api-security-auth-pattern

用途：为任意 API 设计完整的认证与安全层，并输出成文档。当用户询问 OAuth 2.0、JWT、API Key、RBAC、ABAC 等主题时适用。\n\n主要能力：提供认证模式选择指南（用户端 Web/移动用 OAuth 2.0 + JWT 授权码 + PKCE；服务间通信用客户端凭证 + JWT；第三方简易访问用请求头 API Key；高安全企业用 mTLS + 短期 JWT；微服务内部用 JWT 传递或服务网格 mTLS；Webhook 校验用 HMAC-SHA256 签名头）。\n\n使用方式：技能给出 OAuth 2.0 流程端点（authorize、token、token/refresh、revoke、userinfo）、令牌端点请求与响应示例、JWT 头与声明设计及校验清单（校验 iss、aud、exp、nbf，拒绝 alg: none，检查吊销列表）、RBAC 角色与权限矩阵、OWASP API 安全 Top 10 检查表、安全响应头配置、API Key 设计（格式、哈希存储、请求头、轮换与作用域）。完成后会询问是否用该安全设计继续设计 API；若用户同意且已安装 API Designer 技能，则读取其指令并以本设计为输入，否则提示安装后重跑。\n\n限制：资料未提供具体平台依赖、价格或效果数据；上述内容为技能内置设计指导，实际实现需按项目环境验证。