Навыки email-and-password-best-practices

📦

email-and-password-best-practices

Name: email-and-password-best-practices
Author: better-auth

Ревизия содержимого r2 Низкий риск ⚙️ Внешние команды🌐 Доступ к сети

Настройка безопасности Better Auth для email и пароля

Аутентификация по email и паролю может давать сбои, когда проверка email, потоки сброса и правила паролей настроены неполно. Этот skill помогает безопасно настроить Better Auth с помощью сфокусированных примеров.

Поддерживает: Claude Codex Code(CC)

📊 74 Адекватно

Maintain this Skill? Claim it 📊 74 Адекватно

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "email-and-password-best-practices" from https://skillstore.io/skills/better-auth-email-and-password-best-practices.md and its manifest at https://skillstore.io/api/skills/better-auth-email-and-password-best-practices/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/better-auth-email-and-password-best-practices.md Подписанный manifest GET /api/skills/better-auth-email-and-password-best-practices/manifest Подписанный lockfile GET /api/skills/better-auth-email-and-password-best-practices/lockfile

Протестировать

Использование «email-and-password-best-practices». Мне нужна проверка email для новых регистраций.

Ожидаемый результат:

Включите обработчик проверки email в Better Auth.
Отправьте сообщение для проверки с предоставленным verification URL.
Требуйте проверку перед входом по email и паролю, когда нужна более строгая безопасность.
Протестируйте регистрацию и подтвердите, что email для проверки отправляется.

Использование «email-and-password-best-practices». Пользователям нужен сброс пароля без enumeration аккаунтов.

Ожидаемый результат:

Ответ должен оставаться одинаковым независимо от того, существует email или нет. Настройте обработчик email для сброса, установите короткий срок жизни токена и отзывайте сессии после сброса.

Использование «email-and-password-best-practices». Я хочу использовать Argon2id для хеширования паролей.

Ожидаемый результат:

Этот skill рекомендует определить пользовательские функции hash и verify, выбрать параметры Argon2id и спланировать миграцию для пользователей с существующими хешами.

Аудит безопасности

Низкий риск

v5 • 23.07.2026 Открыть версионный отчет

The audit confirmed one medium-risk instruction that executes the latest Better Auth CLI package without version pinning. It also found a low-severity privacy risk because a reset hook logs user email addresses. The other 46 static alerts are false positives from Markdown, TypeScript examples, placeholder URLs, and ordinary API names.

Просканировано файлов

213

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (1)

Низкий

SKILL.md:89

User Email Address Logged After Password Reset

The example writes user.email to application logs after reset, which may expose personal data to log readers and retention systems.

Line 89 directly interpolates user.email into console.log. The privacy impact depends on production logging controls, but the exposure pattern is explicit.

Пункты проверки возможностей (1)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Средний

SKILL.md:11

Ruby/shell backtick execution

4. Run `npx @better-auth/cli@latest migrate`

The instruction runs an npm package through npx using the mutable @latest tag. Executing unpinned package code creates a supply-chain risk before a database migration.

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/better-auth-email-and-password-best-practices/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/better-auth-email-and-password-best-practices/security.svg)](https://skillstore.io/skills/better-auth-email-and-password-best-practices?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/better-auth-email-and-password-best-practices?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/better-auth-email-and-password-best-practices/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/better-auth-email-and-password-best-practices.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

better-auth. (2026). email-and-password-best-practices security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/better-auth-email-and-password-best-practices/audits/5

Цитата BibTeX

@techreport{better-auth-better-auth-email-and-password-best-practices-2026,
  author = {better-auth},
  title = {email-and-password-best-practices security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/better-auth-email-and-password-best-practices/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "email-and-password-best-practices security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "better-auth"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/better-auth-email-and-password-best-practices/audits/5"
identifiers:
  - type: other
    value: "skillstore:better-auth-email-and-password-best-practices:audit:5"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Высокий

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Безопасная новая настройка аутентификации

Настройте вход по email с проверкой, правилами паролей и рекомендациями по callback URL перед запуском.

Проверка сброса пароля

Добавьте email для сброса, срок действия токена и отзыв сессий в существующий проект Better Auth.

Планирование политики хеширования

Оцените варианты пользовательского хеширования паролей и определите риски миграции перед изменением production-аутентификации.

Попробуйте эти промпты

Запустить вход по email

Используйте этот skill, чтобы включить вход Better Auth по email и паролю с проверкой email. Покажите серверные настройки и поток регистрации на клиенте.

Добавить сброс пароля

Используйте этот skill, чтобы добавить поток сброса пароля. Включите обработчик email для сброса, запрос сброса, цель redirect и рекомендации по безопасному для пользователя ответу.

Усилить правила паролей

Проверьте мои настройки Better Auth emailAndPassword. Порекомендуйте изменения для длины пароля, срока действия токена сброса, отзыва сессий и проверки email.

Спланировать миграцию хешей

Используйте этот skill, чтобы оценить переход хеширования паролей Better Auth на Argon2id. Объясните требования к конфигурации, риск миграции и проверки при rollout.

Лучшие практики

Используйте абсолютные callback и redirect URL для потоков регистрации, входа и сброса.
Требуйте проверку email перед входом по email и паролю, когда доверие к аккаунту имеет значение.
Используйте короткий срок жизни токенов сброса и отзывайте сессии после успешного сброса пароля.

Избегать

Полагаться только на клиентскую валидацию требований к паролю.
Логировать ссылки сброса, токены сброса или email-адреса пользователей в обычных логах.
Менять алгоритмы хеширования паролей без плана миграции.

Часто задаваемые вопросы

Включает ли этот skill вход Better Auth по email и паролю?

Да. Он объясняет настройки, необходимые для включения аутентификации по email и паролю.

Охватывает ли он проверку email?

Да. Он показывает, где отправлять email для проверки и как требовать проверку перед входом.

Охватывает ли он безопасность сброса пароля?

Да. Он охватывает обработчики email для сброса, срок действия токена, единообразные ответы и отзыв сессий.

Предоставляет ли он интеграцию с реальной email-службой?

Нет. Он предполагает, что в проекте уже есть функция или провайдер для отправки email.

Может ли он помочь с пользовательским хешированием паролей?

Да. Он описывает хеширование scrypt по умолчанию и показывает, как настроить пользовательский подход с Argon2id.

Может ли он безопасно мигрировать существующие хеши паролей?

Он предупреждает о риске миграции, но не предоставляет автоматизированную систему миграции хешей.

Сведения для разработчиков

Автор

better-auth

Лицензия

MIT

Ревизия Skillstore

Примечание о версии

Автор не указал версию.

Репозиторий

https://github.com/better-auth/skills/tree/main/better-auth/emailAndPassword/

Ссылка

8c3e20bba512c392d9b02ee748b18e0b09d4982c

Актуальность поддержки

24.07.2026

Использование

3 загрузок · 43 просмотров

Структура файлов

📄 SKILL.md

email-and-password-best-practices

Установить с помощью моего Агента

Ресурсы для AI-агентов

Протестировать

Аудит безопасности

Подтверждённые проблемы безопасности (1)

Факторы риска

Копировать ссылку на отчёт

Значок Markdown

Значок HTML

Встраиваемая карточка

Цитата APA

Цитата BibTeX

CITATION.cff

Оценка Skillstore

Что вы можете построить

Безопасная новая настройка аутентификации

Проверка сброса пароля

Планирование политики хеширования

Попробуйте эти промпты

Лучшие практики

Избегать

Часто задаваемые вопросы

Сведения для разработчиков