ログイン
  ↓ GoTrueがJWTを発行
Access Token（JWT、1時間有効）＋ Refresh Token（長期）
  ↓ 以降のリクエストに自動付与
PostgreSQL側で auth.uid() が JWT の sub を取り出す
  ↓
RLSポリシーで照合 → 行のアクセス制御

// サインアップ（確認メールが送られる）
const { data, error } = await supabase.auth.signUp({
  email: 'user@example.com',
  password: 'password',
})

// ログイン
const { data, error } = await supabase.auth.signInWithPassword({
  email: 'user@example.com',
  password: 'password',
})

// ログアウト
await supabase.auth.signOut()

// 現在のユーザーを取得（サーバー検証あり・推奨）
const { data: { user } } = await supabase.auth.getUser()

// セッションを取得（キャッシュ参照のみ・セキュリティ処理に使ってはいけない）
const { data: { session } } = await supabase.auth.getSession()

// Googleでログイン（リダイレクト方式）
await supabase.auth.signInWithOAuth({
  provider: 'google',
  options: {
    redirectTo: 'https://example.com/auth/callback',
  },
})

// GitHubでログイン
await supabase.auth.signInWithOAuth({
  provider: 'github',
})

// ① MFAファクターの登録開始（QRコードを表示する）
const { data, error } = await supabase.auth.mfa.enroll({
  factorType: 'totp',
  friendlyName: 'My Authenticator App',
})
// data.totp.qr_code → QRコードのSVG
// data.totp.secret  → 手動入力用のシークレットキー

// ② ユーザーがアプリで表示されたコードを入力 → チャレンジ作成
const { data: challenge } = await supabase.auth.mfa.challenge({
  factorId: data.id,
})

// ③ コードを検証してMFA登録を完了
const { data: verified } = await supabase.auth.mfa.verify({
  factorId: data.id,
  challengeId: challenge.id,
  code: '123456', // ユーザーが入力した6桁コード
})

// 通常のログイン後、MFAが必要かチェック
const { data: { session } } = await supabase.auth.getSession()

if (session?.user.factors && session.user.factors.length > 0) {
  // MFA検証が必要
  const { data: challenge } = await supabase.auth.mfa.challenge({
    factorId: session.user.factors[0].id,
  })

  // ユーザーにコードを入力させて検証
  await supabase.auth.mfa.verify({
    factorId: session.user.factors[0].id,
    challengeId: challenge.id,
    code: userInputCode,
  })
}

# Supabase CLIでSAML IdPを登録（v1.46.4以上が必要）
supabase sso add \
  --project-ref <project-ref> \
  --type saml \
  --metadata-url https://your-idp.com/saml/metadata

# 登録済みIdP一覧を確認
supabase sso list --project-ref <project-ref>

// SSOでのサインイン（メールドメインで自動的にIdPを判別）
await supabase.auth.signInWithSSO({
  domain: 'company.com', // そのドメインに紐付いたIdPを使用
})

// IdPのUUIDを直接指定する場合
await supabase.auth.signInWithSSO({
  providerId: 'your-idp-uuid',
})

Supabase Auth（OAuth 2.1 Server）
  ↓ Authorization Code Flow with PKCE
MCPクライアント / サードパーティアプリ
  ↓ Access Token（通常のSupabase JWT）
Supabase DB（RLSが自動適用）

// lib/supabase/client.ts（Client Components用）
import { createBrowserClient } from '@supabase/ssr'

export const createClient = () =>
  createBrowserClient(
    process.env.NEXT_PUBLIC_SUPABASE_URL!,
    process.env.NEXT_PUBLIC_SUPABASE_ANON_KEY!
  )

// lib/supabase/server.ts（Server Components・Route Handler用）
import { createServerClient } from '@supabase/ssr'
import { cookies } from 'next/headers'

export const createClient = async () => {
  const cookieStore = await cookies()
  return createServerClient(
    process.env.NEXT_PUBLIC_SUPABASE_URL!,
    process.env.NEXT_PUBLIC_SUPABASE_ANON_KEY!,
    {
      cookies: {
        getAll: () => cookieStore.getAll(),
        setAll: (cookiesToSet) => {
          cookiesToSet.forEach(({ name, value, options }) =>
            cookieStore.set(name, value, options)
          )
        },
      },
    }
  )
}

// middleware.ts
import { createServerClient } from '@supabase/ssr'
import { NextResponse, type NextRequest } from 'next/server'

export async function middleware(request: NextRequest) {
  let supabaseResponse = NextResponse.next({ request })

  const supabase = createServerClient(
    process.env.NEXT_PUBLIC_SUPABASE_URL!,
    process.env.NEXT_PUBLIC_SUPABASE_ANON_KEY!,
    {
      cookies: {
        getAll: () => request.cookies.getAll(),
        setAll: (cookiesToSet) => {
          cookiesToSet.forEach(({ name, value }) =>
            request.cookies.set(name, value)
          )
          supabaseResponse = NextResponse.next({ request })
          cookiesToSet.forEach(({ name, value, options }) =>
            supabaseResponse.cookies.set(name, value, options)
          )
        },
      },
    }
  )

  // ⚠️ getUser()を必ず呼ぶ。これがセッション更新をトリガーする
  const { data: { user } } = await supabase.auth.getUser()

  // 未認証ユーザーをリダイレクト
  if (!user && request.nextUrl.pathname.startsWith('/dashboard')) {
    const url = request.nextUrl.clone()
    url.pathname = '/login'
    return NextResponse.redirect(url)
  }

  return supabaseResponse // ← 必ずこれを返す。新しいNextResponse.next()を返すとCookieが失われる
}

export const config = {
  matcher: ['/((?!_next/static|_next/image|favicon.ico).*)'],
}