用途：该技能读取 replica/architecture.md，编写迁移与服务器代码，并持续更新 replica/backend.md 清单，用于为应用克隆搭建后端。
主要能力：
- 认证：邮箱注册与验证、密码重置、magic link；支持使用用户自有开发者应用接入 Google、Apple OAuth；http-only secure cookie 会话，支持全部设备登出；按需实现 owner/admin/member 等角色团队，以及账号删除。
- 数据库：根据 architecture.md 编写迁移并纳入版本控制、由脚本执行；每张表设置访问规则（Supabase 行级安全策略，或每个查询调用授权函数）；提供假数据种子脚本；确认托管方每日备份已开启。
- 支付：使用 Stripe Checkout 订阅计划、Customer Portal 变更与取消，不自建卡表单；处理并校验 webhook 签名，存储事件 id，保证处理器幂等，处理 checkout.session.completed、customer.subscription.updated、customer.subscription.deleted、invoice.payment_failed；订阅状态存于自建数据库，由 webhook 更新，不信任客户端；取消须一键完成。
- 邮件与后台任务：通过 Resend 或 Postmark 从自有域名发送事务邮件；时间相关任务有重试与死信日志，时间用 UTC 存储、按用户时区显示。
- 集成：按功能矩阵记录官方 API、所需最小 OAuth scope、提供方审核流程与速率限制；如 Google Calendar 需提前申请 OAuth 验证。
- 安全清单：密钥仅存环境变量，.env* 加入 .gitignore，不进入客户端包；每条路由做服务端输入校验；每次读写检查授权并用第二个用户测试；认证、注册及发信发短信接口限流；webhook 校验签名；上传限制大小与类型并从独立域名或存储桶提供；URL 与日志不含用户数据；运行 npm audit；隐私政策列出所有处理方。
使用方式：用户自行创建账号与密钥（Stripe、Supabase、Resend、Google Cloud 等），将密钥放入 .env.local；Claude 不注册服务、不输入密码或卡号，只编写 .env.example 列出全部变量名。先使用 Stripe 测试密钥与测试卡，直到 replica-deploy 再切换。
限制：仅使用官方公开 API 与用户自有密钥，禁止调用原应用私有端点、复用其 OAuth 客户端或经其代理；暂未提供具体安装命令、价格与平台支持等更多信息。