Skills · Claude Code · Agent Skills
身份不等于邮箱，登录也不能成为一堵墙，没有商量余地。
由 auth.{域名} 的唯一代理确认用户是谁，并向各应用证明：所有客户端使用 PKCE、非对称 JWT、至少 2 个因素、默认拒绝的 ReBAC，以及不弱于登录的账户恢复。
schematize-iam · v0.2.1bash
$ schematize install iam不可妥协的底线
不会为了"更快"而关闭。完整清单见该 skill。
Auth 是独立应用
在 auth.{域名} 拥有独立的服务、前端、仓库和用户；所有登录与注册都在那里完成，应用通过 code + PKCE 委托。
签名密钥只存在于 auth
prd 中缺少密钥时服务拒绝启动；使用方通过 JWKS 验证并检查 iss。
所有客户端使用 PKCE S256
禁止 Implicit、ROPC 和 PKCE plain；redirect_uri 必须与白名单精确匹配。
非对称 JWT 与精简令牌
算法使用白名单，拒绝 none 和 HS*；刷新令牌不透明、存哈希、轮换并检测重用。
不透明的内部 ID
sub 不可变且不透明；邮箱和电话绝不作为 ID，且只有验证后才有效。
至少 2 个因素，登录前无门槛
密码加邮箱 OTP 即满足基础 2FA；强因素是提示和按需的 step-up，登录前绝不强制。
通行密钥是核心
WebAuthn 具备真实的注册与断言流程；密码使用 argon2id 并比对已泄露密码库。
多租户 ReBAC，默认拒绝
服务端 PDP/PEP、决策可审计、元组经 outbox 写入、PDP 失败即关闭；所有接受令牌的路径上登出都不可逆。
命令
安装在 .claude/commands/。随时运行 /iam-help。
/iam-audit对照基础的 F0-F6 检查清单逐项衡量 IAM 覆盖度，并附证据。/iam-authz为服务建立多租户 ReBAC 授权模型：路由到权限、元组、outbox 以及失败即关闭。/iam-ccContext compact：把 handoff 写入 archive 并运行 /compact。/iam-claude在仓库根目录创建或合并常驻的 IAM基线 CLAUDE.md（不会覆盖其他 skill 的区块）。/iam-client通过 authorization code + PKCE 将客户端（Web/BFF、SPA、移动端、CLI）接入代理。/iam-handoff在不压缩的前提下，把上下文 handoff（context.md + checklist.md）写入 archive。/iam-help列出所有命令及其作用。/iam-load强制加载IAM的全部规范内容，并在本次会话中应用。/iam-recover设计或审计账户恢复与 step-up，并按账户状态证明可达性。/iam-review对照基线审查认证代码与配置：运行门禁，再人工阅读机器读不到的部分。面向 AI 智能体
无需人工介入即可安装。元数据见 llms.txt。
- 运行：git clone https://github.com/schematizeme/skill-iam.git && ./skill-iam/install.sh
- 或下载：https://github.com/schematizeme/skill-iam/releases/latest/download/skill-iam.zip 并解压到 .claude/skills/
- 将 assets/CLAUDE.md 复制到仓库根目录（常驻规则）。
- 用 /iam-help 确认。
讨论
加载中…