Auth - Supabaseによる認証とユーザー管理

Authは、Goで書かれたユーザー管理・認証サーバーであり、Supabase の以下のような機能を支えています:

JWTの発行
PostgRESTによる行レベルセキュリティ
ユーザー管理
メール、パスワード、マジックリンク、電話番号でのサインイン
外部プロバイダーでのサインイン (Google、Apple、Facebook、Discord、...)

これは元々、優れた NetlifyによるGoTrueコードベースに基づいていますが、両者は機能と能力において大幅に分岐しています。

プロジェクトに貢献したい場合は、貢献ガイドを参照してください。

クイックスタート

独自のカスタム環境変数を保存するための .env ファイルを作成します。example.env を参照してください。

Postgresコンテナ内でローカルのPostgresデータベースを起動します: docker-compose -f docker-compose-dev.yml up postgres
authバイナリをビルドします: make build 。次のような出力が表示されるはずです:```bash go build -ldflags "-X github.com/supabase/auth/cmd.Version=git rev-parse HEAD" GOOS=linux GOARCH=arm64 go build -ldflags "-X github.com/supabase/auth/cmd.Version=git rev-parse HEAD" -o gotrue-arm64

3. authバイナリを実行します: `./auth`

### Dockerをインストールしている場合

独自のカスタム環境変数を保存するための `.env.docker` ファイルを作成します。[`example.docker.env`](https://github.com/supabase/auth/blob/HEAD/example.docker.env) を参照してください。

1. `make build`
2. `make dev`
3. `docker ps` を実行すると、2つのDockerコンテナ（`auth-auth-1` と `auth-postgres-1`）が表示されるはずです
4. これで完了です！[ヘルスチェックエンドポイント](http://localhost:9999/health) にアクセスして、authが実行中であることを確認してください。

## 本番環境での実行

認証サーバーを本番環境で実行するのは簡単なことではありません。定期的に
セキュリティアップデートが行われる [Supabase Auth](https://supabase.com/auth) の利用を
お勧めします。

それ以外の場合は、最新バージョンへ速やかに更新する仕組みを必ず
整えてください。これには、このリポジトリ、具体的には
[リリース](https://github.com/supabase/auth/releases) と [セキュリティ
アドバイザリ](https://github.com/supabase/auth/security/advisories) セクションをフォローしてください。

### 後方互換性

Authは [セマンティックバージョニング](https://semver.org) スキームを使用しています。以下に、
後方互換性の保証についてのさらなる明確化を示します。

**Go APIの互換性**

AuthはGoライブラリとして使用することを意図していません。この方法で使用した場合、
どのバージョン番号が変更されても、後方API互換性の保証はありません。

**パッチ**

パッチバージョンの変更は、以下との後方互換性を保証します：

- データベースオブジェクト（テーブル、列、インデックス、関数）
- REST API
- JWT構造
- 設定

保証される例：

- 列の型は変更されません。
- テーブルの主キーは変更されません。
- インデックスは削除されません。
- 一意性制約は削除されません。
- REST APIは削除されません。
- REST APIへのパラメータは以前と同等に動作します（または、バグが
  修正されている場合はより良く動作します）。
- 設定は変更されません。

保証されない例：

- テーブルに新しい列が追加される可能性があります。
- テーブルの列が並べ替えられる可能性があります。
- 非一意性制約は削除される可能性があります（データベースレベルのチェック、NULL、デフォルト
  値）。
- JWTに新しいプロパティが追加される可能性があります。

**マイナー**

マイナーバージョンの変更は、以下との後方互換性を保証します：

- REST API
- JWT構造
- 設定

これらの保証の例外は、他の方法では対処できない深刻なセキュリティ問題が
見つかった場合にのみ設けられます。

保証される例：

- 既存のAPIは非推奨になることがありますが、次の数回のマイナーバージョンリリースでは
  引き続き動作します。
- 設定の変更は非推奨になることがありますが、次の数回のマイナーバージョンリリースでは
  引き続き動作します。
- 発行済みのJWTは引き続き受け入れられますが、新しいJWTは異なる構造になる場合があります
  （ただし通常は類似しています）。

保証されない例：

- 非推奨通知後のJWTフィールドの削除。
- 非推奨通知後の特定APIの削除。
- 非推奨通知後の外部プロバイダーによるサインインの削除。
- テーブル、インデックス、ビュー、関数に対する削除、切り詰め、大幅なスキーマ変更。

私たちは、実行ログに少なくとも2つのメジャーバージョンリリース、または複数のリリースが
公開される場合は2週間、非推奨通知を提供することを目指しています。通知が有効な間は
互換性が保証されます。

**メジャー**

メジャーバージョンの変更は、以前のバージョンとの後方互換性を一切保証しません。

### 継承された機能

Netlifyコードベースから継承された特定の機能はSupabaseではサポートされておらず、
将来予告なしに削除される可能性があります。以下はそれらの機能の包括的なリストです：

