用途：这是 Scalekit SaaSKit 的生产就绪检查清单，用于上线前逐项验证认证与供应配置。按顺序执行，前面章节是后面章节的前置条件，不适用的章节可跳过。
主要能力：快速检查生产凭据（SCALEKIT_ENVIRONMENT_URL 应为 https://<subdomain>.scalekit.com 而非 .scalekit.dev，CLIENT_ID、CLIENT_SECRET 已设置）、HTTPS 强制与 CORS 限制、凭据仅存于环境变量、Webhook 密钥在环境变量中；核心认证流程检查重定向 URL 与后台一致、回调校验 state、令牌以 httpOnly/secure/sameSite: 'lax' 存储、刷新与登出（getLogoutUrl() 带 idTokenHint）；SSO 检查 Okta、Azure AD、Google Workspace 的 SP 与 IdP 发起流程、管理门户自助配置、JIT 供应；SCIM 检查 Webhook 签名校验、用户增删改、优先停用而非硬删除、快速返回 2xx；MCP 检查 /.well-known/oauth-protected-resource 元数据、按工具限制 scope、令牌过期后客户端重连；RBAC 检查角色权限与 API 端点强制；网络需为 VPN 客户放行 <your-env>.scalekit.com、cdn.scalekit.com、fonts.googleapis.com；监控与最终冒烟测试。
使用方式：按清单逐项核对，用 curl 测试令牌端点（期望 200）、用 node 生成带 organization_id 的授权 URL 触发 SSO、用 curl 加 jq 验证 well-known 端点、用 scalekit.verifyWebhookPayload 校验签名、用 scalekit.validateToken 查看 roles 与 permissions。最后在 staging 用生产凭据跑完整注册→登录→受保护路由→令牌刷新→登出流程。
限制：资料未提供具体版本、价格、平台支持范围或效果保证；部分检查依赖后台配置与目标 IdP 环境。