Habilidades configuring-better-auth

📦

configuring-better-auth

Name: configuring-better-auth
Author: Asmayaseen

Revisão do conteúdo r2 Risco alto ⚙️ Comandos externos🌐 Acesso à rede📁 Acesso ao sistema de arquivos🔑 Variáveis de ambiente

Configurar o SSO OAuth e OIDC do Better Auth

A configuração de OAuth/OIDC é propensa a erros entre servidores de autenticação, clientes, armazenamento de tokens e redirecionamentos. Esta skill orienta a configuração do servidor Better Auth e do cliente SSO Next.js com padrões de PKCE, JWKS, atualização, logout e verificação de email.

Suporta: Claude Codex Code(CC)

⚠️ 38 Ruim

Pare e solicite confirmação antes de instalar.

Revise o plano e obtenha o consentimento explícito do usuário antes de alterar arquivos.

Instalar com meu Agente

Copie esta solicitação para o seu Agente. Ela inclui a página canônica do Skill e o manifesto.

Solicitação do agente

Review the Skillstore skill "configuring-better-auth" from https://skillstore.io/skills/asmayaseen-configuring-better-auth.md and its manifest at https://skillstore.io/api/skills/asmayaseen-configuring-better-auth/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Seu Agente ainda deve apresentar o plano e solicitar qualquer confirmação exigida pela política de segurança.

Recursos legíveis por agentes

Use estes links quando um agente de IA, crawler ou script precisar de contexto limpo em vez de ler a página completa.

Detalhe em Markdown GET /skills/asmayaseen-configuring-better-auth.md manifest assinado GET /api/skills/asmayaseen-configuring-better-auth/manifest lockfile assinado GET /api/skills/asmayaseen-configuring-better-auth/lockfile

Testar

Usando "configuring-better-auth". Preciso de SSO para três aplicações internas Next.js.

Resultado esperado:

Uma arquitetura recomendada de servidor de autenticação e cliente.
Um plano de registro de clientes baseado em PKCE.
Uma checklist para URIs de redirecionamento, expiração de tokens, JWKS e logout.

Usando "configuring-better-auth". Meu callback OAuth funciona, mas a atualização de token falha após a expiração.

Resultado esperado:

Causas prováveis para inspecionar na rota de atualização.
Verificações de tratamento de cookies e refresh-token.
Um fluxo de atualização mais seguro no lado do servidor para implementar.

Usando "configuring-better-auth". Revise esta configuração do Better Auth antes da produção.

Resultado esperado:

Achados de segurança agrupados por armazenamento de tokens, redirecionamentos, PKCE, JWKS e verificação de email.
Etapas específicas de correção para cada padrão arriscado.
Uma checklist final de prontidão para implantação.

Auditoria de segurança

Risco alto

v9 • 23/07/2026 Abrir o relatório versionado

Static results were dominated by false positives from Markdown, template literals, normal environment configuration, and expected OAuth network operations. Three findings remain confirmed: two remote MCP trust-boundary references and disabled signing-key encryption. Semantic review found serious flaws in token storage, state validation, JWT validation, redirects, cookies, and route protection.

Arquivos analisados

1,526

Linhas analisadas

Itens de revisão

Falsos positivos ignorados

Preocupações de segurança confirmadas (8)

Alto

references/auth-server-setup.md:439

Crypto seed/private key mention

disablePrivateKeyEncryption: true, // Disable encryption for simplicity

The example explicitly disables private-key encryption for signing keys. A database or storage compromise could therefore expose usable OIDC signing material.

Alto

references/sso-client-integration.md:80-84 references/sso-client-integration.md:125-141

OAuth State Is Not Validated

The client stores state, but the callback never compares the returned value with the stored value. This enables login CSRF.

State generation and callback parsing are present, but no equality check appears before token exchange.

Alto

references/sso-client-integration.md:234-237 references/sso-client-integration.md:437-440

JWT Issuer And Audience Checks Are Missing

JWT verification pins RS256 but omits issuer and audience checks in session and proxy paths. Tokens for another client could be accepted.

Both jwtVerify calls provide only an algorithm allowlist, while the main skill demonstrates the missing audience option.

Alto

references/auth-server-setup.md:133-157 references/auth-server-setup.md:526-529

Bearer Tokens Are Stored In Local Storage

The auth-server guide stores access and refresh tokens in localStorage and explicitly recommends that pattern. Same-origin scripts can read those bearer credentials.

The guide directly reads and removes bearer tokens from localStorage, then states clients should only use that storage.

Alto

references/sso-client-integration.md:446-457

Static Asset Rule Can Bypass Authentication

The proxy treats every pathname containing a period as a static asset. Protected routes with periods can bypass authentication.

The unconditional pathname.includes check returns before token validation and is not limited to known asset directories or extensions.

Médio

references/sso-client-integration.md:173-175 references/sso-client-integration.md:498-523

Post-Authentication Redirects Are Not Restricted

Callback and refresh redirects accept cookie or query values without enforcing a local path. Absolute URLs can redirect users to attacker-controlled sites.

The URL constructor accepts absolute URLs, and neither redirect source is checked against an allowlist or same-origin policy.

Médio

SKILL.md:130-146 references/sso-client-integration.md:315-327

PKCE Verifier Cookies Are Script Readable

The examples write PKCE verifiers through document.cookie without Secure or HttpOnly protection. Same-origin scripts can steal an active verifier.

Both examples create the verifier cookie in browser JavaScript, making HttpOnly impossible and leaving Secure unset.

Médio

SKILL.md:171-177

Quick-Start Token Cookies Lack Security Attributes

The main quick-start sets token cookies with only httpOnly. Missing Secure, SameSite, path, and lifetime controls weakens production token protection.

