api-auth-and-jwt-abuse 是一份检查 API 身份与令牌信任边界的 Skill。系统使用 JWT、API 密钥或请求头识别访问者时，它关注服务端是否真正验证了这些信息。
令牌可能带角色、组织和权限声明，但客户端传来一个字段，不等于字段可信。签发者、接收对象与密钥来源需要配套验证，移动端和网页令牌能否互用也应按系统约定检查。
主文还列请求字段、批量调用和限流线索。这里介绍检查范围，不展开具体攻击步骤或未读深层引用；任何一种表象都只是候选问题，需在授权环境里验证实际边界。
本文没有获取令牌、绕过限制或请求系统。维护者提供认证设计与允许范围后，分别记录预期拒绝、实际响应和复现条件；报出“用了 JWT”或“有频率限制”，本身都不是安全结论。