修复步骤的发现报告、OWASP ASVS V2 与 V3 合规矩阵、令牌安全分析及执行摘要。
限制：若认证由外部服务（Auth0、Firebase Auth、Cognito）或基础设施层处理，可能无法从代码库验证，需在基础设施层确认；哈希算法被框架抽象时需查框架配置；JWT 库版本需查锁文件；限流不可检测时标注为“无法从代码库验证”。