The cookie setters visibly omit attributes that the longer client guide later includes.

Itens de revisão de capacidade (2)

Estas são capacidades locais reais que podem ser esperadas para esta habilidade, portanto exigem revisão, mas não são contabilizadas como comportamento malicioso confirmado.

Baixo

SKILL.md:19

Hardcoded URL

claude mcp add --transport http better-auth https://mcp.chonkie.ai/better-auth/better-auth-builder/m

The skill directs Claude to a third-party remote MCP endpoint. Prompts and project context may cross that trust boundary without a local privacy review.

Baixo

SKILL.md:29

Hardcoded URL

"url": "https://mcp.chonkie.ai/better-auth/better-auth-builder/mcp"

The settings example connects Claude to a third-party remote MCP endpoint. Prompts and project context may cross that trust boundary without a local privacy review.

Fatores de risco

⚙️ Comandos externos (50)

🌐 Acesso à rede (50)

📁 Acesso ao sistema de arquivos (3)

references/auth-server-setup.md:266 references/auth-server-setup.md:557 SKILL.md:238

🔑 Variáveis de ambiente (50)

Auditado por: codex Ver histórico de auditoria →

Compartilhar e citar este relatório

Compartilhe o relatório de avaliação versionado, o badge neutro, o cartão incorporável e as citações. A Skillstore apresenta evidências sem decidir se este Skill é seguro.

Abrir o relatório versionado

Copiar link do relatório

https://skillstore.io/skills/asmayaseen-configuring-better-auth/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/asmayaseen-configuring-better-auth/security.svg)](https://skillstore.io/skills/asmayaseen-configuring-better-auth?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/asmayaseen-configuring-better-auth?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/asmayaseen-configuring-better-auth/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Cartão incorporável

<iframe src="https://skillstore.io/embed/skills/asmayaseen-configuring-better-auth.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citações acadêmicas (APA · BibTeX · CFF)

Citação APA

Asmayaseen. (2026). configuring-better-auth security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/asmayaseen-configuring-better-auth/audits/9

Citação BibTeX

@techreport{asmayaseen-asmayaseen-configuring-better-auth-2026,
  author = {Asmayaseen},
  title = {configuring-better-auth security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/asmayaseen-configuring-better-auth/audits/9},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "configuring-better-auth security audit report (audit version 9)"
version: "unspecified"
type: report
authors:
  - name: "Asmayaseen"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/asmayaseen-configuring-better-auth/audits/9"
identifiers:
  - type: other
    value: "skillstore:asmayaseen-configuring-better-auth:audit:9"
    description: "Skillstore immutable audit report identifier"

Pontuação do Skillstore

Por que esta pontuação Confiança das evidências: Médio

Arquitetura

Manutenibilidade

Conteúdo

Comunidade

Conformidade com a especificação

O que você pode criar

Planejar um Servidor de Autenticação Compartilhado

Projetar um servidor Better Auth para vários apps com OIDC, PKCE, registro de clientes e decisões de consentimento.

Adicionar SSO a um App Next.js

Implementar rotas de login, callback, sessão, atualização e logout para uma aplicação cliente Next.js.

Revisar Lacunas de Segurança OAuth

Verificar o tratamento de URI de redirecionamento, armazenamento de tokens, verificação JWKS, fluxo de atualização e comportamento de logout antes da produção.

Teste estes prompts

Criar um Plano de Configuração

Use esta skill para planejar uma configuração OAuth/OIDC do Better Auth para dois apps Next.js. Peça primeiro os detalhes de arquitetura ausentes.

Configurar o Servidor de Autenticação

Use esta skill para descrever a configuração do provedor OIDC do Better Auth, as configurações de cliente PKCE, a configuração de JWKS e as opções de verificação de email.

Integrar o Cliente SSO

Use esta skill para projetar as rotas de cliente SSO em Next.js para login, callback, sessão, atualização de token e logout global.

Auditar um Fluxo Existente

Use esta skill para revisar um fluxo SSO existente do Better Auth em busca de lacunas em armazenamento de tokens, validação de state, tratamento de redirecionamento, verificação JWKS e logout.

Boas práticas

Use PKCE para clientes públicos e mantenha client secrets fora do código do navegador.
Armazene bearer tokens em cookies httpOnly, Secure e SameSite quando possível.
Verifique state, URI de redirecionamento, issuer, audience e assinaturas JWKS antes de confiar em tokens.

Evitar

Não armazene access tokens ou refresh tokens em localStorage para apps de produção.
Não ignore a validação de state do OAuth em rotas de callback.
Não adicione servidores MCP de terceiros sem uma revisão explícita de confiança.

Perguntas frequentes

O que esta skill ajuda a configurar?

Ela ajuda a configurar servidores OAuth/OIDC do Better Auth e clientes SSO Next.js com padrões de PKCE e JWKS.

Ela cria um sistema completo de produção?

Não. Ela fornece orientações de implementação e exemplos que ainda exigem revisão e testes específicos do projeto.

Ela pode ajudar com atualização de tokens?

Sim. Ela descreve rotas de atualização no lado do servidor, tratamento de cookies e pontos comuns de falha.

Ela oferece suporte a Claude, Codex e Claude Code?

Sim. O relatório indica suporte para Claude, Codex e Claude Code.

O servidor Better Auth MCP é obrigatório?

Não. O servidor Better Auth MCP é opcional e só deve ser adicionado após uma revisão de confiança.

O que as equipes devem revisar antes da produção?

Revise armazenamento de tokens, validação de state, tratamento de redirecionamento, proteção de chaves JWKS, entrega de email e comportamento de logout.