用途：设计认证与授权体系，重点解决访问控制缺陷（如 BOLA）。核心区分认证（是谁）与授权（能否对该对象执行该操作），授权应在对象级校验，而非只在路由层。
主要能力：OAuth 2.1 与 OIDC 流程（授权码+PKCE、客户端凭证、设备码、轮换刷新令牌）；JWT 校验（算法白名单、issuer/audience/exp 校验、JWKS 缓存与轮换）；会话与令牌取舍；RBAC、ABAC、ReBAC 授权模型；多租户隔离（查询作用域、数据库行级安全、跨租户测试）。
必要用法：授权请求需带 state、nonce、code_challenge 与 S256；回调先校验 state 再换码。JWT 校验示例：algorithms=["RS256"]、issuer、audience、require exp/iat/iss/aud/sub、verify_signature=True。会话 Cookie 设置 httponly、secure、samesite、max_age、host-only。刷新令牌需哈希存储、检测重用并撤销令牌族。租户绑定可在会话边界执行 SET LOCAL app.tenant_id，并用 RLS 策略 tenant_id = current_setting('app.tenant_id')::uuid。
适用场景：Web/SPA/移动/桌面客户端登录、服务间认证、多租户 SaaS、API 网关授权、策略引擎与遗留认证迁移。
限制：资料未提供具体安装命令、收费、价格或平台支持信息；实现细节需结合所选身份提供方与框架，不建议自行实现 OIDC 或加密。