用途：面向 Java 后端项目的白盒安全审计，聚焦认证、授权与安全配置这一高频漏洞产出面，适用于 Spring Boot/Spring Security、Apache Shiro 及自定义框架。
主要能力：按 6 类风险给出检测思路与搜索入口。1）认证绕过：检查 Spring Security 的 FilterChainProxy 匹配规则、AntPathRequestMatcher 与 MvcRequestMatcher 差异、requestMatchers 顺序及 permitAll() 是否过度开放；Shiro 的 URI 解析差异绕过（如 /admin/ 与 /admin、/admin/..;/ 及 CVE-2020-1957、CVE-2020-11989、CVE-2020-13933 等 path normalization 系列）；自定义 Filter 的 doFilter() early return 与白名单正则不严谨。2）越权：水平越权（DAO 层 WHERE 缺少当前用户 ID 条件）、垂直越权（缺少 @PreAuthorize/@RequiresRoles）、IDOR（自增 ID 可遍历、UUID 可预测、批量接口跳过权限检查）。3）JWT：alg:none、RS256 转 HS256、密钥硬编码、exp/iss/aud 校验缺失、refresh_token 未绑定用户或设备。4）加密配置：MD5/SHA1 密码哈希、DES/RC4、ECB 模式、硬编码密钥或盐值、使用 java.util.Random 而非 SecureRandom。5）信息泄露：Actuator 端点（/env、/heapdump、/jolokia）、详细错误堆栈、debug 模式、敏感数据日志。6）业务逻辑：并发竞争与重放、参数篡改、多步流程状态校验缺失。
使用方式：按速查表给出的关键搜索入口定位代码，逐项对照检测清单确认，每发现一项记录 EVID 证据；详细模式（危险代码/安全代码/EVID）见 references/auth-config-patterns.md。
适用场景：Java 源码安全审计、代码评审与安全测试。
限制：资料未提供具体安装命令、运行方式、收费与平台信息；相关技能包括 java-framework-audit、java-injection-audit、java-serialization-audit、idor-methodology。