技能 auth-tool-cloudbase

📦

auth-tool-cloudbase

Name: auth-tool-cloudbase
Author: tencentcloudbase

v2.23.8 内容修订 r1 高风险 ⚙️ 外部命令🌐 网络访问📁 文件系统访问🔑 环境变量

配置 CloudBase 身份验证提供商

当提供商、登录方式和可发布密钥尚未就绪时，身份验证项目会失败。此技能会在实现开始前，引导 Claude、Codex 和 Claude Code 完成 CloudBase 身份验证就绪检查。

支持: Claude Codex Code(CC)

⚠️ 38 差

安装前请停下并请求确认。

请审查安装计划，并在更改文件前获得用户明确同意。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "auth-tool-cloudbase" from https://skillstore.io/skills/tencentcloudbase-auth-tool-cloudbase.md and its manifest at https://skillstore.io/api/skills/tencentcloudbase-auth-tool-cloudbase/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/tencentcloudbase-auth-tool-cloudbase.md 已签名 manifest GET /api/skills/tencentcloudbase-auth-tool-cloudbase/manifest 已签名 lockfile GET /api/skills/tencentcloudbase-auth-tool-cloudbase/lockfile

测试它

正在使用“auth-tool-cloudbase”。我需要为 CloudBase Web 应用实现邮箱和密码登录。

预期结果:

该技能会报告邮箱登录是否已启用、邮件提供商是否需要发件人配置，以及在 UI 工作开始前可发布密钥是否已就绪。

正在使用“auth-tool-cloudbase”。我想向现有 CloudBase 应用添加 Google 登录。

预期结果:

该技能会识别用于重定向 URL 的静态域名，列出所需的 Google 凭据，并建议在更新 CloudBase 前确认提供商变更。

正在使用“auth-tool-cloudbase”。我的应用找不到可发布密钥。

预期结果:

该技能会指导查找现有可发布密钥，解释何时适合创建密钥，并在创建或删除 API 密钥前发出警告。

安全审计

高风险

v2 • 2026/7/9 打开版本化报告

Most static findings are false positives caused by Markdown backticks, relative documentation links, and documented OAuth or console URLs. The confirmed risks are the skill's legitimate ability to guide email sender setup, API key lifecycle operations, and privileged auth provider changes that require explicit user approval.

已扫描文件

545

分析行数

复核项

已忽略误报

已确认安全问题 (2)

高

SKILL.md:393-395 SKILL.md:443-446 SKILL.md:493-500

Privileged Auth Configuration Changes

The skill guides provider creation, update, deletion, and API key lifecycle actions. These operations can change production authentication behavior or revoke credentials if used without explicit approval.

The cited lines explicitly name add, update, delete, create, list, and revoke actions for auth providers and API keys. This is intentional administrative functionality, so the risk is operational rather than hidden malware.

中

SKILL.md:271-276 SKILL.md:318-319 SKILL.md:363-364

Sensitive Credential Handling Guidance

The skill asks users or agents to handle SMTP passwords, WeChat AppSecret values, and Google Client Secret values in provider configuration examples. Mishandling those values could expose authentication provider secrets.

The cited examples directly include password and secret fields, although they use placeholders. The risk depends on whether real secrets are provided in an agent conversation or logs.

能力复核项 (8)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

高

SKILL.md:465

Generic API/secret keys

"keyType": "api_key",

The skill documents listing or creating CloudBase API keys. That is a real credential lifecycle capability and should require explicit user approval and careful handling.

高

SKILL.md:486

Generic API/secret keys

"keyType": "api_key",

The skill documents listing or creating CloudBase API keys. That is a real credential lifecycle capability and should require explicit user approval and careful handling.

高

SKILL.md:491

Generic API/secret keys

`createApiKey` defaults to `publish_key` when `keyType` is omitted, but it can also create `api_key`

The skill documents listing or creating CloudBase API keys. That is a real credential lifecycle capability and should require explicit user approval and careful handling.

中

SKILL.md:220

Email sending capability

- `ModifyProvider(Id="email")`: controls the email sender channel and SMTP configuration

The skill explicitly guides CloudBase email provider and SMTP sender configuration. That is legitimate for auth setup but security-relevant because it can alter outbound authentication email behavior.

