oauth
作者 mcollinaoauth 可帮助你在 Fastify 应用中实现和排查 OAuth 2.0/2.1，用于登录、access token、PKCE、refresh token 和路由保护。当你需要实用的 oauth 用法、安装步骤，以及处理 redirect URI、scope、CSRF 或 token 验证问题时，它可作为后端开发的 oauth 指南。
该技能得分 82/100，说明它是一个适合需要 OAuth 相关 Fastify 辅助的用户的可靠目录条目。仓库提供了足够具体的工作流指导，值得安装使用，不过用户仍应预期需要一定手动适配，因为该技能没有捆绑支持文件，也没有明确的安装命令。
- 针对 Fastify 中的 OAuth 2.0/2.1 任务，触发覆盖很强且很具体，包括 PKCE、client credentials、device flow、refresh rotation、JWT 验证以及 introspection/revocation。
- 工作流内容充实：有效的 frontmatter、较长的 SKILL.md 正文、标题、代码块以及仓库/文件引用，让这个技能比普通提示词更具可操作性。
- 从描述来看，安装决策价值高：它清楚说明了适用场景，并点出了 redirect URI 不匹配、CSRF 和 scope 问题等常见排障案例。
- 没有安装命令，也没有配套脚本/引用/资源，因此用户可能需要把示例自行转换到自己的项目结构中。
- 可见内容在实现指导方面很强，但明显偏 Fastify 专用，因此不太适合非 Fastify 的 OAuth 工作流。
oauth 技能概览
oauth 技能能做什么
oauth 技能可帮助你在 Fastify 应用中实现并排查 OAuth 2.0/2.1 流程，重点覆盖登录、访问令牌、路由保护、PKCE、刷新令牌和令牌校验。它最适合你在做后端工作时使用 oauth 技能，而不是只想了解 OAuth 的概念。
适合谁安装
如果你正在构建或维护 Fastify 后端，并且需要一份可复用的 oauth guide 来支持认证或授权决策，就应该安装 oauth。它适合已经知道提供方、回调 URL 和 session 策略，但需要帮助把这些要素落成可运行集成的工程师。
它为什么不同
这个技能不是通用的 OAuth 讲解器。它聚焦 Fastify 集成模式和常见运行问题：重定向 URI 不匹配、scope 处理、CSRF 防护、令牌轮换，以及对 RFC 6749、6750、7636、8252 和 8628 的合规要求。也正因为如此，当你的阻塞点是实现细节而不是术语时，oauth skill 会更有用。
如何使用 oauth 技能
在工作区中安装 oauth
使用标准安装流程：npx skills add mcollina/skills --skill oauth。技能添加完成后，先打开 SKILL.md，再查看 tile.json，了解简短摘要和任何仓库特有的命名线索。就这个仓库而言，没有额外的 rules/、resources/ 或 scripts/ 目录需要你去追。
给技能提供正确输入
oauth install 只是开始，输出质量取决于你把 OAuth 任务描述得有多清楚。高质量输入应明确提供方、流程、回调 URL、session 模型和安全约束。例如：“在 Fastify 中为 Google 登录配置 Authorization Code + PKCE，使用服务端 session，并使用 scope openid profile email。”这远比“加上 OAuth”有用得多。
从实现路径入手
在实际使用 oauth 时，先阅读 SKILL.md 里的分步部分，再把它映射到你的应用结构里。通常最有价值的第一遍是：
- 安装所需的 Fastify auth 依赖，
- 注册 OAuth 插件，
- 连接回调处理，
- 校验 token 和 session 状态，
- 验证重定向 URI 和 scope 行为。
为后端开发调整提示词
如果你要用 oauth for Backend Development，请说明会影响实现的环境约束：TypeScript 还是 JavaScript、cookie/session 策略、应用是服务端渲染还是纯 API、以及你需要一个提供方还是多个提供方。若你是在让技能排错，请附上具体错误、提供方返回内容，以及当前的回调或 token 校验代码路径。
oauth 技能常见问题
这个技能只适用于 Fastify 应用吗？
是的，oauth 技能的重心是 Fastify 集成。如果你用的是其他技术栈，它仍然可以帮助你梳理 OAuth 流程设计，但代码和安装指导在 Fastify 后端中最有价值。
使用它需要 OAuth 经验吗？
不需要，但你需要明确目标结果。只要能回答一些基础配置问题，比如提供方名称、重定向 URI，以及你想做登录还是 API 访问，初学者也能把 oauth skill 用好。如果这些信息都不清楚，第一次输出的质量就会打折。
什么情况下不该用 oauth？
如果你只是想临时了解一下 OAuth 概念，或者你的应用根本不使用 Fastify，就不要用它。在这些情况下，通用的 oauth guide 可能就够了；但在实现和排错场景里，这个技能的价值会更高。
它比普通提示词好在哪？
普通提示词常常会漏掉那些真正会把 OAuth 项目弄坏的流程细节：PKCE 处理、session 存储、令牌校验和重定向不匹配排查。oauth skill 更适合你想要的是一个能跑通的后端集成，而不只是高层概述。
如何改进 oauth 技能
提供准确的流程和信任模型
最大幅度提升质量的方法，是明确说明你需要的是带 PKCE 的 authorization code、client credentials、device flow，还是 token introspection。也要说清楚应用是保存 token、依赖 session，还是只作为 resource server。这样 oauth skill 才不会给出过于宽泛的回答。
说明失败模式，而不只是目标
如果第一次尝试失败，请发送精确错误以及它发生在哪个阶段：登录重定向、回调、token exchange、session 创建，还是 API 请求。例如，“回调返回 400，因为 redirect URI 只差了一个尾随斜杠”就比“OAuth 坏了”有用得多。
请求可直接落地的输出
最好的 oauth usage 提示词会要求文件、代码结构和验证步骤。例如：“展示 Fastify 插件注册、回调处理器，以及在本地开发中测试 Google OAuth 的检查清单。”这样你拿到的是可以直接应用的内容，而不只是阅读材料。
在安全性和适配性上持续迭代
拿到第一版结果后，围绕生产环境最重要的问题继续细化：scope 最小化、cookie 标志、刷新令牌轮换，以及 JWT 校验规则。如果输出显得过于泛泛，就把范围收窄到一个提供方、一种应用类型和一个部署环境，这样 oauth skill 才能给出更准确的后端方案。