1. `instances` テーブルを介したマルチテナンシー、つまり `GOTRUE_MULTI_INSTANCE_MODE`
   設定パラメータ。
2. システムユーザー（ゼロUUIDユーザー）。
3. `is_super_admin` カラムによるスーパー管理者。
4. `GOTRUE_JWT_ADMIN_GROUP_NAME` およびその他の設定フィールドを介したJWT内の
   グループ情報。
5. JWT署名。Supabase Authは非対称キー（デフォルトではRS256、
   ECC/Ed25519もオプション）をサポートしています。HS256も互換性のために引き続きサポートされていますが、
   検証とローテーションを容易にするため、非対称キーへの移行が推奨されます。将来の非推奨はチェンジログで発表されます。詳細は
   [JWT署名キー](https://supabase.com/docs/guides/auth/signing-keys) と
   [JWTガイド](https://supabase.com/docs/guides/auth/jwts) を参照してください。

これは網羅的なリストではなく、変更される可能性があることに注意してください。

### セルフホスティング時のベストプラクティス

Authとの後方互換性を確保するためにセルフホスティング時に従うべき、いくつかのベストプラクティスを以下に示します：

1. Authによって管理されているスキーマを変更しないでください。マイグレーションはすべて
   `migrations` ディレクトリで確認できます。
2. データベースのスキーマやデータ構造に依存しないでください。ユーザー情報を推測するには、常に
   Auth APIとJWTを使用してください。
3. 常にAuthをロードバランサー、CDN、
   nginx、その他の類似ソフトウェアなどのTLS対応プロキシの背後で実行してください。

## 設定

Authは、`.env` という名前の設定ファイル、
環境変数、またはその両方の組み合わせを使用して設定できます。環境変数には `GOTRUE_` プレフィックスが付き、ファイルで提供された値よりも常に優先されます。

### トップレベル```properties
GOTRUE_SITE_URL=https://example.netlify.com/

SITE_URL - string 必須

あなたのサイトが置かれているベースURLです。現在は他の設定と組み合わせて、メールで使用されるURLを構築するために使われます。SITE_URL とホストを共有する任意のURIは、redirect_to パラメータの許可値となります（/authorize などを参照）。

URI_ALLOW_LIST - string

有効な redirect_to 宛先として許可されるURIのカンマ区切りリストです（例: "https://foo.example.com,https://*.foo.example.com,https://bar.example.com"）。デフォルトは [] です。グロビングによるワイルドカードマッチングをサポートします。例: https://*.foo.example.com は https://a.foo.example.com と https://b.foo.example.com を許可します。グロビングはサブドメインでもサポートされます。例: https://foo.example.com/* は https://foo.example.com/page1 と https://foo.example.com/page2 を許可します。

より一般的なグロブパターンについては、次のリンクを確認してください。

OPERATOR_TOKEN - string マルチインスタンスモードのみ

このマイクロサービスとオペレーター（通常はNetlify）との間で共有されるシークレットです。リクエストがオペレーターを経由してプロキシされ、ペイロード値が信頼できることを検証するために使われます。

DISABLE_SIGNUP - bool

サインアップが無効の場合、新しいユーザーを作成する唯一の方法は招待です。デフォルトは false で、すべてのサインアップが有効です。

GOTRUE_EXTERNAL_EMAIL_ENABLED - bool

メールサインアップを無効にするにはこれを使用します（ユーザーは引き続き外部OAuthプロバイダーを使用してサインアップ/サインインできます）

GOTRUE_EXTERNAL_PHONE_ENABLED - bool

電話サインアップを無効にするにはこれを使用します（ユーザーは引き続き外部OAuthプロバイダーを使用してサインアップ/サインインできます）

GOTRUE_RATE_LIMIT_HEADER - string

/token エンドポイントをレート制限するためのヘッダーです。このヘッダーは、信頼できるアップストリームプロキシ（KongやEnvoyなど）によって設定されることが想定されています。x-forwarded-for のようなヘッダーは偽装可能であり、クライアントから直接提供された場合、レート制限に使用することはできません。

GOTRUE_RATE_LIMIT_EMAIL_SENT - string

次のエンドポイントで1時間あたりに送信されるメール数をレート制限します: /signup、/invite、/magiclink、/recover、/otp、& /user。

GOTRUE_PASSWORD_MIN_LENGTH - int

パスワードの最小長です。デフォルトは6です。

GOTRUE_PASSWORD_REQUIRED_CHARACTERS - : で区切られた文字セットの文字列です。パスワードは、受け入れられるために各セットの文字を少なくとも1つ含む必要があります。: 文字を使用するには、\ でエスケープします。

