这是一个面向 Scalekit AgentKit（agent-auth）集成的生产就绪检查清单，用于在正式上线前系统性地核验连接账号授权、连接器 OAuth 令牌保管库与工具调用相关配置。清单按区段顺序执行，前段的阻塞项未勾选前不得声明生产就绪。
用途 用于上线前的逐项验证与签核，确保集成在真实生产凭证与生产环境下通过完整 OAuth 流程、令牌管理、安全与运维检查。
主要能力与检查项
- 环境与凭证：确认 SCALEKIT_ENVIRONMENT_URL 以 .scalekit.com 结尾而非 .scalekit.dev 沙箱；确认 SCALEKIT_CLIENT_ID 与 SCALEKIT_CLIENT_SECRET 已设置；密钥仅存于环境变量，禁止硬编码进代码库。
- 快速检查：通过 echo 环境变量与 curl 调用 /oauth/token（client_credentials）验证令牌端点返回 200。
- 基础要求：所有认证端点强制 HTTPS；全项目搜索硬编码密钥（示例使用 rg 命令排除 .git 与 node_modules）；仪表盘中注册的 Redirect URI 与代码实际发送值完全一致。
- OAuth 令牌流程：验证授权 URL 生成与正确 scope；校验回调 state 参数以防 CSRF；测试授权码换取 access 与 refresh token；确认 access token 安全存储（不得存于 localStorage 或日志）；测试到期前自动刷新与并发请求下的刷新正确性（无竞争条件）；测试 refresh token 过期时提示用户重新授权；验证登出时撤销并清除已存令牌。
- 逐连接服务测试：对每个服务（Gmail、Slack、Notion 等）端到端测试 OAuth 流程；确认请求最小必要 scope；验证有效 access token 的 API 调用成功、过期令牌触发刷新、第三方应用撤销权限后的处理行为。
- 安全：access token 不得出现在日志或错误信息中；refresh token 静态加密存储；令牌存储按用户隔离，禁止跨用户访问；如适用，webhook/回调端点校验签名。
- 监控与事件响应：配置认证日志监控（用户需在仪表盘查看）；为 OAuth 失败与令牌刷新错误配置错误追踪；为反复授权失败配置告警；配置日志保留策略；编写事件响应手册（联系人、如何撤销受损令牌）。
- 关键指标：令牌刷新成功/失败率、OAuth 完成率（发起 vs 完成）、各服务 API 错误率、令牌过期分布。
- 最终冒烟测试：在生产 Scalekit 环境（.scalekit.com）以非客户测试用户跑完整循环，宿主应用可本地或预发但凭证必须是生产 AgentKit 环境变量。步骤包括创建测试用户连接账号并校验状态、生成授权链接由用户在浏览器完成 OAuth 后确认状态为 ACTIVE、获取 access token 并调用下游 API、等待过期或强制刷新以验证自动刷新、在第三方应用撤销访问后验证优雅错误处理。
使用方式 清单中的仪表盘与浏览器 OAuth 步骤需用户手动完成；Agent 可执行 SDK/curl 步骤，并在需要浏览器或仪表盘时暂停等待用户。SDK 路径可参考 integrating-agentkit 或使用 Scalekit MCP 服务器。
适用场景与限制 适用于使用 Scalekit AgentKit 做连接账号授权与连接器 OAuth 的团队在上线前做就绪检查。限制：浏览器与仪表盘操作必须由用户完成；Agent 无法打开仪表盘；不得在早期区段存在未勾选阻塞项时签核生产就绪。