API Authentication 是一个面向 API 认证与授权的实现指南类技能，来自 aj-geddes/useful-ai-prompts。
用途 它用于在服务端实现完整的 API 认证策略，主要覆盖四类方案：JWT 令牌、OAuth 2.0、API 密钥和会话管理。文档说明其适用场景包括：保护 API 端点、实现用户登录/登出流程、管理访问令牌与刷新令牌、集成 OAuth 2.0 提供方、保护敏感数据、实现 API 密钥认证。
主要能力 文档提供了 Node.js 与 Python 两条实现路径。快速开始部分给出 Node.js 的 JWT 实现示例，使用 express、jsonwebtoken 和 bcrypt，包含 /api/auth/login 登录端点：从请求体读取 email 与 password，在数据库中查找用户，未找到则返回 401 Invalid credentials；使用 bcrypt.compare 校验密码，不匹配同样返回 401。示例中通过环境变量读取密钥，JWT_SECRET 与 REFRESH_SECRET 均提供默认回退值（'your-secret-key' 与 'your-refresh-secret'），并注明完整实现需查看参考指南。
参考指南目录包含四份详细实现文档：JWT Authentication、OAuth 2.0 Implementation、API Key Authentication、Python Authentication Implementation。
使用方式 按照文档结构，先阅读概述与适用场景，再从 Quick Start 的最小可用示例起步，随后按所选方案进入 references/ 目录下的对应指南完成完整实现。示例中提及的代码片段为节选，实际使用需参照参考指南补全。安装命令与依赖版本信息暂未提供。
最佳实践 文档明确列出应做与不应做的清单。应做：所有认证走 HTTPS；令牌安全存储（HttpOnly Cookie）；实现令牌刷新机制；设置合理的令牌过期时间；密码加盐哈希；使用强密钥；每次请求校验令牌；对认证端点实施限流；记录认证尝试；定期轮换密钥。不应做：明文存储密码；在 URL 参数中发送令牌；使用弱密钥；在 JWT 载荷中存放敏感数据；忽略令牌过期；生产环境禁用 HTTPS；记录敏感令牌；跨服务复用 API 密钥；将凭据写入代码。
适用场景与限制 该技能适合需要在后端建立登录、令牌签发与校验、OAuth 集成的开发场景。限制方面：文档给出的示例明确标注为节选，未展示完整实现；除 Node.js 示例外，OAuth 2.0、API 密钥、会话管理与 Python 实现的具体代码需查阅参考指南；示例中提供的默认密钥仅作占位，不应在生产中使用。价格、授权许可、依赖版本与平台支持等信息暂未提供。