GOTRUE_SECURITY_REFRESH_TOKEN_ROTATION_ENABLED - bool

リフレッシュトークンのローテーションが有効な場合、認証は失効したリフレッシュトークンを再利用しようとする悪意のある試みを自動的に検出します。悪意のある試みが検出されると、GoTrueは問題のトークンから派生したすべてのトークンを直ちに失効させます。

GOTRUE_SECURITY_REFRESH_TOKEN_REUSE_INTERVAL - string

この設定は、GOTRUE_SECURITY_REFRESH_TOKEN_ROTATION_ENABLED が有効な場合にのみ適用されます。リフレッシュトークンの再利用間隔により、その間隔中にリフレッシュトークンを複数回交換して、並行性やオフラインの問題に対応できます。再利用間隔中、認証は失効したトークンの使用を悪意のある試みとは見なさず、単に子リフレッシュトークンを返します。

再利用できるのは、直前に失効したトークンだけです。現在の有効なリフレッシュトークンよりかなり前に発行された古いリフレッシュトークンを使用すると、再利用検出がトリガーされます。

API```properties

GOTRUE_API_HOST=localhost PORT=9999 API_EXTERNAL_URL=http://localhost:9999

`API_HOST` - `string`

リッスンするホスト名。

`PORT` (プレフィックスなし) / `API_PORT` - `number`

リッスンするポート番号。デフォルトは`8081`。

`API_ENDPOINT` - `string` _マルチインスタンスモードのみ_

NetlifyがこのAPIにアクセスできるエンドポイントを制御します。

`API_EXTERNAL_URL` - `string` **必須**

GoTrueがアクセスされる可能性のあるURL。

`REQUEST_ID_HEADER` - `string`

受信リクエストからリクエストIDを継承したい場合は、この値に名前を指定してください。

### データベース```properties
GOTRUE_DB_DRIVER=postgres
DATABASE_URL=root@localhost/auth

DB_DRIVER - string 必須

選択するデータベースの方言を指定します。postgres である必要があります。

DATABASE_URL (プレフィックスなし) / DB_DATABASE_URL - string 必須

データベースへの接続文字列です。

GOTRUE_DB_MAX_POOL_SIZE - int

データベースへの同時接続数の最大値を設定します。デフォルトは0で、これは「無制限」の接続数と同じです。

DB_NAMESPACE - string

すべてのテーブル名にプレフィックスを追加します。

マイグレーションに関する注意

マイグレーションは ./auth を実行すると自動的に適用されます。ただし、以下の方法でマイグレーションを再実行することもできます。

ローカルでビルドする場合: ./auth migrate
Docker を使用する場合: docker run --rm auth gotrue migrate

ロギング```properties

LOG_LEVEL=debug # available without GOTRUE prefix (exception) GOTRUE_LOG_FILE=/var/log/go/auth.log

`LOG_LEVEL` - `string`

出力するログレベルを制御します。`panic`、`fatal`、`error`、`warn`、`info`、`debug` から選択します。デフォルトは `info` です。

`LOG_FILE` - `string`

ログをファイルに書き出したい場合は、`log_file` に有効なファイルパスを設定します。

### 可観測性

Auth には基本的な可観測性が組み込まれています。[OpenTelemetry](https://opentelemetry.io) のメトリクスとトレースをコレクタにエクスポートできます。

#### トレーシング

トレーシングを有効にするには、以下の変数を設定してください。

`GOTRUE_TRACING_ENABLED` - `bool`

`GOTRUE_TRACING_EXPORTER` - `string` - `opentelemetry` のみサポート

コレクタまたはサービス用に [OpenTelemetry
Exporter](https://opentelemetry.io/docs/reference/specification/protocol/exporter/)
の設定も必ず行ってください。

たとえば、[Honeycomb.io](https://docs.honeycomb.io/getting-data-in/opentelemetry/go-distro/#using-opentelemetry-without-the-honeycomb-distribution)
を使用する場合は、以下の標準 OpenTelemetry OTLP 変数を設定してください。```
OTEL_SERVICE_NAME=auth
OTEL_EXPORTER_OTLP_PROTOCOL=grpc
OTEL_EXPORTER_OTLP_ENDPOINT=https://api.honeycomb.io:443
OTEL_EXPORTER_OTLP_HEADERS="x-honeycomb-team=<API-KEY>,x-honeycomb-dataset=auth"

