auth-tool-cloudbase

同级技能（仅本地）

同级 CloudBase 技能与此技能一同发布。请使用 ../auth-tool-cloudbase/SKILL.md 这样的本地相对路径。

如果此环境中缺少引用的同级技能文件，请让用户安装完整的 CloudBase 插件（或缺失的技能）。不要通过 HTTP 将远程技能或协议 Markdown 获取到 Agent 上下文中。

激活约定

在以下情况下优先使用此技能

• 任务是检查、启用、停用或配置 CloudBase 身份验证提供方、登录方式、可发布密钥前置条件、短信／邮件发送或第三方登录准备情况。
• 在确认提供方状态和登录配置之前，无法继续实现身份验证。
• CloudBase Web 身份验证流程需要先验证提供方，再使用 auth-web-cloudbase。

编写代码前先阅读

• 请求提及提供方设置、身份验证控制台配置、获取可发布密钥、登录方式可用性、短信／邮件发送方设置或第三方提供方凭据。
• 任务将提供方配置与 Web、小程序、Node 或原始 HTTP 身份验证实现结合在一起。

然后还要阅读

• Web 身份验证 UI -> ../auth-web-cloudbase/SKILL.md
• 小程序原生身份验证 -> ../auth-wechat-miniprogram/SKILL.md
• Node 服务端身份 / 自定义票据 -> ../auth-nodejs-cloudbase/SKILL.md
• 原生 App / 原始 HTTP 身份验证客户端 -> ../http-api-cloudbase/SKILL.md

请勿将此技能用于

• 所有登录或注册请求的默认实现指南。
• 在不涉及提供方变更时替代小程序原生身份验证行为。
• 替代 Node 端调用方身份、用户查询或自定义登录票据流程。
• 替代前端集成、会话处理或客户端 UX 实现。

常见错误／注意事项

• 在启用所需提供方之前编写登录 UI。
• 将任何提及“身份验证”的请求都视为提供方管理任务。
• 在云函数中实现 Web 登录。
• 将原生 App 身份验证导向 Web SDK 流程。
• 未先遵循变更安全协议（cloudbase-platform/references/protocols/change-safety-protocol.md）就进行配置或代码变更。
• 在现有应用中，准备情况已确认后仍反复查询提供方，而不是接入当前的登录和注册处理程序。

最简检查清单

• 在实现身份验证前阅读身份验证激活检查清单。
• 默认禁用匿名登录。仅有可发布的 accessKey 并不会创建经过网关身份验证的匿名会话。使用 @cloudbase/js-sdk 3.x 时，如有需要，请通过此技能启用匿名登录，然后客户端必须在执行 NoSQL app.database() CRUD 之前调用 await auth.signInAnonymously()（或建立等效的已验证会话），否则网关会返回 401。对于要求已验证登录的应用（例如管理面板），应强制使用 AuthGuard / RLS 并拒绝 is_anonymous，而不能仅依赖登录策略开关。

概述

配置 CloudBase 身份验证提供方：匿名、用户名／密码、短信、邮件、微信、Google 等。

前置条件：CloudBase 环境 ID（env）

MCP 工具边界

请将以下两个认证域分开：

• auth：仅用于 MCP / 管理端登录。用于 status、start_auth、set_env、logout 和 get_temp_credentials。
• queryAppAuth / manageAppAuth：用于应用端认证配置。用于登录方式、提供方设置、发布密钥、静态域名、客户端配置和自定义登录密钥。

此技能的首选执行顺序：

1. 如果 queryAppAuth / manageAppAuth 中存在所需操作，先使用它们。
2. 仅在无法通过前者完成操作或需要调试原始请求格式时，才使用 callCloudApi。
3. 不要将应用端提供方配置转回 MCP auth 工具处理。
4. 对于已有有效登录和注册处理程序的项目，在确认所需登录方式和发布密钥后，不要再反复检查提供方设置。转回有效的前端处理程序，完成实际用户流程。

---

扩展指南

如需了解详细场景、示例和模式，请阅读 extended-guide.md。

参考索引

所有随附的参考文件（技能检查可达性所需）：

• extended-guide.md