auth-sec 是一份为身份与访问权限检查选择路线的 Skill。登录、会话、对象访问和第三方身份协议的问题常混在一起，它先辨认要查哪一层。
认证回答“是谁”，授权回答“能对什么做什么”。能登录不能证明能看所有对象，某个对象编号存在，也不能说明当前用户应该有读取权限。
主文先确认身份模型与会话，再看对象和功能权限，之后转向令牌、跨来源和 OAuth 等协议细则。这里只介绍主文分类，相关深入技能未读，不展开具体利用或漏洞判断。
适合维护者在授权范围内安排检查。提供角色、正常流程和期望拒绝的行为后，再记录实际证据；完成路线选择还不是安全验收，具体检查与修复仍需回到系统验证。本文没有测试任何账号或接口。