关于 auth-implementation-patterns
用于设计和实现应用及 API 身份验证与授权的技能，指导身份流程、访问策略、凭据处理和安全测试，并附有详细模式手册。
主要功能
- 01选择身份验证策略
- 02设计授权策略
- 03规划密钥存储与轮换
- 04制定会话与令牌实践
- 05审视安全测试和限制
适用场景
- 01为应用添加身份验证
- 02保护 REST 或 GraphQL API
- 03设计 OAuth2、SSO 或 RBAC 流程
- 04排查会话与授权问题
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/auth-implementation-patterns确认已加载。
附带文件resources/implementation-playbook.md
详细介绍
认证与授权实现模式
使用行业标准模式和现代最佳实践，构建安全、可扩展的认证与授权系统。
何时使用此技能
- 实现用户认证系统
- 保护 REST 或 GraphQL API
- 添加 OAuth2/社交登录或 SSO
- 设计会话管理或 RBAC
- 调试认证或授权问题
何时不要使用此技能
- 你只需要 UI 文案或登录页面样式
- 任务仅涉及基础设施，不涉及身份问题
- 你无法更改认证策略或凭据存储
说明
- 定义用户、租户、流程和威胁模型约束。
- 选择认证策略（会话、JWT、OIDC）和令牌生命周期。
- 设计授权模型和策略执行点。
- 规划密钥存储、轮换、日志记录和审计要求。
- 如果需要详细示例，请打开
resources/implementation-playbook.md。
安全
- 切勿记录密钥、令牌或凭据。
- 对密钥强制执行最小权限和安全存储。
资源
resources/implementation-playbook.md提供详细模式和示例。
完整示例
输入：一个 Express 应用接受用户登录并保留登录前的会话 ID。阅读随附的操作手册，在凭据验证后重新生成会话，仅保存所需的身份字段，并验证旧 cookie 无法访问 /api/profile。同时测试登录失败、登出和存储失败。预期：成功登录会更改会话 ID；登录失败不授予任何访问权限。
输入和前提条件
记录已安装的框架/SDK 版本、身份提供商、租户模型、凭据存储和测试环境。提供项目特定的数据库适配器和请求 schema；示例是集成草图，不是可运行的身份服务。
限制
- JWT 验证不能确立资源所有权；在读取和写入时强制执行租户和对象策略。
- 刷新轮换需要原子持久化和并发测试；仅发放示例本身并不提供这些能力。
- Cookie 标志不能替代 CSRF 防护，安全 cookie 行为需要结合实际 HTTPS/代理配置进行测试。
- 提供商集成和密码策略必须根据当前主要文档和应用的威胁模型进行检查。
评论
支持 Markdown