xrk-auth

当你需要解释/排查 HTTP 或 WebSocket 的 401、127 回环例外、API Key 机制时使用；确保业务层不重复鉴权。

Opciones de instalación

De forma predeterminada está seleccionado el prompt que primero revisa el origen. Puedes cambiar a un comando directo o descargar una copia local.

Instalar con Codex o Claude Copia este prompt, pégalo en Codex, Claude u otro asistente, y deja que revise la página de la skill y la instale por ti.

Un comando directo omite el prompt de revisión. Revisa el origen antes de ejecutarlo.

npx skills add https://github.com/sunflowermm/XRK-AGT --skill xrk-auth

El comando permanece en una sola línea. Desplázate horizontalmente para revisarlo antes de copiarlo.

¿Prefieres una copia local? Descarga los archivos que SkillsMP tiene disponibles ahora.

Lee SKILL.md y los archivos complementarios que muestra SkillsMP antes de decidir si quieres instalarlo.

SKILL.md

Instrucciones de origen · Vista previa de solo lectura

编写或审查 core/*/www 静态页、校园 WebView 兼容、HttpResponse 前端解包时使用。Core www 走浏览器兼容层（xrk-www-compat）。含零配置静态与有 sign.json（纯静态/产物/反代，sign↔server 合并）挂载。

编写或审查 core/src 代码时，确保使用 Node 26 稳定 API，禁止旧写法（fetch/exec/错误/二进制）。AI 改 Core 前必读。

当你需要开发/排查 HTTP 抓取、SSRF、Playwright 受控浏览器、本地字体增强截图，或判断 web_fetch 与 browser 工作流如何选型时使用。

name	xrk-auth
description	当你需要解释/排查 HTTP 或 WebSocket 的 401、127 回环例外、API Key 机制时使用；确保业务层不重复鉴权。

docs/AUTH.md
门面：src/agent-runtime.js（_authMiddleware、checkApiAuthorization、wsConnect）
实现：src/infrastructure/http/runtime-auth.js、runtime-ws.js、auth.js

/api/ 由 HttpApi + AgentRuntime.checkApiAuthorization；公开路由 systemAuth: false。
默认所有客户端须 API Key；server.auth.loopbackExempt===true 时才允许「本机 Host+127」免 Key（公网/反代勿开）。runEnabled=true 时即便 exempt 也强制 Key。
控制台鉴权模式：公开 GET /api/system/auth-mode → requiresKey；禁止用无 Key 打受保护接口靠 401 探测。
WS：wsConnect → runtime-ws；AgentRuntime.wsf[path] 可为 { handler, skipAuth: true } 跳过系统 Key。

Header：X-API-Key、Api-Key、Authorization: Bearer|Token|ApiKey <key>；查询仅 api_key / apiKey。不接受 body 与 token/key 等易撞字段。