用途：在全栈项目中实现完整的端到端认证闭环，适用于注册到登录、Token 签发与刷新、角色权限控制、前端路由守卫，以及 NextAuth、Lucia、Supabase Auth 集成和自建 JWT+Refresh Token、社交登录（Google/GitHub）等场景。
主要能力：给出方案选型参考，包括 NextAuth.js（Next.js 项目，复杂度低）、Lucia（任意 TS 框架，中）、Supabase Auth（Supabase 项目，低）、Clerk（SaaS，付费）、自建 JWT（完全控制，高）以及 Django Auth、Devise。提供 NextAuth 配置示例（Credentials 与 Google Provider、jwt 与 session 回调），以及自建 JWT 的后端注册、登录、刷新接口、鉴权中间件、前端登录、axios 拦截器刷新 Token 和 Next.js middleware 路由守卫示例。另含认证端到端清单模板与质量自检项。
核心原则：认证需 DB users 表、后端 JWT、前端守卫一起做；不自己写加密，使用 bcrypt/argon2；Token 存储优先 HttpOnly Cookie 而非 localStorage；前端守卫不等于安全，后端必须校验；优先用现成方案。
使用方式：按端到端流程推进——建 users 表、实现后端注册/登录/刷新/中间件、前端登录表单与 Token 存储与守卫、联调 Token 传递与过期处理、测试登录成功失败与越权。上游衔接 database-schema-impl，下游衔接 api-frontend-integration、e2e-feature-delivery。
限制与常见坑：JWT 应设过期时间（15 分钟）、Refresh Token 可撤销、登录失败不暴露账号存在性、限制登录尝试、社交登录验证 email；避免 localStorage 存 Token、JWT 永不过期、以入口守卫替代后端校验、密码明文存储。具体安装命令、模板文件下载方式及收费信息暂未提供。