用途：在 SaaSKit 应用中管理会话，让智能体完成存储、校验、刷新和撤销四类操作，随后停止，不涉及其它环节。
主要能力与步骤：一、确认存储。默认沿用 implement-saaskit 已设置的 cookie：accessToken（path 为 '/api'）、refreshToken（path 为 '/auth/refresh'）、idToken（path 为 '/'），按原值读取。加密是可选的，属应用自有 helper，并非 Scalekit SDK 方法；若启用需重写同一批 cookie，不要新增第二个存储。SPA 场景把 access token 放内存并发送 Authorization: Bearer，refresh token 放 HttpOnly cookie 或安全存储。二、每个受保护请求校验访问令牌。使用 @scalekit-sdk/node 的 ScalekitClient，调用 scalekit.validateAccessToken；无有效令牌返回 401，仅在 /api/* 上挂载。三、在 /auth/refresh 刷新。用 scalekit.refreshAccessToken，它只返回 { accessToken, refreshToken }；失败必须返回 401 且不继续请求。页面在 /api 返回 401 后调用刷新并重试一次。四、远程撤销。使用 scalekit.session.getSession、getUserSessions、revokeSession、revokeAllUserSessions，这不等同于登出跳转。五、停止，不编写登录、回调或登出重定向。
适用场景：传统 Web 与 SPA 的会话生命周期管理。
限制：默认语言为 Node；不得把访问令牌放入 localStorage；cookie 需 HttpOnly，生产环境 Secure，sameSite 为 'lax'；verifySession 返回 401 且不调用 /auth/refresh，由页面调用。相关配套技能包括 implement-saaskit、setup-saaskit、implement-access-control。