القائمة
当你需要解释/排查 HTTP 或 WebSocket 的 401、127 回环例外、API Key 机制时使用；确保业务层不重复鉴权。
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
استنادا إلى تصنيف SOC المهني
当你需要从“应用视角”看 XRK-AGT（启动流程、Web 控制台、前后端协作、典型技术栈组合）时使用。
当你需要开发或排查 HTTP API（core/*/http/*.js）、理解 HttpApi 基类、HttpApiLoader、业务层约定时使用。
编写或审查 core/*/www 静态页、校园 WebView 兼容、HttpResponse 前端解包时使用。浏览器环境 ≠ Node 26。
编写或审查 core/src 代码时的写法与性能规范（全局裸名、状态、I/O、异步、HTTP）。改 Core 前必读。
当你需要快速理解 system-Core 提供哪些 HTTP API/工作流/插件/Tasker/Web 控制台能力，或定位某个模块在哪实现时使用。
当需要从整体理解 XRK-AGT 的架构、目录、运行流程和技术栈时使用。
| name | xrk-auth |
| description | 当你需要解释/排查 HTTP 或 WebSocket 的 401、127 回环例外、API Key 机制时使用；确保业务层不重复鉴权。 |
docs/AUTH.mdsrc/agent-runtime.js（_authMiddleware、checkApiAuthorization、wsConnect）src/infrastructure/http/runtime-auth.js、runtime-ws.js、auth.js/api/ 由 HttpApi + AgentRuntime.checkApiAuthorization；公开路由 systemAuth: false。127.* 回环免系统 Key；ai-workflow.tools.file.runEnabled=true 时 loopback 也强制 Key。wsConnect → runtime-ws；AgentRuntime.wsf[path] 可为 { handler, skipAuth: true } 跳过系统 Key。Header：X-API-Key、Authorization: Bearer|Token|ApiKey <key>、X-Auth-Token 等；或 query/body 的 api_key（及别名）。
Error.isError，勿 instanceof Error（skill xrk-node-runtime）。AbortSignal.timeout。