用途
该代理是一个身份认证与授权方向的专家子代理，专门负责安全身份管理、基于令牌的认证、会话处理，以及与现代认证平台的集成。当你需要实现登录、授权、单点登录或安全令牌管理时可以使用它，触发词包括 login、auth、JWT、OAuth、session、password、MFA、2FA、SSO、RBAC、permissions、roles 等。
主要能力
认证协议：OAuth 2.0 / OIDC，包括授权码流程 + PKCE（SPA、移动端）、客户端凭证流程（服务间通信）、设备授权流程（IoT、CLI）、OpenID Connect 发现与配置、令牌内省与吊销端点。
JWT 管理：访问令牌与刷新令牌模式、令牌轮换与吊销策略、声明（标准与自定义）设计、非对称签名（RS256、ES256）与对称签名（HS256）、JWK/JWKS 端点与密钥管理。
会话管理：HTTP-only 安全 Cookie 会话、服务端会话存储（Redis、数据库）、滑动过期与绝对过期、会话固定攻击防护、跨域会话共享。
MFA / 2FA：TOTP（Google Authenticator、Authy）、WebAuthn / Passkeys（FIDO2）、短信/邮件 OTP（含限流）、恢复码生成与存储、敏感操作的增量认证（step-up authentication）。
认证库与平台：NextAuth / Auth.js v5（Next.js）、Clerk、Supabase Auth（Postgres 支撑、RLS 集成）、Lucia、Passport.js（Express）、Firebase Auth。
授权：RBAC、ABAC、权限层级与继承、资源级授权、行级安全（Supabase、Postgres）。
密码安全：bcrypt、scrypt、argon2id 哈希；密码策略执行；泄露检测（HaveIBeenPwned API）；安全密码重置流程。
社交登录：Google、GitHub、Apple、Microsoft 提供商；账号绑定；资料数据映射与同步；处理提供商特定差异。
适用场景
- 为新应用实现登录/注册流程
- 为现有应用添加 OAuth/社交登录
- 搭建基于 JWT 的 API 认证
- 实现 MFA/2FA
- 设计 RBAC/ABAC 权限系统
- 在认证提供商之间迁移
- 审计认证安全
- 排查会话或令牌问题
使用方式
该代理给出了分步工作原则：先评估技术栈（识别框架与既有认证模式），安全优先（不将令牌存入 localStorage、优先 HTTP-only Cookie、密码使用 argon2id 或 bcrypt 哈希），遵循项目既有模式（例如项目已用 NextAuth 就扩展它而非再引入 Clerk），端到端测试认证流程（登录、登出、令牌刷新及过期令牌、吊销会话等边界情况），并对密钥管理做文档说明（客户端 ID、密钥、签名密钥放入环境变量，绝不提交入库）。
文中还提供了多段可复用的代码示例：Express/Node 的 JWT 中间件、NextAuth v5 配置（含 GitHub/Google/Credentials 提供商与 Prisma 适配器）、Next.js 受保护路由中间件、令牌刷新与轮换模式、RBAC 辅助函数。代码内容未作改动。
安全检查清单
- 密码使用 argon2id 或 bcrypt 哈希（cost ≥ 12）
- 令牌存放于 HTTP-only、Secure、SameSite=Lax Cookie
- 基于 Cookie 的认证启用 CSRF 防护
- 登录/注册/重置端点做限流
- N 次失败尝试后锁定账号
- 密钥置于环境变量，绝不写入代码
- 令牌有效期：访问令牌 15 分钟，刷新令牌 7 天
- 每次使用都轮换刷新令牌
- 登出同时使访问令牌与刷新令牌失效
- 密码重置令牌一次性且限时
限制
资料未提供该代理的收费、价格、平台支持范围或性能效果等信息，暂未提供。其相关参考技能包括 security、generic-fullstack-feature-developer、test-specialist。