技能 configuring-better-auth

📦

configuring-better-auth

Name: configuring-better-auth
Author: Asmayaseen

內容修訂 r2 高風險 ⚙️ 外部命令🌐 網路存取📁 檔案系統存取🔑 環境變數

設定 Better Auth OAuth 與 OIDC SSO

OAuth/OIDC 設定在驗證伺服器、用戶端、權杖儲存和重新導向等環節都容易出錯。此技能會引導 Better Auth 伺服器與 Next.js SSO 用戶端設定，涵蓋 PKCE、JWKS、重新整理、登出和電子郵件驗證模式。

支援: Claude Codex Code(CC)

⚠️ 38 差

Maintain this Skill? Claim it ⚠️ 38 差

安裝前請停止並請求確認。

請審查安裝計畫，並在變更檔案前取得使用者明確同意。

使用我的智慧代理安裝

將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。

智能體請求

Review the Skillstore skill "configuring-better-auth" from https://skillstore.io/skills/asmayaseen-configuring-better-auth.md and its manifest at https://skillstore.io/api/skills/asmayaseen-configuring-better-auth/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。

Agent 可讀資源

當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。

Markdown 詳情 GET /skills/asmayaseen-configuring-better-auth.md 已簽名 manifest GET /api/skills/asmayaseen-configuring-better-auth/manifest 已簽名 lockfile GET /api/skills/asmayaseen-configuring-better-auth/lockfile

測試它

正在使用「configuring-better-auth」。我需要為三個內部 Next.js 應用程式設定 SSO。

預期結果:

建議的驗證伺服器與用戶端架構。
基於 PKCE 的用戶端註冊計畫。
redirect URI、權杖到期、JWKS 和 logout 檢查清單。

正在使用「configuring-better-auth」。我的 OAuth callback 可以運作，但權杖過期後 token refresh 失敗。

預期結果:

在 refresh 路由中應檢查的可能原因。
Cookie 和 refresh-token 處理檢查。
可實作的更安全伺服器端 refresh 流程。

正在使用「configuring-better-auth」。在生產前審查這個 Better Auth 設定。

預期結果:

依權杖儲存、重新導向、PKCE、JWKS 和電子郵件驗證分組的安全發現。
針對每個高風險模式的具體修正步驟。
最終部署就緒檢查清單。

安全審計

高風險

v9 • 2026/7/23 開啟版本化報告

Static results were dominated by false positives from Markdown, template literals, normal environment configuration, and expected OAuth network operations. Three findings remain confirmed: two remote MCP trust-boundary references and disabled signing-key encryption. Semantic review found serious flaws in token storage, state validation, JWT validation, redirects, cookies, and route protection.

已掃描檔案

1,526

分析行數

複核項目

已忽略的誤報

已確認的安全問題 (8)

高

references/auth-server-setup.md:439

Crypto seed/private key mention

disablePrivateKeyEncryption: true, // Disable encryption for simplicity

The example explicitly disables private-key encryption for signing keys. A database or storage compromise could therefore expose usable OIDC signing material.

高

references/sso-client-integration.md:80-84 references/sso-client-integration.md:125-141

OAuth State Is Not Validated

The client stores state, but the callback never compares the returned value with the stored value. This enables login CSRF.

State generation and callback parsing are present, but no equality check appears before token exchange.

高

references/sso-client-integration.md:234-237 references/sso-client-integration.md:437-440

JWT Issuer And Audience Checks Are Missing

JWT verification pins RS256 but omits issuer and audience checks in session and proxy paths. Tokens for another client could be accepted.

Both jwtVerify calls provide only an algorithm allowlist, while the main skill demonstrates the missing audience option.

高

references/auth-server-setup.md:133-157 references/auth-server-setup.md:526-529

Bearer Tokens Are Stored In Local Storage

The auth-server guide stores access and refresh tokens in localStorage and explicitly recommends that pattern. Same-origin scripts can read those bearer credentials.

The guide directly reads and removes bearer tokens from localStorage, then states clients should only use that storage.

高

references/sso-client-integration.md:446-457

Static Asset Rule Can Bypass Authentication

The proxy treats every pathname containing a period as a static asset. Protected routes with periods can bypass authentication.

The unconditional pathname.includes check returns before token validation and is not limited to known asset directories or extensions.

中

references/sso-client-integration.md:173-175 references/sso-client-integration.md:498-523

Post-Authentication Redirects Are Not Restricted

Callback and refresh redirects accept cookie or query values without enforcing a local path. Absolute URLs can redirect users to attacker-controlled sites.

The URL constructor accepts absolute URLs, and neither redirect source is checked against an allowlist or same-origin policy.

中

SKILL.md:130-146 references/sso-client-integration.md:315-327

PKCE Verifier Cookies Are Script Readable

The examples write PKCE verifiers through document.cookie without Secure or HttpOnly protection. Same-origin scripts can steal an active verifier.

Both examples create the verifier cookie in browser JavaScript, making HttpOnly impossible and leaving Secure unset.

中

SKILL.md:171-177

Quick-Start Token Cookies Lack Security Attributes

The main quick-start sets token cookies with only httpOnly. Missing Secure, SameSite, path, and lifetime controls weakens production token protection.