メトリクス

メトリクスを有効にするには、以下の変数を設定します。

GOTRUE_METRICS_ENABLED - boolean

GOTRUE_METRICS_EXPORTER - string で、opentelemetry と prometheus のみサポートされています。

さらに、OpenTelemetry エクスポーターの設定を、コレクターまたはサービスに合わせて行ってください。

prometheus エクスポーターを使用する場合、サーバーのホストとポートは次の標準の OpenTelemetry 変数を使用して設定できます：

OTEL_EXPORTER_PROMETHEUS_HOST - IP アドレス、デフォルトは 0.0.0.0

OTEL_EXPORTER_PROMETHEUS_PORT - ポート番号、デフォルトは 9100

メトリクスはサーバーの / パスで公開されます。

opentelemetry エクスポーターを使用する場合、メトリクスはコレクターにプッシュされます。

たとえば、 Honeycomb.io を使用する場合は、次の標準の OpenTelemetry OTLP 変数を設定する必要があります：``` OTEL_SERVICE_NAME=auth OTEL_EXPORTER_OTLP_PROTOCOL=grpc OTEL_EXPORTER_OTLP_ENDPOINT=https://api.honeycomb.io:443 OTEL_EXPORTER_OTLP_HEADERS="x-honeycomb-team=,x-honeycomb-dataset=auth"

Honeycomb.io ではメトリクスを取り込むために有料プランが必要です。

トレースまたはメトリクスがプッシュされない問題をデバッグする必要がある場合は、`DEBUG=true` を設定すると、OpenTelemetry SDK からより多くの洞察を得ることができます。

#### カスタムリソース属性

OpenTelemetry のトレーシングまたはメトリクスエクスポーターを使用する場合、[標準の `OTEL_RESOURCE_ATTRIBUTES` 環境変数](https://opentelemetry.io/docs/reference/specification/resource/sdk/#specifying-resource-information-via-an-environment-variable) を使用してカスタムリソース属性を定義できます。

ビルドバージョンを含むデフォルト属性 `auth.version` が提供されます。

#### HTTPルートのトレーシング

Auth API へのすべての HTTP 呼び出しがトレースされます。ルートはパラメータ化されたバージョンのルートを使用し、ルートパラメータの値は `http.route.params.<route-key>` スパン属性として確認できます。

たとえば、次のリクエストの場合:```
GET /admin/users/4acde936-82dc-4552-b851-831fb8ce0927/

次のようにトレースされます:``` http.method = GET http.route = /admin/users/{user_id} http.route.params.user_id = 4acde936-82dc-4552-b851-831fb8ce0927

#### GoランタイムとHTTPメトリクス

Goランタイムのすべてのメトリクスが公開されています。一部のHTTPメトリクスもデフォルトで
収集されます。

### JSONウェブトークン (JWT)```properties
GOTRUE_JWT_SECRET=supersecretvalue
GOTRUE_JWT_EXP=3600
GOTRUE_JWT_AUD=netlify

JWT_SECRET - string 必須

JWT トークンの署名に使用するシークレット。

JWT_EXP - number

トークンの有効期間（秒）。デフォルトは 3600（1時間）。

JWT_AUD - string

デフォルトの JWT オーディエンス。オーディエンスを使用してユーザーをグループ化します。

JWT_ADMIN_GROUP_NAME - string

管理者グループの名前（有効な場合）。デフォルトは admin。

JWT_DEFAULT_GROUP_NAME - string

すべての新規ユーザーに割り当てるデフォルトのグループ。

外部認証プロバイダー

外部認証では、apple、azure、bitbucket、discord、facebook、figma、github、gitlab、google、keycloak、linkedin、notion、snapchat、spotify、slack、twitch、、をサポートしています。

各プロバイダーを個別に設定するには、external の下のキーとしてこれらの名前を使用します。```properties GOTRUE_EXTERNAL_GITHUB_ENABLED=true GOTRUE_EXTERNAL_GITHUB_CLIENT_ID=myappclientid GOTRUE_EXTERNAL_GITHUB_SECRET=clientsecretvaluessssh GOTRUE_EXTERNAL_GITHUB_REDIRECT_URI=http://localhost:3000/callback

外部プロバイダーは必須ではありませんが、いずれかを有効にする場合は、必要な値を指定する必要があります。

`EXTERNAL_X_ENABLED` - `bool`

この外部プロバイダーが有効かどうか

`EXTERNAL_X_CLIENT_ID` - `string` **必須**

外部プロバイダーに登録されたOAuth2クライアントID。

`EXTERNAL_X_SECRET` - `string` **必須**

登録時に外部プロバイダーから提供されるOAuth2クライアントシークレット。

`EXTERNAL_X_REDIRECT_URI` - `string` **必須**

OAuth2プロバイダーが `code` と `state` の値を付けてリダイレクトするURI。

`EXTERNAL_X_URL` - `string`

認可リクエストとアクセストークンリクエストのURLを構築するために使用されるベースURL。`gitlab` と `keycloak` によって使用されます。`gitlab` の場合、デフォルトは `https://gitlab.com` です。`keycloak` の場合、これを自分のインスタンスに設定する必要があります。例: `https://keycloak.example.com/realms/myrealm`

#### ネットワークの堅牢化

外部認証プロバイダーを設定すると、Auth はそのプロバイダーの認可、トークン、および userinfo エンドポイントに対して送信 HTTP リクエストを行うようになります。プロバイダーを `GOTRUE_EXTERNAL_*` 設定または管理 API のいずれかで設定することは管理アクションであり、それを行うことは、接続先となるホストとURLを信頼することを意味します。

