check-saaskit-prod

用途：帮助智能体完成 SaaSKit 生产环境的上线（go-live）检查清单。每项须记录 PASS 或 WAIVE 并附一行原因，记录完整后才可签署，随后停止。

主要能力与用法：

1. 建立记录：Steps 2–6 每项一行，列为 item、result（PASS/WAIVE）、reason（WAIVE 必填）。
2. 快速检查：读取 SCALEKIT_ENVIRONMENT_URL、SCALEKIT_CLIENT_ID、SCALEKIT_CLIENT_SECRET（注意不要用 SCALEKIT_ENV_URL），用 curl 请求 token 端点确认返回 200；搜索源码中不得有真实硬编码密钥。SCALEKIT_ENVIRONMENT_URL 须为 https://<subdomain>.scalekit.com。
3. 核心认证流程：登录授权 URL 启动托管流程、回调 URL 与 Authentication → Redirect URLs 一致、code 换 token、state 校验 CSRF、会话 cookie 使用 httpOnly/secure/sameSite: 'lax'、Session Policy 设超时与访问令牌有效期、令牌到期前刷新、登出清 cookie 并调用 getLogoutUrl 带 idTokenHint；每种启用的登录方式需完成注册→登录→登出。
4. 企业功能（仅在应用实际提供时检查，否则整组 WAIVE）：SSO（Okta、Entra ID 或 Google Workspace，SP 与 IdP 发起）、SCIM（webhook 校验签名、增改停用、user_deleted 仅停用）、MCP（/.well-known/oauth-protected-resource 公开、按工具强制 scope、令牌过期后重连）、RBAC（角色权限与受保护路由）、网络（白名单 <env>.scalekit.com、cdn.scalekit.com、fonts.googleapis.com）。
5. 监控：请用户打开 Dashboard → Auth Logs，检查日志监控、错误跟踪、告警、日志保留、事件 runbook，并跟踪登录成功率等指标。
6. 最终冒烟：用 implement-saaskit 完成登录、回调、cookie、登出验证，浏览器步骤需用户操作。

限制：不得编写 login（应使用 implement-saaskit），不得运行 dryrun（应使用 run-dryrun）；凭据仅存于环境变量；dashboard 与浏览器步骤为人工操作，需暂停等待用户；应用没有某项功能时应以原因 WAIVE，不得新增。相关技能：implement-saaskit、run-dryrun、implement-sso、implement-scim、check-agentkit-prod。