中

SKILL.md:246

Email sending capability

"EmailConfig": { "On": "TRUE", "SmtpConfig": {} }

中

SKILL.md:262

Email sending capability

**Configure email provider (custom SMTP)**:

中

SKILL.md:271

Email sending capability

"SmtpConfig": {

中

SKILL.md:276

Email sending capability

"ServerHost": "smtp.qq.com",

风险因素

⚙️ 外部命令 (50)

🌐 网络访问 (19)

SKILL.md:12 SKILL.md:13 SKILL.md:32 SKILL.md:33 SKILL.md:34 SKILL.md:35 SKILL.md:305 SKILL.md:347 SKILL.md:349 SKILL.md:366 SKILL.md:367 SKILL.md:368 SKILL.md:375 SKILL.md:502 SKILL.md:220 SKILL.md:246 SKILL.md:262 SKILL.md:271 SKILL.md:276

📁 文件系统访问 (4)

SKILL.md:32 SKILL.md:33 SKILL.md:34 SKILL.md:35

🔑 环境变量 (3)

SKILL.md:465 SKILL.md:486 SKILL.md:491

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/tencentcloudbase-auth-tool-cloudbase/audits/2?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/tencentcloudbase-auth-tool-cloudbase/security.svg)](https://skillstore.io/skills/tencentcloudbase-auth-tool-cloudbase?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/tencentcloudbase-auth-tool-cloudbase?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/tencentcloudbase-auth-tool-cloudbase/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/tencentcloudbase-auth-tool-cloudbase.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

tencentcloudbase. (2026). auth-tool-cloudbase security audit report (audit version 2) [Author version 2.23.8]. Skillstore. https://skillstore.io/skills/tencentcloudbase-auth-tool-cloudbase/audits/2

BibTeX 引用

@techreport{tencentcloudbase-tencentcloudbase-auth-tool-cloudbase-2026,
  author = {tencentcloudbase},
  title = {auth-tool-cloudbase security audit report (audit version 2)},
  institution = {Skillstore},
  year = {2026},
  number = {2},
  url = {https://skillstore.io/skills/tencentcloudbase-auth-tool-cloudbase/audits/2},
  note = {Author version 2.23.8}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "auth-tool-cloudbase security audit report (audit version 2)"
version: "2.23.8"
type: report
authors:
  - name: "tencentcloudbase"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/tencentcloudbase-auth-tool-cloudbase/audits/2"
identifiers:
  - type: other
    value: "skillstore:tencentcloudbase-auth-tool-cloudbase:audit:2"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 中

架构

100

可维护性

内容

社区

规范符合性

你能构建什么

准备 Web 登录

在构建 CloudBase Web 身份验证流程前，确认已启用的登录方式和可发布密钥可用性。

配置提供商就绪状态

在允许客户端身份验证前，检查短信、邮箱、WeChat、Google 和匿名提供商设置。

审计身份验证设置边界

检查任务应修改提供商设置、客户端设置、API 密钥还是实现代码。

试试这些提示

检查登录方式

使用此技能检查我所选环境当前的 CloudBase 登录配置。告诉我已启用哪些登录方式，以及实现前必须配置哪些内容。

启用邮箱登录

使用此技能指导 CloudBase 邮箱登录设置。确认登录方式，解释邮件提供商配置，并在更改前征求确认。

准备 OAuth 提供商

使用此技能为 CloudBase 准备 Google 或 WeChat 登录。识别重定向 URL、所需提供商凭据和安全更新顺序。

审查身份验证架构

使用此技能审查我的 CloudBase 身份验证计划，覆盖 Web、小程序、Node 和 HTTP 客户端。将提供商设置任务与实现任务分开，并标记高风险变更。

最佳实践

在生成配置或控制台链接前，确认规范的 CloudBase 环境 ID。
在启用提供商、更改 SMTP 设置或创建密钥前，要求明确批准。
仅在确认提供商就绪后，才转到特定平台的实现技能。

避免

在所需的 CloudBase 提供商启用前，不要构建登录 UI。
不要通过管理侧登录工具处理应用侧提供商配置。
当只需要只读就绪检查时，不要创建或删除 API 密钥。

