用途：使用 Better Auth 实现 OAuth 2.1 / OIDC 认证，既可搭建集中式认证服务器（SSO 提供方），也可将应用集成为 SSO 客户端。
主要能力：提供 MCP 服务器辅助配置，适合初次搭建 Better Auth、添加 OIDC provider 插件、排查认证问题与理解认证流程；自定义中间件则建议直接参考文档中的模式。架构上由一个 Better Auth SSO 认证服务器对接多个 SSO 客户端应用。
使用方式：安装依赖 npm install better-auth @better-auth/oidc-provider drizzle-orm；在 src/lib/auth.ts 中通过 betterAuth 配置数据库适配器、邮箱密码登录、会话有效期，并启用 oidcProvider 插件（可设置 loginPage、consentPage、requirePKCE）。用 auth.api.createOAuthClient 注册客户端，public 类型配合 PKCE。客户端侧安装 jose，配置 NEXT_PUBLIC_SSO_URL 与 NEXT_PUBLIC_SSO_CLIENT_ID，实现 PKCE 授权码流程、令牌交换、JWKS 校验、令牌刷新与全局登出。MCP 可通过 claude mcp add --transport http better-auth https://mcp.chonkie.ai/better-auth/better-auth-builder/mcp 添加。
适用场景：需要统一登录的多个应用、SSO 单点登录、OIDC 提供方搭建。
限制与注意：令牌应存于 httpOnly cookie 而非 localStorage，使用 SameSite=Lax 防 CSRF；PKCE verifier 需在重定向前存入 cookie；JWKS 获取失败需检查认证服务器 CORS；同意页循环需确保保存决定。资料未提供收费、价格与平台支持等细节。