Configure email verification, implement password reset flows, set password policies, and customise hashing algorithms for Better Auth email/password authentication. Use when users need to set up login, sign-in, sign-up, credential authentication, or password security with Better Auth.
快速开始要求运行 `npx auth@latest migrate`。`@latest` 会选择执行时发布的版本，而不是用户已审查或锁定的版本；npx 还可能下载并执行该包。
如果上游版本被入侵、名称解析到意外包或新版本行为发生变化，它可在开发者权限下执行代码。迁移还可能修改认证数据库结构，造成兼容性或可用性问题。
该命令不仅引用未固定的 `@latest`，还要求执行 `migrate`。在 npx 需要获取包时，远程发布的新版本会在用户环境中执行，并可能修改认证数据库结构。源码没有提供版本校验、迁移预览或回滚说明。用户可要求固定包版本、发布校验信息，以及先备份并审查迁移计划。
3. Add `sendResetPassword` for password reset flows4. Run `npx auth@latest migrate`5. Verify: attempt sign-up and confirm verification email triggers示例在密码成功重置后，将完整用户邮箱插入 console 日志。生产环境通常会集中收集和长期保存这些日志。
能访问日志的人员或日志服务可看到哪些邮箱拥有账户以及何时发生密码重置；这会扩大个人数据暴露范围，并可辅助定向钓鱼。
这是标注为可选的事件钩子示例，不会仅因阅读 Skill 自动运行；但若用户照搬并启用，它会在每次成功重置后把完整邮箱写入 console。若生产日志被集中收集或长期保留，这会扩大个人信息的访问和留存范围。用户可要求作者默认省略或脱敏该字段，并限制日志访问、留存和导出。
// Optional event hook onPasswordReset: async ({ user }, request) => { // your logic here console.log(`Password for user ${user.email} has been reset.`); }, }, }, // Optional event hook onPasswordReset: async ({ user }, request) => { // your logic here console.log(`Password for user ${user.email} has been reset.`); }, },示例用 `void sendEmail(...)` 丢弃邮件 Promise，因此回调会在发送完成或失败前返回。后面的 serverless 建议只能等待被交给 handler 的 Promise；此示例没有把该邮件 Promise 交给它。
在请求结束后会冻结进程的 serverless 环境中，重置邮件可能未发送；发送失败也无法由此回调可靠处理，导致用户无法恢复账户。
密码重置示例用 `void` 启动邮件发送后立即让回调返回，因此发送失败不会由该回调等待或传播；在可能冻结进程的 serverless 环境中，邮件也可能未完成。后文虽建议使用 `waitUntil` 类处理器，但示例没有返回邮件 Promise 或显式把它传给该处理器。用户可要求作者展示两者的实际连接方式，并在部署平台上验证发送完成和失败处理。
// Custom email sending function to send reset-password email sendResetPassword: async ({ user, url, token }, request) => { void sendEmail({ to: user.email, subject: "Reset your password", text: `Click the link to reset your password: ${url}`, }); }, // Optional event hookOn serverless platforms, configure a background task handler:```tsexport const auth = betterAuth({ advanced: { backgroundTasks: { handler: (promise) => { // Use platform-specific methods like waitUntil waitUntil(promise); }, },安装命令没有指定依赖版本。同样的命令以后可能下载不同代码，你实际安装的内容可能与这次检查时不同。
即使命令和报告没变，以后安装时也可能下载到另一份代码。
快速开始明确要求运行带 `@latest` 的 npx 命令。若本机没有对应包，npx 可能下载并执行运行时的最新版本，因此将来执行的代码可能不同于当前审查版本，并会进行数据库迁移。用户可要求作者给出经过验证的固定版本及迁移前备份、预览步骤，或仅允许使用项目锁文件中的本地 CLI。
3. Add `sendResetPassword` for password reset flows4. Run `npx auth@latest migrate`5. Verify: attempt sign-up and confirm verification email triggers该 Skill 配置邮件验证发送，但只有启用 requireEmailVerification 才会阻止未验证用户登录；单独发送验证邮件并不强制验证。
For stricter security, enable `emailAndPassword.requireEmailVerification` to block sign-in until the user verifies their email. When enabled, unverified users will receive a new verification email on each sign-in attempt.```tsexport const auth = betterAuth({ emailAndPassword: { requireEmailVerification: true, },});```密码重置令牌默认一小时过期且成功使用后删除；撤销现有会话是需要另外开启的选项。
Tokens expire after 1 hour by default. Configure with `resetPasswordTokenExpiresIn` (in seconds):Tokens are single-use — deleted immediately after successful reset.Enable `revokeSessionsOnPasswordReset` to invalidate all existing sessions on password reset:```tsexport const auth = betterAuth({ emailAndPassword: { enabled: true, revokeSessionsOnPasswordReset: true, },该 Skill 允许替换密码哈希算法，并明确警告直接切换会使旧密码无法登录，因此现有系统需要迁移策略。
To use Argon2id or another algorithm, provide custom `hash` and `verify` functions:**Note**: If you switch hashing algorithms on an existing system, users with passwords hashed using the old algorithm won't be able to sign in. Plan a migration strategy if needed.下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。
SKILL.md已纳入全文这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。
SKILL.md工作说明3. Add `sendResetPassword` for password reset flows4. Run `npx auth@latest migrate`5. Verify: attempt sign-up and confirm verification email triggersAlways use absolute URLs (including the origin) for callback URLs in sign-up and sign-in requests. This prevents Better Auth from needing to infer the origin, which can cause issues when your backend and frontend are on different domains.const { data, error } = await authClient.signUp.email({ callbackURL: "https://example.com/callback", // absolute URL with origin}); email: "john.doe@example.com", // required redirectTo: "https://example.com/reset-password", },