不過 auth 好像還是應該看如何抽開 像 lfrest 有需要 pgparam cookie extract, 可是不需要 passport