mcpField
A
auth-tool-cloudbase

auth-tool-cloudbase

github.com/tencentcloudbase云与 DevOps791.0k 次安装今天更新
代码仓库

关于 auth-tool-cloudbase

auth-tool-cloudbase 是用于配置 CloudBase 认证提供方和应用端登录设置的技能。它帮助 Agent 在实现认证流程前确认提供方状态，并区分管理端登录与应用认证配置。

主要功能

  1. 01配置认证提供方
  2. 02检查登录方式是否可用
  3. 03管理发布密钥设置
  4. 04区分管理端与应用认证
  5. 05检查凭据权限范围

适用场景

  1. 01核对短信或邮件登录设置
  2. 02准备第三方登录凭据
  3. 03Web 认证前确认提供方状态
  4. 04排查环境凭据权限限制

MCP 相关

该技能说明如何使用 CloudBase MCP 工具管理认证，并区分管理端操作 `auth` 与应用端配置 `queryAppAuth`、`manageAppAuth`。

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/tencentcloudbase/skills --skill auth-tool-cloudbase

安装后在 Claude Code 中输入/auth-tool-cloudbase确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

checklist.md
LICENSE.md
references/
extended-guide.md

详细介绍

同级技能（仅本地）

同级 CloudBase 技能与此技能一同发布。请使用 ../auth-tool-cloudbase/SKILL.md 这样的本地相对路径。

如果此环境中缺少引用的同级技能文件，请让用户安装完整的 CloudBase 插件（或缺失的技能）。不要通过 HTTP 将远程技能或协议 Markdown 获取到 Agent 上下文中。

激活约定

在以下情况下优先使用此技能
  • 任务是检查、启用、停用或配置 CloudBase 身份验证提供方、登录方式、可发布密钥前置条件、短信／邮件发送或第三方登录准备情况。
  • 在确认提供方状态和登录配置之前，无法继续实现身份验证。
  • CloudBase Web 身份验证流程需要先验证提供方，再使用 auth-web-cloudbase。
编写代码前先阅读
  • 请求提及提供方设置、身份验证控制台配置、获取可发布密钥、登录方式可用性、短信／邮件发送方设置或第三方提供方凭据。
  • 任务将提供方配置与 Web、小程序、Node 或原始 HTTP 身份验证实现结合在一起。
然后还要阅读
  • Web 身份验证 UI -> ../auth-web-cloudbase/SKILL.md
  • 小程序原生身份验证 -> ../auth-wechat-miniprogram/SKILL.md
  • Node 服务端身份 / 自定义票据 -> ../auth-nodejs-cloudbase/SKILL.md
  • 原生 App / 原始 HTTP 身份验证客户端 -> ../http-api-cloudbase/SKILL.md
请勿将此技能用于
  • 所有登录或注册请求的默认实现指南。
  • 在不涉及提供方变更时替代小程序原生身份验证行为。
  • 替代 Node 端调用方身份、用户查询或自定义登录票据流程。
  • 替代前端集成、会话处理或客户端 UX 实现。
常见错误／注意事项
  • 在启用所需提供方之前编写登录 UI。
  • 将任何提及“身份验证”的请求都视为提供方管理任务。
  • 在云函数中实现 Web 登录。
  • 将原生 App 身份验证导向 Web SDK 流程。
  • 未先遵循变更安全协议（cloudbase-platform/references/protocols/change-safety-protocol.md）就进行配置或代码变更。
  • 在现有应用中，准备情况已确认后仍反复查询提供方，而不是接入当前的登录和注册处理程序。
最简检查清单
  • 在实现身份验证前阅读身份验证激活检查清单。
  • 默认禁用匿名登录。仅有可发布的 accessKey 并不会创建经过网关身份验证的匿名会话。使用 @cloudbase/js-sdk 3.x 时，如有需要，请通过此技能启用匿名登录，然后客户端必须在执行 NoSQL app.database() CRUD 之前调用 await auth.signInAnonymously()（或建立等效的已验证会话），否则网关会返回 401。对于要求已验证登录的应用（例如管理面板），应强制使用 AuthGuard / RLS 并拒绝 is_anonymous，而不能仅依赖登录策略开关。

概述

配置 CloudBase 身份验证提供方：匿名、用户名／密码、短信、邮件、微信、Google 等。

前置条件：CloudBase 环境 ID（env）

MCP 工具边界

请将以下两个认证域分开：

  • auth：仅用于 MCP / 管理端登录。用于 status、start_auth、set_env、logout 和 get_temp_credentials。
  • queryAppAuth / manageAppAuth：用于应用端认证配置。用于登录方式、提供商设置、发布密钥、静态域名、客户端配置和自定义登录密钥。

此技能的推荐执行顺序：

  1. 如果 queryAppAuth / manageAppAuth 中存在所需操作，优先使用它们。
  2. 仅在回退或调试原始请求格式时使用 callCloudApi。
  3. 不要将应用端提供商配置转回 MCP auth 工具处理。
  4. 对于已有活跃登录和注册处理程序的项目，在确认所需登录方式和发布密钥后，不要再反复处理提供商设置。回到活跃的前端处理程序，完成实际用户流程。
凭证范围 — 每种登录实际能访问的内容

在因权限问题导致失败后建议用户“重新授权”之前，请先阅读此部分。重新授权不会扩大密钥的范围；它只会再次签发相同范围的密钥。

  • 账户级（auth(status) → credential_scope: account）：可访问控制平面 API，但受该身份自身 CAM 策略限制。
  • 环境 API Key（credential_scope: single_env）：仅限一个环境的数据平面以及固定的 TCB 策略。它不是账户级凭证，因此超出此范围的控制平面调用会失败，而且没有渠道可为单个密钥附加更多 CAM 策略——重新签发密钥不会改变任何内容。如果任务需要当前凭证无法具备的能力，请切换到账户级登录，或按角色路径操作，而不是重试相同的密钥。

完整的身份表和授予缺失权限的方法：../../cloud-api-operations/references/calling-methods.md。

扩展指南

如需了解详细场景、示例和模式，请阅读 extended-guide.md。

参考索引

所有打包的参考文件（技能 lint 可达性所必需）：

评论

支持 Markdown