用途：实现 OAuth 2.0 与 OpenID Connect 安全认证，适用于第三方集成、SSO 系统、基于令牌的 API 访问等场景。
主要能力：覆盖多种 OAuth 2.0 流程——授权码（Web 应用，最安全）、授权码 + PKCE（SPA、移动应用）、客户端凭证（服务间调用）、刷新令牌（会话续期）。提供 Express 授权码流程示例：/auth/login 生成 state 并重定向到授权端点，/auth/callback 校验 state 后用 code 换取令牌。另含 PKCE 生成函数，用 crypto 生成 verifier 并计算 SHA-256 challenge。
安全要求：始终使用 HTTPS；严格校验重定向 URI；公共客户端使用 PKCE；令牌存入 HttpOnly Cookie；实现令牌轮换；访问令牌短时效（15 分钟）。
附加实现：参考 references/python-java.md，包含 Python Flask 配合 Authlib 的 OIDC 提供方、OpenID Connect 发现与 JWKS 端点、Java Spring Security OAuth2 服务器、令牌内省与撤销。
禁止事项：不得将令牌存入 localStorage；不得使用隐式流程；不得跳过 state 参数校验；不得在前端暴露客户端密钥；不得使用长时效访问令牌。
限制：资料未提供安装命令、收费方式、支持平台及具体版本要求。