用途：为懒猫微服（lzcos）应用接入认证提供选型与安全配置指南，涉及 OIDC、Ingress 身份 Header、API Auth Token、public_path、应用间用户委托访问五类机制。
选型与版本：应用使用统一登录选 OIDC（1.3.5+）；后端识别平台用户选 Ingress 注入 Header；脚本访问系统 API 选 API Auth Token（1.4.3+）；极少数路径绕过平台 HTTP 登录用 public_path；应用代表当前用户访问自身或其他应用用 .lzcx 与委托票据（1.5.2+）。LPK V2 示例要求 lzcos >= 1.5.0、lzc-cli >= 2.0.0，更老目标不能直接套用。编写配置前必须读取 references/spec-sync.md，按其中流程现场核对官方原文。
OIDC 用法：先从上游应用文档确认回调路径，在 lzc-manifest.yml 设置 application.oidc_redirect_path（无此字段不会生成 OIDC 环境变量），只把应用需要的 OIDC 变量传入对应服务，优先使用 issuer discovery，不把动态生成的 client secret 写入镜像、数据库或文档。文档给出的 Outline 片段中平台变量形如 ${LAZYCAT_AUTH_OIDC_CLIENT_ID}、${LAZYCAT_AUTH_OIDC_CLIENT_SECRET} 等，左侧变量名须按目标应用官方文档调整，该片段不能独立启动。
身份 Header 边界：仅在请求确定经过平台 Ingress 信任边界时，才把平台生成的 X-HC-* 作为身份依据，不信任客户端自行传入的同名值。API Auth Token 不注入 X-HC-Device-ID/X-HC-Device-PeerID，委托请求不带完整客户端设备上下文。public_path 上鉴权失败时平台会清空身份 Header，代码必须先检查 X-HC-User-ID 是否存在。
API Auth Token 与 public_path：请求使用 Lzc-Api-Auth-Token: ${LZC_API_TOKEN} 做平台鉴权，该 Header 在转发到应用前会被移除，不代表后端收不到请求；应用自有业务鉴权仍须另行满足。public_path 默认不要配置，确需 webhook、分享下载等入口时只放行精确窄路径，并在应用层校验签名或一次性令牌，不要无条件开放 /、管理接口、文件读取或调试接口。