常见问题

此技能会实现登录流程吗？

不会。它会在特定平台身份验证实现开始前，准备提供商和密钥配置。

它优先使用哪些工具？

当 queryAppAuth 和 manageAppAuth 可用时，它优先使用它们进行应用侧身份验证配置。

它可以启用匿名登录吗？

可以，但该技能会说明匿名登录默认禁用，并且只应在有明确需求时启用。

它会处理 OAuth 提供商吗？

可以。它覆盖 WeChat 和 Google 提供商就绪检查，包括重定向 URL 和凭据要求。

它可以管理可发布密钥吗？

可以。它会指导查找和创建可发布密钥，并警告密钥生命周期操作属于敏感操作。

这对生产环境安全吗？

请谨慎使用。提供商、SMTP 和 API 密钥变更可能影响生产身份验证，因此应要求确认。

开发者详情

作者

tencentcloudbase

许可证

MIT

作者版本

v2.23.8

Skillstore 修订

仓库

https://github.com/tencentcloudbase/skills/tree/main/skills/auth-tool

引用

24b2fe42a456262f3fd0fb3df72e12d9ed2c32ec

维护新鲜度

2026/7/18

使用量

0 次下载 · 0 次浏览

文件结构

📄 checklist.md

📄 SKILL.md

tencentcloudbase 的更多技能

查看全部

📦

auth-nodejs-cloudbase

构建 CloudBase Node 身份验证流程

服务端 CloudBase 身份验证工作可能会涉及调用方身份、用户查找和自定义登录细节。此技能指导 Node.js agent 使用正确的 SDK 方法和安全的后端模式。

安全与合规查看

📦

cloudbase-document-database-in-wechat-miniprogram

构建 CloudBase 小程序数据库功能

小程序数据库开发需要正确的 SDK 模式和安全规则。此技能指导 Claude、Codex 和 Claude Code 完成 CloudBase 文档数据库任务。

编码与开发查看

📦

ui-design

设计独特的 UI 原型

通用 AI 界面往往缺乏视觉方向和符合平台特性的细节。此技能会指导 Claude、Codex 和 Claude Code 在构建原型之前先定义设计意图。

设计与创意查看

📦

ai-model-nodejs

在 Node.js 中构建 CloudBase AI 后端

当模型组、额度和 SDK 方法依赖猜测时，后端 AI 配置常常会失败。此技能提供 CloudBase Node.js 模式、预检检查以及模型启用步骤。

编码与开发查看

📦

spec-workflow

规划复杂编码变更

大型编码变更在范围、设计和验收标准模糊时往往会失败。此技能引导 Claude、Codex 和 Claude Code 完成需求、设计、任务和分阶段确认。

编码与开发查看

📦

data-model-creation

创建 CloudBase 数据模型

复杂的 schema 工作需要清晰的实体边界和关系。此技能通过 Mermaid 模型和 CloudBase 数据模型工具的使用，引导 Claude、Codex 和 Claude Code 完成相关工作。

数据与分析查看

查看全部

📦

security-engineering

强化安全工程决策

由 89jobrien

安全工作通常涵盖架构、身份、合规、测试和响应规划。此技能为 Claude、Codex 和 Claude Code 提供结构化的安全工程指导。

安全与合规查看

📦

clerk-auth

安全地实现 Clerk 身份验证

由 sickn33

Clerk 设置在中间件、服务器组件、组织和 webhook 中都容易出错。此技能为安全的 Next.js 身份验证流程提供有针对性的实现指导。

安全与合规查看

📦

auth-handler

保护 Next.js 认证路由

由 AayushBaniya2006

当团队混用 session API 和路由守卫时，认证变更经常会失败。此技能会引导 Claude、Codex 和 Claude Code 使用项目辅助函数来实现安全的访问控制。

安全与合规查看

📦

security-sentinel

审计代码中的安全风险

由 Barnhardt-Enterprises-Inc

安全敏感代码很容易带着身份验证、输入处理和密钥方面的隐藏缺陷发布。此 skill 为 Claude、Codex 和 Claude Code 提供结构化安全参考和扫描器指导，以支持更安全的审查。

安全与合规查看

📦

security-review

发布前审查 Web 应用安全性

由 sickn33

当团队添加身份验证、API、支付、上传或敏感数据流时，安全问题往往会出现。此技能提供一份聚焦的检查清单和审查提示，用于在部署前发现常见的 Web 应用风险。

安全与合规查看

📦

backend-security-coder

构建安全的后端 API

由 sickn33

后端团队需要能够防止常见漏洞的安全实现。此技能可指导验证、身份认证、API 加固、数据库保护和安全审查。

安全与合规查看

auth-tool-cloudbase

使用我的智能体安装

Agent 可读资源

测试它

安全审计

已确认安全问题 (2)

风险因素

复制报告链接

Markdown 徽章

HTML 徽章

嵌入卡片

APA 引用

BibTeX 引用

CITATION.cff

Skillstore 评分

你能构建什么

准备 Web 登录

配置提供商就绪状态

审计身份验证设置边界

试试这些提示

最佳实践

避免

常见问题

开发者详情

tencentcloudbase 的更多技能

auth-nodejs-cloudbase

cloudbase-document-database-in-wechat-miniprogram

ui-design

ai-model-nodejs

spec-workflow

data-model-creation

相关技能

security-engineering

clerk-auth

auth-handler

security-sentinel

security-review

backend-security-coder