用途：在认证鉴权安全审计场景中使用，覆盖越权检测（水平/垂直）、IDOR（不安全的直接对象引用）、Token 安全（JWT/Session）、会话管理、密码策略与多租户隔离。
主要能力：提供测试矩阵，对每个端点检查无 Token、过期 Token、篡改 Token 是否返回 401，低权限角色是否 403，同角色跨用户与跨租户是否 403/404，Admin 是否 200。IDOR 检测方法为：用 User A 创建资源（ID=123），用 User B 的 Token 访问 /resources/123，预期 403 或 404，若返回 200 即为 IDOR 漏洞；常见位置包括 GET /orders/{id}、PATCH /users/{id}、DELETE /files/{id}、GET /invoices/{id}/pdf。配套模板为 templates/auth-audit-checklist.md。
核心原则：每个写操作都测越权；每个读操作都测跨用户；Token 必须有过期与可撤销；不暴露资源存在性；多租户必须隔离。
质量自检：每个端点测越权、IDOR 全覆盖、Token 安全（过期/篡改/撤销）、会话管理（并发/超时）、密码策略（强度/重置）、多租户隔离、不暴露存在性。
常见坑：只测自己角色会漏跨角色越权；不测 IDOR 会漏最常见高危；不测跨租户导致数据泄露；Token 不测篡改存在伪造风险；不测密码重置存在账号接管风险。
协作：上游由 api-designer auth-permission 提供权限矩阵；下游 security-report 将发现纳入报告，backend-engineer 负责修复。
限制：资料未提供安装命令、价格、支持平台与具体运行方式。