Eve Auth and Secrets 是 Eve 平台中用于身份认证与密钥管理的工作流技能包，主要帮助用户登录 Eve、管理应用密钥，并为 Eve 部署的应用添加 SSO 登录。
一、用途与适用场景 该工作流适用于以下情况：设置新的项目配置、认证失败排查、添加或轮换密钥、部署期间出现密钥插值错误、设置身份提供商或组织邀请、为 Eve 部署的应用添加 SSO 登录、设置访问组与作用域数据平面授权、为环境数据库配置组感知 RLS。
二、认证方式 Eve 使用挑战-应答认证，默认提供商为 github_ssh：客户端发送 SSH 公钥指纹，服务器返回挑战（随机字节），客户端用私钥签名挑战，服务器验证签名并签发 JWT。常用命令包括 eve auth login、eve auth login --ttl 30（自定义令牌 TTL，1-90 天）、eve auth status。
令牌类型分为三类：用户令牌（通过 eve auth login 签发，用于交互式 CLI 会话）、作业令牌（由 Worker 自动签发，用于作业内的智能体执行）、铸造令牌（通过 eve auth mint 签发，用于机器人/服务账号）。JWT 载荷包含 sub（用户 ID）、org_id、scope 和 exp。可通过 JWKS 端点验证令牌：GET /auth/jwks。角色和组织成员变更立即生效，服务器从实时数据库成员关系解析权限，而非使用过期的 JWT 声明。当请求包含 project_id 但不含 org_id 时，权限守卫会从项目所属组织推导组织上下文。
三、权限与身份提供商 可用 eve auth permissions 检查当前令牌权限。可通过 API 注册额外身份以实现多提供商访问。Eve 支持可插拔身份提供商：github_ssh（SSH 挑战-应答，默认 CLI 登录）和 nostr（NIP-98 请求认证 + 挑战-应答，面向 Nostr 原生用户）。Nostr 认证有两条路径：挑战-应答（使用 eve auth login --provider nostr）和 NIP-98 请求认证（每个 API 请求用 Kind 27235 事件签名，无状态、不存储令牌）。
四、组织邀请与访问申请 可通过 CLI 或 API 邀请外部用户，支持 SSH 密钥注册、GitHub 身份、基于 Web 的认证（Supabase）等方式。若未指定认证方式，CLI 会警告用户将无法登录。用户也可通过 eve auth request-access 自助申请访问，管理员通过 eve admin access-requests 批准或拒绝。审批是原子且幂等的。
五、令牌铸造与凭证检查 管理员可为机器人/服务用户铸造令牌（eve auth mint），支持自定义 TTL 和项目作用域。eve auth creds 可验证本地 AI 工具凭证（Claude + Codex），输出包含令牌类型、预览和过期时间。
六、OAuth 令牌同步 eve auth sync 可将本地 Claude/Codex OAuth 令牌同步到 Eve 密钥，作用域优先级为项目 > 组织 > 用户。Claude 令牌分为 setup-token（长期有效，推荐用于作业和自动化）和 oauth（短期约 15 小时，用于交互式开发）。Codex/Code 令牌在每次 harness 调用后自动写回。
七、访问组与作用域访问 组是一等授权原语，用于划分数据平面访问（组织文件系统、组织文档、环境数据库）。可创建组、添加成员、绑定带作用域约束的角色。作用域类型包括组织文件系统（orgfs.allow_prefixes 等）、组织文档（orgdocs）和环境数据库（envdb.schemas、envdb.tables）。
八、组感知 RLS 通过 eve db rls init --with-groups 可为环境数据库搭建基于组的行级安全辅助函数（app.current_user_id()、app.current_group_ids()、app.has_group()），在 RLS 策略中使用。
九、策略即代码（v2） 可在 .eve/access.yaml 中声明组、角色和作用域绑定（version: 2），通过 eve access validate/plan/sync 进行验证、规划和同步。同步是声明式的，会创建、更新和修剪以匹配 YAML。
十、密钥轮换 轮换 JWT 签名密钥：设置 EVE_AUTH_JWT_SECRET_NEW 与现有密钥并存，服务器用新密钥签名但在宽限期内接受两者，宽限期（EVE_AUTH_KEY_ROTATION_GRACE_HOURS）后移除旧密钥。紧急轮换：仅设置新密钥（立即失效所有现有令牌）。
十一、应用 SSO 集成 使用两个共享包 @eve-horizon/auth（后端）和 @eve-horizon/auth-react（前端）为 Eve 部署的应用添加 SSO 登录。平台自动注入 EVE_SSO_URL、EVE_ORG_ID、EVE_PROJECT_ID 和 EVE_API_URL。支持魔法链接登录（x-eve.auth.login_method: magic_link）、魔法链接确认中间页（安全防护）、基于域名的注册（Path C 自动附加）、应用组织访问和管理员邀请等。
十二、限制 资料未提供该技能包的收费、价格、平台兼容性等具体信息。