一、用途 该 Skill 用于为 React 应用接入 Supabase 身份认证，覆盖注册、登录、登出、邮件确认、密码找回、更新密码和重发邮件，并支持桌面浏览器 OAuth 登录。触发方式为自然语言请求，无需旧 slash 路径、参数插值或指定助手；仅查询说明或与上述结果无关的任务不会触发，仅预览或审查时不进入修改、提交或发布分支。
二、主要能力 读取现有框架、认证实现、Supabase client 与目标项目配置，使用应用自身的 Supabase URL 和 publishable key，不绑定作者生产账号或跨项目读取凭据。复用项目状态库与路由完成认证接入；表类型从目标 schema 生成，不假设存在固定的 profiles、user_roles 或管理员结构。建立单一会话订阅并清理监听，处理初始化、token 刷新、访客与错误态；所有服务端权限必须由 RLS 或后端验证，前端 isAdmin 不构成授权。浏览器 OAuth 配置当前站点允许的回跳地址，校验 redirect 路径以避免开放重定向，遵循当前 Supabase JS 文档及项目版本。
三、桌面端用法 Tauri/Electron 默认通过系统浏览器完成账号登录，使用 PKCE、产品专属深链和 redirect allowlist；先注册回调监听再打开浏览器，同时处理冷启动和已运行实例。回调严格校验 scheme、host、path、code 和 flow 标识，去重处理并完成 exchangeCodeForSession，不把 token 放入自定义 URL、日志或不可信 WebView。保留密码管理器与原生浏览器能力。
四、执行与限制 项目依赖版本与外部 API 在执行时核实，不假设示例为现行配置；随包脚本从 Skill 根解析，业务文件从目标项目根解析。先读当前状态，保护已有未提交内容与其他任务暂存区；分析、预览请求保持只读，修改、提交、推送、部署和发布各依当前请求的明确范围执行。不绕过保护、不自动发送消息、不强制结束用户进程或抢前台；失败保留可诊断原始错误。部署和修改共享认证配置需在请求范围内。验证需覆盖成功、取消、错误、刷新、登出、过期与密码恢复，桌面端须验证浏览器到应用的完整回跳。配置缺失时只问一个影响结果的问题；用户明确要求长期保存的值可通过 scripts/profile_store.py 原子写入并报告实际路径。