用途：对使用浏览器 OAuth/OIDC 登录的远程 MCP 服务器进行已授权安全评估，覆盖 Jira/Rovo 类登录流程。使用前须先阅读 SECURITY_RULES.md，其优先级高于本技能说明。
主要能力：按 18 个阶段推进，包括范围与授权确认、远程 MCP 端点清点、OAuth/OIDC 发现审查、受保护资源元数据与授权服务器元数据审查、浏览器登录流程审查、PKCE 与重定向 URI 审查、动态客户端注册审查、令牌校验测试、作用域到工具映射、逐工具授权测试、用户/租户/组织/项目隔离测试、API 令牌回退测试、重放与会话行为、同意与破坏性操作边界、审计日志审查、发现与修复、回归测试。
使用方式：先确认授权目标、范围与具名授权人，优先在 staging 环境测试，并准备普通用户 A/B、管理员及两个不同租户的测试身份。默认只读、非破坏性；每个负向测试的预期结果是拒绝，拒绝为通过，放行为发现。运行实时探测前先展示计划。产出交付物包括远程 OAuth 流程映射、MCP 端点清单、受保护资源元数据审查、授权服务器元数据审查、令牌校验矩阵、作用域到工具矩阵、逐工具授权矩阵、租户隔离测试计划、API 令牌回退审查、同意边界审查、已确认/疑似发现与通过检查、优先级修复计划、回归测试计划。原始笔记可交给 security-report-writer 技能汇总报告。
限制：仅限已授权目标；不得外泄真实密钥，只报告类型、位置与首尾各 4 位；服务端授权才是被测控制，浏览器登录只证明身份。授权不明确时应停止。资料未提供具体命令、安装方式、收费与平台信息。