Auth が実行されるネットワークは、`localhost`/ループバックアドレスやクラウドメタデータエンドポイント（例: `169.254.169.254`）など、公開したくない内部専用リソースにこれらの送信接続が到達できないように強化する必要があります。これは、管理側で設定可能または検出可能なエンドポイントを持つプロバイダー（例: カスタム OAuth/OIDC プロバイダー）に最も重要です。誤設定された URL や悪意のある URL が内部インフラストラクチャへの到達に悪用される可能性があるためです。

#### Apple OAuth

Apple を使用した外部認証をローカルで試すには、次の手順を実行する必要があります:

1. `/etc/hosts` 設定で localhost を \<my_custom_dns \> にリマップします。
2. auth が localhost 上で HTTPS トラフィックを提供するように設定するには、[api.go](https://github.com/supabase/auth/blob/HEAD/internal/api/api.go) 内の `ListenAndServe` を以下に置き換えます:   ```
      func (a *API) ListenAndServe(hostAndPort string) {
        log := logrus.WithField("component", "api")
        path, err := os.Getwd()
        if err != nil {
          log.Println(err)
        }
        server := &http.Server{
          Addr:    hostAndPort,
          Handler: a.handler,
        }
        done := make(chan struct{})
        defer close(done)
        go func() {
          waitForTermination(log, done)
          ctx, cancel := context.WithTimeout(context.Background(), time.Minute)
          defer cancel()
          server.Shutdown(ctx)
        }()
        if err := server.ListenAndServeTLS("PATH_TO_CRT_FILE", "PATH_TO_KEY_FILE"); err != http.ErrServerClosed {
          log.WithError(err).Fatal("http server listen failed")
        }
    }

crt ファイルとキーファイルを生成します。詳細はこちらを参照してください。
この記事に従って GOTRUE_EXTERNAL_APPLE_SECRET を生成してください！

メール

メールの送信は必須ではありませんが、パスワード回復のために強く推奨されます。有効にする場合は、以下の必須値を指定する必要があります。```properties GOTRUE_SMTP_HOST=smtp.mandrillapp.com GOTRUE_SMTP_PORT=587 GOTRUE_SMTP_USER=[email protected] GOTRUE_SMTP_PASS=correcthorsebatterystaple GOTRUE_SMTP_ADMIN_EMAIL=[email protected] GOTRUE_MAILER_SUBJECTS_CONFIRMATION="Please confirm"

`SMTP_ADMIN_EMAIL` - `string` **必須**

送信されるすべてのメールの `From` メールアドレス。

`SMTP_HOST` - `string` **必須**

メールの送信に使用するメールサーバーのホスト名。

`SMTP_PORT` - `number` **必須**

メールサーバーへの接続に使用するポート番号。

`SMTP_USER` - `string`

メールサーバーが認証を要求する場合に使用するユーザー名。

`SMTP_PASS` - `string`

メールサーバーが認証を要求する場合に使用するパスワード。

`SMTP_MAX_FREQUENCY` - `number`

次のサインアップ確認メールまたはパスワードリセットメールを送信するまでに経過しなければならない最小時間を制御します。値は秒数です。デフォルトは900（15分）です。

