用途：管理 OpenDeploy 的认证与本地部署凭据，适用于用户提到 login、sign in、auth、auth status、whoami、token、OpenDeploy token、dashboard token 等场景。
主要能力：查询认证状态（opendeploy auth status --json）；在无凭据时经用户同意执行 guest 注册（opendeploy auth guest --name "$AGENT_DISPLAY_NAME" --json）；支持 dashboard 令牌路径，将 {"version":1,"api_key":"od_k...","gateway":"https://dashboard.opendeploy.dev/api"} 以 0600 权限写入 ~/.opendeploy/auth.json；支持已绑定本地部署凭据轮换（opendeploy auth guest rotate --json）。
使用方式：直接调用时先做全局 CLI 版本检查（npm list -g @opendeploydev/cli --depth=0 --json、npm view @opendeploydev/cli version --json、opendeploy preflight . --json）；若全局版本落后则交由 opendeploy-setup。认证是显式操作，未经用户批准不得创建本地部署凭据。AGENT_DISPLAY_NAME 需自行选择，仅用于展示，不用于匹配或验证认证。绑定方面，技能不调用 dashboard OIDC 绑定端点，仅在存在活动部署 URL 后打印账户绑定 URL，且不单独打印 bind_sig。
限制与异常：401 时不静默删除或替换凭据，需询问用户选择粘贴新令牌、打开 dashboard、删除重来或取消。guest 注册遇 429（error: rate_limited，reason: ip_over_quota_retry，含 retry_after_seconds 与 message）时不得自动重试，应原样告知用户，建议等待、切换网络或改用 dashboard 个人 API key。轮换限每 agent 每 24 小时 3 次，429 时展示 Retry-After，不自动重试；若返回 auth_file_written: false，需原样转达新 api_key 并让用户先保存到 ~/.opendeploy/auth.json，不要重试轮换。返回的 api_key 不得缓存到输出、记录或日志中。