Auth Security Reviewer 是一个对认证系统进行安全审查的技能，围绕身份认证与授权实现，检查会话管理、CSRF、Cookie 安全和认证流程漏洞，并给出带严重级别的审查发现。
主要能力覆盖以下方面：
会话安全：对比不安全与会话 Cookie 安全配置，包括 secret、resave、saveUninitialized、Cookie 名称以及 cookie 的 secure、httpOnly、sameSite、maxAge、domain 与存储方式。
JWT 安全：对比不安全与安全的 JWT 实现，涉及密钥来源、算法、有效期、签发者与受众，以及令牌在 localStorage 与 httpOnly Cookie 中的存储方式，并说明访问令牌短有效期与刷新令牌配合数据库存储的做法。
CSRF 防护：以 csurf 中间件为例，说明如何对状态变更路由应用保护，并向前端提供 CSRF 令牌。
密码安全：对比不安全的 MD5 处理与 bcrypt 哈希与校验方式，给出密码复杂度要求示例，并可通过 hibp 检查密码是否出现在数据泄露中。
多因素认证：以 speakeasy 与 qrcode 为例，说明 TOTP 密钥生成、二维码生成、令牌校验（含时间窗口）以及备份码生成。
授权漏洞：通过示例区分缺少授权检查与正确授权检查，展示越权访问（IDOR）问题及验证资源归属的修复方式。
会话固定防护：说明登录及权限提升时应重新生成会话，并给出对应示例。
认证端点限流：使用 express-rate-limit 对登录和密码重置等端点设置严格的窗口期与最大尝试次数，并可按 IP 与用户名组合限制。
安全测试：以测试用例覆盖会话 Cookie 属性、登录时会话重新生成、CSRF 令牌缺失拒绝与有效接受、IDOR 防护等检查。
最佳实践包括：登录与权限变更时重新生成会话；短生命周期令牌（15 分钟访问、7 天刷新）；所有状态变更操作启用 CSRF 防护；防止暴力破解的速率限制；安全 Cookie（HttpOnly、Secure、SameSite）；敏感操作启用 MFA；记录认证事件审计日志。
输出清单涵盖：会话配置审查、JWT 实现安全、CSRF 防护启用、bcrypt 密码哈希、MFA 实现（如需要）、所有端点的授权检查、会话固定防护、认证端点限流、安全测试编写、审计日志配置。
适用场景为对 Web 应用或 API 的认证与授权代码做安全审查并生成发现报告。使用方式、安装命令及具体集成步骤在提供的资料中暂未提供。