用途：围绕身份凭证、认证流程、失败路径和生命周期，设计可复核的身份认证安全测试或审查准备，适用于资料不完整时交付受限初版，并明确假设、缺口与需人工决策的事项。
主要能力：建立未认证、挑战中、已认证、锁定、恢复中等状态图，标注创建、轮换、过期、撤销与重放规则；输出认证状态迁移与凭证生命周期表，逐事件记录预期状态或令牌、材料观察和缺口；按安全风险、证据和优先级组织发现，支持 Markdown、表格、CSV、JSON 或工单格式，但需保留相同发现字段与证据状态。
使用方式：先读取 prompts/authentication-testing.md，执行输入审计、覆盖清单和输出合同；提取范围、环境、版本、角色、数据、依赖、限制和可用证据；区分已知事实、推断和候选验证，为每项记录影响、优先级、责任角色、关闭条件和验证方法。需要评测时读取 evals/eval.yaml 及匹配的 evals/cases/；仅在目录存在且任务需要时读取 references/、examples/、scripts/ 或 output-formats.md。
限制：只分析身份凭证、认证流程、失败路径和生命周期，不登录系统、不调用真实 API、不读取凭据；不编造漏洞、攻击成功、修复完成、扫描覆盖或安全通过结论；缺少证据时标记待确认、blocked 或 unassessed，并给出隔离验证方法；风险接受、例外授权和发布判断必须留给人工。身份验证不替代授权。