oauth
作者 mcollinaoauth 可協助你在 Fastify 應用中實作與排查 OAuth 2.0/2.1，涵蓋登入、存取權杖、PKCE、重新整理權杖與路由保護。當你需要實際可用的 oauth 用法、安裝步驟，以及解決 redirect URI、scope、CSRF 或權杖驗證問題時，可將它作為後端開發指南。
這個技能獲得 82/100 分，表示它是相當扎實的目錄項目，適合需要以 OAuth 為主的 Fastify 輔助工具的使用者。這個儲存庫提供了足夠具體的工作流程指引，值得安裝評估；不過由於缺少內建支援檔與明確的安裝指令，使用者仍應預期需要自行做一些調整。
- 針對 Fastify 中的 OAuth 2.0/2.1 任務有很強且明確的觸發覆蓋，包含 PKCE、client credentials、device flow、refresh rotation、JWT 驗證，以及 introspection/revocation。
- 工作流程內容相當充實：有效的 frontmatter、較長的 SKILL.md 內容，以及標題、code fence 和 repo/file 參照，使這個技能比一般的 prompt 更具可操作性。
- 從描述來看有不錯的安裝決策價值：它清楚說明何時適合使用這個技能，並點出常見的排錯情境，例如 redirect URI 不一致、CSRF 和 scope 問題。
- 沒有安裝指令，也沒有配套的 scripts/references/resources，因此使用者可能需要把範例自行轉成自己的專案結構。
- 可見內容在實作指引上很強，但看起來是偏 Fastify 專用，因此不太適合非 Fastify 的 OAuth 工作流程。
oauth 技能概覽
oauth 技能能做什麼
oauth 技能可協助你在 Fastify 應用中實作與排查 OAuth 2.0/2.1 流程，重點放在登入、access token、路由保護、PKCE、refresh token 與 token 驗證。當你需要的是用在後端實作上的 oauth 技能，而不只是 OAuth 的概念說明時，它最有幫助。
誰適合安裝
如果你正在建立或維護 Fastify 後端，並且需要一套可重複使用的 oauth guide 來做驗證或授權決策，就應該安裝 oauth。它特別適合已經知道供應商、callback URL 與 session 策略，但希望把這些條件落實成可運作整合的工程師。
它有什麼不同
這個技能不是通用的 OAuth 入門說明，而是聚焦在 Fastify 整合模式與常見營運問題：redirect URI 不符、scope 處理、CSRF 保護、token 輪替，以及是否符合 RFC 6749、6750、7636、8252 與 8628。當你的阻礙在實作細節，而不是名詞理解時，oauth skill 會更有用。
如何使用 oauth 技能
在工作區安裝 oauth
請使用標準安裝流程：npx skills add mcollina/skills --skill oauth。技能加入後，先打開 SKILL.md，再查看 tile.json 取得簡短摘要與任何 repo 專屬命名線索。這個 repo 沒有額外的 rules/、resources/ 或 scripts/ 資料夾需要你去找。
提供給技能正確的輸入
oauth install 這一步只是開始；輸出品質取決於你把 OAuth 任務描述得多清楚。好的輸入會寫明供應商、流程、callback URL、session 模型與安全限制。比如說：「在 Fastify 中為 Google 登入設定 Authorization Code + PKCE，使用伺服器端 sessions，scope 為 openid profile email。」這會比「加上 OAuth」有價值得多。
先從實作路徑開始
若要實際使用 oauth，先讀 SKILL.md 裡的逐步操作段落，再對照你的應用程式架構。通常最有用的第一輪流程是：
- 安裝必要的 Fastify 驗證依賴，
- 註冊 OAuth plugin，
- 串接 callback 處理，
- 驗證 token 與 session 狀態，
- 確認 redirect URI 與 scope 行為。
為後端開發調整提示詞
在撰寫 oauth for Backend Development 時，請把會影響實作的環境限制講清楚：TypeScript 或 JavaScript、cookie/session 策略、應用程式是 server-rendered 還是 API-only，以及你需要單一供應商還是多個供應商。如果你要技能協助除錯，請附上精確錯誤訊息、供應商回應，以及目前的 callback 或 token 檢查程式路徑。
oauth 技能 FAQ
這個技能只適用於 Fastify 應用嗎？
是，oauth 技能的核心是 Fastify 整合。如果你用的是其他技術棧，它仍可幫你推敲 OAuth 流程設計，但程式碼與安裝指引在 Fastify 後端中最有價值。
使用它需要有 OAuth 經驗嗎？
不需要，但你得先知道目標結果。初學者只要能回答像是供應商名稱、redirect URI，以及要登入還是要 API 存取這些基本設定問題，就能有效使用 oauth skill。如果這些都還不清楚，第一次產出的內容通常會比較弱。
什麼情況下不該用 oauth？
如果你只需要一次性的 OAuth 概念解釋，或你的應用程式根本不是 Fastify，就不建議使用它。在這些情況下，一般性的 oauth guide 可能就夠了；但它帶來的價值，會明顯低於在實作與除錯場景中的表現。
它比一般提示詞好在哪裡？
一般提示詞很常漏掉會讓 OAuth 專案出問題的流程細節：PKCE 處理、session 儲存、token 驗證，以及 redirect 不符的除錯。當你要的是可運作的後端整合，而不只是高階摘要時，oauth skill 會更強。
如何改善 oauth 技能
提供完整的流程與信任模型
最大的品質提升，來自你明確說出需要的是 authorization code with PKCE、client credentials、device flow，還是 token introspection。也要說清楚你的應用程式應該儲存 token、依賴 sessions，還是只當作 resource server。這樣 oauth skill 才不會給出過於寬泛的答案。
說明失敗模式，不只是目標
如果第一次嘗試失敗，請回傳精確錯誤與發生階段：登入 redirect、callback、token exchange、session 建立，或 API request。像是「Callback 因為 redirect URI 多了一個尾斜線而回傳 400」就比「OAuth 壞掉了」有用得多。
要求可直接實作的輸出
最好的 oauth usage 提示詞，會要求檔案、程式碼結構與驗證步驟。例如：「示範 Fastify plugin 註冊、callback handler，以及在本機開發時測試 Google OAuth 的檢查清單。」這樣你拿到的是能直接套用的內容，而不只是閱讀用摘要。
針對安全性與適配性反覆調整
拿到第一版結果後，請針對正式環境最重要的問題細化：scope 最小化、cookie flags、refresh token 輪替，以及 JWT 驗證規則。如果輸出看起來太泛，請把條件縮到單一供應商、單一應用型態與單一部署環境，讓 oauth skill 產生更準確的後端規劃。