菜单
当你需要解释/排查 HTTP 或 WebSocket 的 401、127 回环例外、API Key 机制时使用；确保业务层不重复鉴权。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
当你需要从“应用视角”看 XRK-AGT（启动流程、Web 控制台、前后端协作、典型技术栈组合）时使用。
当你需要开发或排查 HTTP API（core/*/http/*.js）、理解 HttpApi 基类、HttpApiLoader、业务层约定时使用。
编写或审查 core/*/www 静态页、校园 WebView 兼容、HttpResponse 前端解包时使用。浏览器环境 ≠ Node 26。
编写或审查 core/src 代码时的写法与性能规范（全局裸名、状态、I/O、异步、HTTP）。改 Core 前必读。
当你需要快速理解 system-Core 提供哪些 HTTP API/工作流/插件/Tasker/Web 控制台能力，或定位某个模块在哪实现时使用。
当需要从整体理解 XRK-AGT 的架构、目录、运行流程和技术栈时使用。
| name | xrk-auth |
| description | 当你需要解释/排查 HTTP 或 WebSocket 的 401、127 回环例外、API Key 机制时使用；确保业务层不重复鉴权。 |
docs/AUTH.mdsrc/agent-runtime.js（_authMiddleware、checkApiAuthorization、wsConnect）src/infrastructure/http/runtime-auth.js、runtime-ws.js、auth.js/api/ 由 HttpApi + AgentRuntime.checkApiAuthorization；公开路由 systemAuth: false。127.* 回环免系统 Key；ai-workflow.tools.file.runEnabled=true 时 loopback 也强制 Key。wsConnect → runtime-ws；AgentRuntime.wsf[path] 可为 { handler, skipAuth: true } 跳过系统 Key。Header：X-API-Key、Authorization: Bearer|Token|ApiKey <key>、X-Auth-Token 等；或 query/body 的 api_key（及别名）。
Error.isError，勿 instanceof Error（skill xrk-node-runtime）。AbortSignal.timeout。