用途：面向 Python Web 应用（重点 FastAPI、Flask）审计、测试与修复身份验证失败（OWASP A07:2025，排名第7，覆盖36个CWE）。
主要能力：提供系统化测试清单，涵盖 JWT 实现（短时令牌、aud/iss 校验、算法固定、密钥来自环境变量）、认证端点限流（slowapi、Flask-Limiter）、密码策略与泄露密码检查（HaveIBeenPwned API）、Flask 会话管理（Flask-Login、Cookie 安全配置、登出失效、防会话固定）、错误信息枚举防护、默认凭据与硬编码密钥排查、MFA 强制。附 CWE 参考表与自动化扫描命令。
使用方式：按清单逐项标记通过/失败/不适用；用 bandit -r . -ll -ii 做静态分析，bandit -r . -t B105,B106,B107,B108 查硬编码凭据，pip-audit、safety check 查依赖漏洞，pip show python-jose PyJWT authlib 查 JWT 库版本。修复优先级：JWT 算法混淆/接受 none、登录无限流为关键；硬编码密钥、登出未失效会话为高；错误信息枚举、无泄露密码检查为中；缺 MFA 为低。
适用场景：FastAPI/Flask 应用的安全审计与加固。
限制：资料未提供具体安装命令、收费信息或平台支持范围；部分检查项需结合项目实际配置判断。