`SMTP_SENDER_NAME` - `string`

送信者の名前を設定します。使用されない場合、`SMTP_ADMIN_EMAIL` がデフォルトになります。

`MAILER_AUTOCONFIRM` - `bool`

メール確認を必要としない場合は、これを `true` に設定できます。デフォルトは `false` です。

`MAILER_OTP_EXP` - `number`

メールリンクまたはOTPが有効な期間を制御します。

`MAILER_URLPATHS_INVITE` - `string`

ユーザー招待メールで使用するURLパス。デフォルトは `/verify` です。

`MAILER_URLPATHS_CONFIRMATION` - `string`

サインアップ確認メールで使用するURLパス。デフォルトは `/verify` です。

`MAILER_URLPATHS_RECOVERY` - `string`

パスワードリセットメールで使用するURLパス。デフォルトは `/verify` です。

`MAILER_URLPATHS_EMAIL_CHANGE` - `string`

メールアドレス変更確認メールで使用するURLパス。デフォルトは `/verify` です。

`MAILER_SUBJECTS_INVITE` - `string`

ユーザー招待に使用するメール件名。デフォルトは `You've been invited` です。

`MAILER_SUBJECTS_CONFIRMATION` - `string`

サインアップ確認に使用するメール件名。デフォルトは `Confirm your email address` です。

`MAILER_SUBJECTS_RECOVERY` - `string`

パスワードリセットに使用するメール件名。デフォルトは `Reset your password` です。

`MAILER_SUBJECTS_MAGIC_LINK` - `string`

マジックリンクメールに使用するメール件名。デフォルトは `Your sign-in link` です。

`MAILER_SUBJECTS_EMAIL_CHANGE` - `string`

メールアドレス変更確認に使用するメール件名。デフォルトは `Confirm your new email address` です。

`MAILER_SUBJECTS_REAUTHENTICATION` - `string`

再認証に使用するメール件名。デフォルトは `{{ .Token }} is your verification code` です。

`MAILER_SUBJECTS_PASSWORD_CHANGED_NOTIFICATION` - `string`

パスワード変更通知に使用するメール件名。デフォルトは `Your password was changed` です。

`MAILER_SUBJECTS_EMAIL_CHANGED_NOTIFICATION` - `string`

メールアドレス変更通知に使用するメール件名。デフォルトは `Your email address was changed` です。

`GOTRUE_MAILER_SUBJECTS_PHONE_CHANGED_NOTIFICATION` - `string`

電話番号変更通知に使用するメール件名。デフォルトは `Your phone number was changed` です。

`GOTRUE_MAILER_SUBJECTS_IDENTITY_LINKED_NOTIFICATION` - `string`

アイデンティティ連携通知に使用するメール件名。デフォルトは `A new sign-in method was linked to your account` です。

`GOTRUE_MAILER_SUBJECTS_IDENTITY_UNLINKED_NOTIFICATION` - `string`

アイデンティティ連携解除通知に使用するメール件名。デフォルトは `A sign-in method was removed from your account` です。

`GOTRUE_MAILER_SUBJECTS_MFA_FACTOR_ENROLLED_NOTIFICATION` - `string`

検証方法追加通知に使用するメール件名。デフォルトは `A new verification method was added to your account` です。

`GOTRUE_MAILER_SUBJECTS_MFA_FACTOR_UNENROLLED_NOTIFICATION` - `string`

検証方法削除通知に使用するメール件名。デフォルトは `A verification method was removed from your account` です。

`MAILER_TEMPLATES_INVITE` - `string`

ユーザーを招待するときに使用するメールテンプレートへのURLパス。（例：`https://www.example.com/path-to-email-template.html`）
`SiteURL`、`Email`、`ConfirmationURL` 変数が利用可能です。

デフォルトコンテンツ（テンプレートが利用できない場合）：```html
<h2>You've been invited</h2>

<p>You've been invited to create an account. Follow the link below to accept.</p>
<p><a href="{{ .ConfirmationURL }}">Accept invitation</a></p>

MAILER_TEMPLATES_CONFIRMATION - string

サインアップを確認する際に使用するメールテンプレートへのURLパス。（例：https://www.example.com/path-to-email-template.html） SiteURL、Email、ConfirmationURL 変数が利用可能です。

デフォルトの内容（テンプレートが利用できない場合）：```html

Confirm your email address

Follow the link below to confirm this email address and finish signing up.

Confirm email address

``` `MAILER_TEMPLATES_RECOVERY` - `string`

パスワードリセット時に使用するメールテンプレートへのURLパス。（例: https://www.example.com/path-to-email-template.html） SiteURL、Email、ConfirmationURL 変数が利用可能です。

デフォルトコンテンツ（テンプレートが利用できない場合）:```html

Reset your password

We received a request to reset your password. Follow the link below to choose a new one.

Reset password

If you didn't request this, you can safely ignore this email.

``` `MAILER_TEMPLATES_MAGIC_LINK` - `string`

マジックリンク送信時に使用するメールテンプレートへのURLパス。(例: https://www.example.com/path-to-email-template.html) SiteURL、Email、ConfirmationURL 変数が利用可能です。

デフォルトコンテンツ (テンプレートが利用できない場合):```html

Follow the link below to sign in. This link expires shortly and can only be used once.

``` `MAILER_TEMPLATES_EMAIL_CHANGE` - `string`

メールアドレスの変更を確認する際に使用するメールテンプレートへのURLパス。(例: https://www.example.com/path-to-email-template.html) SiteURL、Email、NewEmail、ConfirmationURL の各変数が利用可能です。

デフォルトコンテンツ (テンプレートが利用できない場合):```html

Confirm your new email address

Follow the link below to confirm {{ .NewEmail }} as your new email address.

Confirm new email address

If you didn't request this change, you can safely ignore this email.

``` `MAILER_TEMPLATES_REAUTHENTICATION` - `string`

ユーザーを再認証する際に使用するメールテンプレートへのURLパスです。(例: https://www.example.com/path-to-email-template.html) Token 変数が利用可能です。

デフォルトコンテンツ (テンプレートが利用できない場合):```html

Your verification code

Use the code below to verify your identity. It expires shortly.

``` `MAILER_TEMPLATES_PASSWORD_CHANGED_NOTIFICATION` - `string`

パスワードが変更されたことをユーザーに通知する際に使用するメールテンプレートのURLパス。（例: https://www.example.com/path-to-email-template.html） Email 変数が利用可能です。

デフォルトコンテンツ（テンプレートが利用できない場合）:```html

Your password was changed

The password for your account was recently changed.

If you didn't make this change, reset your password and contact support immediately.

