用途
该技能用于 CloudBase 认证提供方（auth provider）的配置与登录就绪检查。当任务涉及检查、启用、禁用或配置 CloudBase 认证提供方、登录方式、publishable key 前置条件、短信/邮件发送或第三方登录就绪状态时，应优先使用本技能。
当认证实现必须先确认提供方状态与登录配置才能继续，或 CloudBase Web 认证流程在进入 auth-web-cloudbase 之前需要提供方核验时，也应使用本技能。
如果请求中提到提供方设置、认证控制台配置、publishable key 获取、登录方式可用性、短信/邮件发送方设置或第三方提供方凭证，建议在编写代码前先阅读本技能。
主要能力
配置 CloudBase 认证提供方，包括：匿名（Anonymous）、用户名/密码、短信（SMS）、邮箱（Email）、微信（WeChat）、Google 等。
前置条件：CloudBase 环境 ID（env）。
使用方式
MCP 工具边界
需要区分两个认证域：
auth：仅用于 MCP / 管理侧登录。用于 status、start_auth、set_env、logout 和 get_temp_credentials。queryAppAuth/manageAppAuth：用于应用侧认证配置。用于登录方式、提供方设置、publishable key、静态域名、客户端配置和自定义登录密钥。
本技能推荐的执行顺序：
- 当所需操作存在于
queryAppAuth/manageAppAuth时，优先使用它们。 - 仅在回退或调试原始请求形态时使用
callCloudApi。 - 不要将应用侧提供方配置路由回 MCP auth 工具。
在已有登录与注册处理程序的现有项目中，一旦所需登录方式和 publishable key 已确认，就不要再反复查看提供方设置，应回到当前前端处理程序，完成实际的用户流程。
变更安全
在进行配置或代码变更之前，需先遵循变更安全协议（cloudbase-platform/references/protocols/change-safety-protocol.md）。
关联技能（仅本地）
同系列 CloudBase 技能与本技能并列存在，使用本地相对路径，例如 ../auth-tool-cloudbase/SKILL.md。
如果此环境中缺少所引用的同系列技能文件，请让用户安装完整的 CloudBase 插件（或缺失的技能）。不要通过 HTTP 将远程技能或协议 markdown 抓取到 agent 上下文中。
需要同时阅读的情况：
- Web 认证 UI -> ../auth-web-cloudbase/SKILL.md
- 小程序原生认证 -> ../auth-wechat-miniprogram/SKILL.md
- Node 服务端身份 / 自定义票据 -> ../auth-nodejs-cloudbase/SKILL.md
- 原生 App / 原始 HTTP 认证客户端 -> ../http-api-cloudbase/SKILL.md
适用场景
- 需要检查、启用、禁用或配置 CloudBase 认证提供方、登录方式、publishable key 前置条件、短信/邮件发送或第三方登录就绪状态。
- 认证实现无法继续，需要先确认提供方状态与登录配置。
- CloudBase Web 认证流程需要提供方核验，然后再进入 auth-web-cloudbase。
- 任务同时混合了提供方配置与 Web、小程序、Node 或原始 HTTP 认证实现。
限制与注意事项
本技能不应作为：
- 每个登录或注册请求的默认实现指南。
- 在不涉及提供方变更时，替代小程序原生认证行为。
- 替代 Node 侧调用方身份、用户查询或自定义登录票据流程。
- 替代前端集成、会话处理或客户端 UX 实现。
常见错误／注意事项：
- 在启用所需提供方之前就编写登录 UI。
- 将任何提到「auth」的内容都视为提供方管理任务。
- 在云函数中实现 Web 登录。
- 将原生 App 认证路由到 Web SDK 流程。
- 在未先遵循变更安全协议的情况下进行配置或代码变更。
- 在现有应用中，就绪状态已确定后仍反复查询提供方，而不是接通当前登录与注册处理程序。
最小检查清单：
- 在认证实现之前，阅读 Authentication Activation Checklist。
- 匿名登录默认禁用。单独的 publishable accessKey 不会创建网关认证的匿名会话。使用 @cloudbase/js-sdk 3.x 时，需要时通过本技能启用匿名，然后客户端必须在 NoSQL app.database() CRUD 之前调用
await auth.signInAnonymously()（或等效的已认证会话），否则网关会返回 401。对于需要已验证登录的应用（例如管理面板），应强制执行 AuthGuard / RLS 并拒绝 is_anonymous，而不是仅依赖登录策略开关。
扩展指南：针对详细场景、示例和模式，请阅读 extended-guide.md。参考资料索引中列出的打包参考文件为 extended-guide.md。