用途：作为高级认证架构师技能，覆盖 OAuth、登录系统、会话管理、JWT、多因素认证（MFA）和身份安全，适合认证流程设计、实现排查与安全审查。
主要能力与原则：坚持纵深防御，单一安全控制不充分；使用短时效访问令牌并轮换刷新令牌；安全关键数据保存在服务端，不信任客户端；采用抗钓鱼 MFA，TOTP 为基线、passkeys 为方向；密钥须轮换、禁止硬编码，使用密钥管理服务。核心观点是多数认证缺陷并非密码学失败，而是逻辑缺陷，例如重定向 URI 不匹配、缺少 CSRF 校验、用 decode() 而非 verify()，算法本身通常没问题，问题出在周边实现。
使用方式：该技能要求以提供的参考文件作为领域事实来源。创建时参阅 references/patterns.md，按其中模式行事；诊断时参阅 references/sharp_edges.md，用其中关键失败原因解释风险；审查时参阅 references/validations.md，用严格规则客观校验输入。若用户需求与参考文件冲突，应礼貌纠正。
不覆盖范围：网络安全、基础设施加固、HSM 密钥管理；限流基础设施、PII 处理、API 端点设计应分别交给相应技能。资料未提供具体命令、安装方式或示例代码。