用途：该技能用于在既有系统中实现或修复身份验证行为，以及会话和凭据的生命周期管理。它明确区分认证（建立已验证的行为主体和凭据上下文）与授权（决定该主体可访问哪些操作或资源），并规定复用现有身份提供方；自定义密码学或新建基础设施需要有证据表明存在缺口。
主要能力：包含三个阶段的清单。第一，建立身份边界：识别行为主体、凭据类型、信任边界、提供方/库版本和入口点，区分应用身份与入口认证；追踪现有登录、验证、签发、续期、登出、过期、撤销和恢复流程；读取已批准的注册、MFA 和恢复策略，暴露缺失决策而非自行授予功能或权限。第二，实现生命周期：通过受支持 API 验证凭据真实性、签发者/受众、有效期和预期用途，仅解码声明不构成认证；定义凭据优先级，拒绝显式无效凭据而非静默降级；将会话绑定到可信服务器上下文，应用适当的 Cookie、传输和 CSRF 保护；防止固定和重放，在契约要求的状态转换中轮换或失效凭据；使用受维护的密码存储/验证，防止账户枚举、秘密日志和恢复绕过；应用已批准的尝试限制和近期认证/MFA 门控，保留可访问的恢复流程而不发明业务策略；将最小已验证主体上下文传递给权限检查，业务授权不进入认证中间件。第三，验证主体与失败：通过真实入口测试有效、畸形、过期、撤销和冲突凭据，覆盖续期/登出及并发刷新；检查跨用户会话隔离、重定向校验以及响应、存储和日志中的凭据泄漏；保留已批准的 UX 和兼容性，区分本地检查与未测试的提供方集成。
使用方式：技能以执行契约运行，每个清单项标记为 PENDING、PROVEN（有观察结果证据）、CLEARED（有证据表明条件不存在）或 UNPROVEN（存在缺口）；阅读、委派、工具失败、零退出状态和自报成功均不构成证明。每节后对账，返回前解决所有 PENDING，仅统计 PROVEN 和 CLEARED。在授权范围内完成工作后再请求所需外部审批；仅询问有后果的未解决选择。若无人可答，报告确切问题并应用缺口裁决，不等待或猜测。工具路由规定：实际技术栈和所有者优先读取指令、清单、锁文件、聚焦源码/配置和 Git 状态；外部语义查阅版本匹配的官方文档、规范和维护中的上游源码；授权变更使用项目原生编辑器、配置和受维护运行时工具；可观察验证使用现有检查和隔离运行时/消费者演练。
适用场景：适用于需要实现或修复登录流程、凭据校验、会话管理、凭据轮换、登出、过期与撤销等认证相关任务的代码仓库。审查和解释请求为只读。
限制：不处理操作权限、资源访问策略或新建身份提供方；不发明注册、恢复或特权策略；准备操作不授权远程发布、部署或共享状态变更；无法获得必要意图、权限、安全能力或证据时标记为 BLOCKED。输出按结果、范围、证据、验证、完成度五个字段报告，使用用户语言，事实每句一条，通常少于 20 词，主动语态，每个概念一个术语。