``` `GOTRUE_MAILER_NOTIFICATIONS_PASSWORD_CHANGED_ENABLED` - `bool`

ユーザーのパスワードが変更されたときに通知メールを送信するかどうか。デフォルトは false です。

MAILER_TEMPLATES_EMAIL_CHANGED_NOTIFICATION - string

ユーザーのメールアドレスが変更されたことを通知する際に使用するメールテンプレートへのURLパス。（例: https://www.example.com/path-to-email-template.html） Email 変数と OldEmail 変数が利用可能です。

デフォルトコンテンツ（テンプレートが利用できない場合）:```html

Your email address was changed

The email address for your account was changed from {{ .OldEmail }} to {{ .Email }}.

If you didn't make this change, contact support immediately.

``` `GOTRUE_MAILER_NOTIFICATIONS_EMAIL_CHANGED_ENABLED` - `bool`

ユーザーのメールアドレスが変更されたときに通知メールを送信するかどうか。デフォルトは false です。

GOTRUE_MAILER_TEMPLATES_PHONE_CHANGED_NOTIFICATION - string

ユーザーの電話番号が変更されたことを通知する際に使用するメールテンプレートのURLパス。（例：https://www.example.com/path-to-email-template.html） Email、Phone、OldPhone 変数が利用可能です。

デフォルトコンテンツ（テンプレートが利用できない場合）：```html

Your phone number was changed

The phone number for your account was changed from {{ .OldPhone }} to {{ .Phone }}.

If you didn't make this change, contact support immediately.

``` `GOTRUE_MAILER_NOTIFICATIONS_PHONE_CHANGED_ENABLED` - `bool`

ユーザーの電話番号が変更されたときに通知メールを送信するかどうか。デフォルトは false です。

GOTRUE_MAILER_TEMPLATES_IDENTITY_LINKED_NOTIFICATION - string

サインイン方法がアカウントにリンクされたことをユーザーに通知する際に使用するメールテンプレートのURLパス。(例: https://www.example.com/path-to-email-template.html) Email と Provider 変数が利用可能です。

デフォルトコンテンツ (テンプレートが利用できない場合):```html

Your {{ .Provider }} account was linked as a new sign-in method for {{ .Email }}.

If you didn't make this change, contact support immediately.

``` `GOTRUE_MAILER_NOTIFICATIONS_IDENTITY_LINKED_ENABLED` - `bool`

サインイン方法がユーザーのアカウントにリンクされたときに通知メールを送信するかどうか。デフォルトは false です。

GOTRUE_MAILER_TEMPLATES_IDENTITY_UNLINKED_NOTIFICATION - string

サインイン方法がユーザーのアカウントから削除されたことをユーザーに通知する際に使用するメールテンプレートへのURLパス。(例: https://www.example.com/path-to-email-template.html) Email 変数と Provider 変数が利用可能です。

デフォルトコンテンツ (テンプレートが利用できない場合):```html

Your {{ .Provider }} account was removed as a sign-in method for {{ .Email }}.

If you didn't make this change, contact support immediately.

``` `GOTRUE_MAILER_NOTIFICATIONS_IDENTITY_UNLINKED_ENABLED` - `bool`

ユーザーのアカウントからサインイン方法が削除されたときに通知メールを送信するかどうか。デフォルトは false。

GOTRUE_MAILER_TEMPLATES_MFA_FACTOR_ENROLLED_NOTIFICATION - string

新しい確認方法がアカウントに追加されたことをユーザーに通知する際に使用するメールテンプレートへのURLパス。（例：https://www.example.com/path-to-email-template.html） Email 変数と FactorType 変数が利用可能です。

デフォルトコンテンツ（テンプレートが利用できない場合）：```html

A new verification method was added

Sign-in verification method {{ .FactorType }} was added to your account.

If you didn't make this change, contact support immediately.

``` `GOTRUE_MAILER_NOTIFICATIONS_MFA_FACTOR_ENROLLED_ENABLED` - `bool`

新しい検証方法がユーザーのアカウントに追加されたときに通知メールを送信するかどうか。デフォルトは false です。

GOTRUE_MAILER_TEMPLATES_MFA_FACTOR_UNENROLLED_NOTIFICATION - string

検証方法がユーザーのアカウントから削除されたことをユーザーに通知するために使用するメールテンプレートへのURLパス。(例: https://www.example.com/path-to-email-template.html) Email 変数と FactorType 変数が利用可能です。

デフォルトコンテンツ (テンプレートが利用できない場合):```html

A verification method was removed

Sign-in verification method {{ .FactorType }} was removed from your account.

If you didn't make this change, contact support immediately.