The cookie setters visibly omit attributes that the longer client guide later includes.

能力複核項目 (2)

這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。

低

SKILL.md:19

Hardcoded URL

claude mcp add --transport http better-auth https://mcp.chonkie.ai/better-auth/better-auth-builder/m

The skill directs Claude to a third-party remote MCP endpoint. Prompts and project context may cross that trust boundary without a local privacy review.

低

SKILL.md:29

Hardcoded URL

"url": "https://mcp.chonkie.ai/better-auth/better-auth-builder/mcp"

The settings example connects Claude to a third-party remote MCP endpoint. Prompts and project context may cross that trust boundary without a local privacy review.

風險因素

⚙️ 外部命令 (50)

🌐 網路存取 (50)

📁 檔案系統存取 (3)

references/auth-server-setup.md:266 references/auth-server-setup.md:557 SKILL.md:238

🔑 環境變數 (50)

審計單位: codex 檢視審計紀錄 →

分享與引用此報告

分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。

開啟版本化報告

複製報告連結

https://skillstore.io/skills/asmayaseen-configuring-better-auth/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/asmayaseen-configuring-better-auth/security.svg)](https://skillstore.io/skills/asmayaseen-configuring-better-auth?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/asmayaseen-configuring-better-auth?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/asmayaseen-configuring-better-auth/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/asmayaseen-configuring-better-auth.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

學術引用 (APA · BibTeX · CFF)

APA 引用

Asmayaseen. (2026). configuring-better-auth security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/asmayaseen-configuring-better-auth/audits/9

BibTeX 引用

@techreport{asmayaseen-asmayaseen-configuring-better-auth-2026,
  author = {Asmayaseen},
  title = {configuring-better-auth security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/asmayaseen-configuring-better-auth/audits/9},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "configuring-better-auth security audit report (audit version 9)"
version: "unspecified"
type: report
authors:
  - name: "Asmayaseen"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/asmayaseen-configuring-better-auth/audits/9"
identifiers:
  - type: other
    value: "skillstore:asmayaseen-configuring-better-auth:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore 評分

評分依據證據置信度: 中

架構

可維護性

內容

社群

規範符合度

你可以打造什麼

規劃共用驗證伺服器

為多個應用程式設計 Better Auth 伺服器，涵蓋 OIDC、PKCE、用戶端註冊和同意決策。

為 Next.js 應用程式新增 SSO

為 Next.js 用戶端應用程式實作 login、callback、session、refresh 和 logout 路由。

審查 OAuth 安全缺口

在生產前檢查 redirect URI 處理、權杖儲存、JWKS 驗證、refresh 流程和 logout 行為。

試試這些提示

建立設定計畫

使用此技能為兩個 Next.js 應用程式規劃 Better Auth OAuth/OIDC 設定。先詢問缺少的架構細節。

設定驗證伺服器

使用此技能概述 Better Auth OIDC provider 設定、PKCE 用戶端設定、JWKS 設定和電子郵件驗證選項。

整合 SSO 用戶端

使用此技能設計 Next.js SSO 用戶端路由，包含 login、callback、session、token refresh 和 global logout。

稽核現有流程

使用此技能審查現有 Better Auth SSO 流程中的權杖儲存、state 驗證、重新導向處理、JWKS 驗證和 logout 缺口。

最佳實務

公開用戶端使用 PKCE，並讓用戶端密鑰遠離瀏覽器程式碼。
可行時，將 bearer tokens 儲存在 httpOnly、Secure、SameSite cookies 中。
在信任權杖之前，先驗證 state、redirect URI、issuer、audience 和 JWKS 簽章。

避免

生產應用程式不要將 access 或 refresh tokens 儲存在 localStorage 中。
不要在 callback 路由中略過 OAuth state 驗證。
未經明確信任審查，不要新增第三方 MCP 伺服器。

常見問題

此技能可協助設定什麼？

它可協助使用 PKCE 和 JWKS 模式設定 Better Auth OAuth/OIDC 伺服器與 Next.js SSO 用戶端。

它會建立完整的生產系統嗎？

不會。它提供實作指引和範例，仍需要針對專案進行審查與測試。

它可以協助處理 token refresh 嗎？

可以。它描述伺服器端 refresh 路由、Cookie 處理和常見失敗點。

它支援 Claude、Codex 和 Claude Code 嗎？

可以。報告標示支援 Claude、Codex 和 Claude Code。

是否必須使用 Better Auth MCP 伺服器？

不需要。MCP 伺服器是選用項目，且只應在信任審查後新增。

團隊在生產前應審查什麼？

審查權杖儲存、state 驗證、重新導向處理、JWKS 金鑰保護、電子郵件傳送和 logout 行為。

開發者詳細資訊

作者

Asmayaseen

授權

MIT

Skillstore 修訂

版本提示

作者未聲明版本。

儲存庫

https://github.com/Asmayaseen/hackathon-2/tree/main/.claude/skills/configuring-better-auth

引用

89edfdc710d0846129dcee6a929477b04f08052c

維護新鮮度

2026/7/24

使用量

8 次下載 · 478 次瀏覽

檔案結構

📁 references/

📄 auth-server-setup.md

📄 sso-client-integration.md

📁 scripts/

📄 verify.py

📄 SKILL.md