用途：本技能聚焦 PHP 源码层面的认证、授权、配置、密码学和业务逻辑缺陷审计。运行时利用（如 JWT 伪造、条件竞争脚本）不属于本技能范畴，属于对应黑盒 exploit 技能。
主要能力：覆盖 5 类风险。认证绕过（硬编码凭据、== 弱比较、JWT algorithm none）严重度 Critical-High；授权失控（IDOR 直接引用、缺少 ownership 检查、中间件跳过）High-Critical；安全配置（display_errors=On、CORS *、调试模式残留）Medium-High；密码学误用（md5($pass)、ECB 模式、硬编码密钥）High-Critical；业务逻辑（竞争条件、支付金额可控、状态机跳步）High-Critical。
审计要点：认证方面检查硬编码密码/API Key（搜索 password/secret/api_key/token 字面量赋值）、弱比较（== 类型混淆，如 "0e123" == "0e456" 为 true，应使用 === 或 hash_equals）、JWT 缺陷（RS256→HS256 算法混淆、签名未验证、alg:none、密钥泄露、kid 注入）、Remember Me 令牌可预测性与绑定、密码重置令牌可预测性与过期。授权方面检查 IDOR 缺少 WHERE user_id= 归属校验、路由级与函数级权限覆盖、中间件跳过、水平与垂直越权。配置方面检查 display_errors=On 信息泄露、CORS 通配符配合凭据、框架调试模式残留、安全响应头缺失。密码学方面检查 md5/sha1 存密码（应用 password_hash(PASSWORD_BCRYPT)）、ECB 确定性加密、硬编码 KEY/IV、弱随机数（应用 random_bytes/random_int）。逻辑方面检查先查后减无事务锁、客户端传入支付金额、状态机跳步、批量操作无限制。
使用方式：技能附带 references/auth-config-patterns.md 提供 5 类风险的危险模式与安全模式代码对比及检测方法，并给出检测清单逐项核对。
限制：仅覆盖源码层面审计，不负责运行时漏洞利用；未提供具体安装命令或版本要求。