``` `GOTRUE_MAILER_NOTIFICATIONS_MFA_FACTOR_UNENROLLED_ENABLED` - `bool`

検証方法がユーザーのアカウントから削除されたときに通知メールを送信するかどうか。デフォルトは false です。

電話認証

SMS_AUTOCONFIRM - bool

電話確認が不要な場合は、これを true に設定できます。デフォルトは false です。

SMS_MAX_FREQUENCY - number

次のSMS OTPを送信するまでに経過しなければならない最小時間を制御します。値は秒数です。デフォルトは60（1分）です。

SMS_OTP_EXP - number

SMS OTPが有効な期間を制御します。

SMS_OTP_LENGTH - number

送信されるSMS OTPの桁数を制御します。

SMS_PROVIDER - string

利用可能なオプションは次のとおりです: twilio, messagebird, textlocal, vonage

その後、twilio認証情報を使用できます:

SMS_TWILIO_ACCOUNT_SID
SMS_TWILIO_AUTH_TOKEN
SMS_TWILIO_MESSAGE_SERVICE_SID - twilioの送信元モバイル番号に設定できます。

または、ダッシュボードで取得できるMessagebird認証情報:

SMS_MESSAGEBIRD_ACCESS_KEY - あなたのMessagebirdアクセスキー
SMS_MESSAGEBIRD_ORIGINATOR - SMS送信者（+付きのあなたのMessagebird電話番号または会社名）

CAPTCHA

有効にすると、CAPTCHAはリクエストボディの captcha_token フィールドを確認し、CAPTCHAプロバイダーに検証リクエストを送信します。

SECURITY_CAPTCHA_ENABLED - string

captchaミドルウェアが有効かどうか

SECURITY_CAPTCHA_PROVIDER - string

現時点でサポートされているオプションは、hCaptchaとTurnstileのみです。

SECURITY_CAPTCHA_SECRET - string
SECURITY_CAPTCHA_TIMEOUT - string

hcaptchaまたはturnstileアカウントから取得してください。

再認証

SECURITY_UPDATE_PASSWORD_REQUIRE_REAUTHENTICATION - bool

パスワード更新時に再認証を強制します。

匿名サインイン

GOTRUE_EXTERNAL_ANONYMOUS_USERS_ENABLED - bool

匿名サインインを有効/無効にするには、これを使用します。

IPアドレス転送

GOTRUE_SECURITY_SB_FORWARDED_FOR_ENABLED - bool

Sb-Forwarded-For HTTPリクエストヘッダーを使用したIPアドレス転送を有効にします。有効にすると、Authはこのヘッダーの最初の値をIPアドレスとして解析し、IPアドレストラッキングとレート制限に使用します。この機能を有効にする前に、このヘッダーが信頼できるクライアントまたはプロキシからのみ渡されるようにし、完全に信頼できることを確認してください。

エンドポイント

Authは以下のエンドポイントを公開しています:

GET /settings

このauthインスタンスの公開設定を返します。```json { "external": { "apple": true, "azure": true, "bitbucket": true, "discord": true, "facebook": true, "figma": true, "github": true, "gitlab": true, "google": true, "keycloak": true, "linkedin": true, "notion": true, "slack": true, "snapchat": true, "spotify": true, "twitch": true, "twitter": true, "workos": true }, "disable_signup": false, "autoconfirm": false }

### **POST, PUT /admin/users/<user_id>**

指定された `user_id` に基づいてユーザーを作成（POST）または更新（PUT）します。`ban_duration` フィールドは次の時間単位を受け付けます: "ns", "us", "ms", "s", "m", "h"。使用される形式の詳細については、[`time.ParseDuration`](https://pkg.go.dev/time#ParseDuration) を参照してください。```js
headers:
{
  "Authorization": "Bearer eyJhbGciOiJI...M3A90LCkxxtX9oNP9KZO" // requires a role claim that can be set in the GOTRUE_JWT_ADMIN_ROLES env var
}

body:
{
  "role": "test-user",
  "email": "[email protected]",
  "phone": "12345678",
  "password": "secret", // only if type = signup
  "email_confirm": true,
  "phone_confirm": true,
  "user_metadata": {},
  "app_metadata": {},
  "ban_duration": "24h" or "none" // to unban a user
}

POST /admin/generate_link

指定されたタイプに基づいて、対応するメールアクションリンクを返します。その他にも、応答には利便性のため、アクションリンクのクエリパラメータが個別のJSONフィールドとして含まれます（対応するトークンの生成元となるメールOTPとともに）。```js headers: { "Authorization": "Bearer eyJhbGciOiJI...M3A90LCkxxtX9oNP9KZO" // admin role required }

body: { "type": "signup" or "magiclink" or "recovery" or "invite" or "email_change_current" or "email_change_new", "email": "[email protected]", "password": "secret", // only if type = signup "data": { ... }, // only if type = signup "redirect_to": "https://supabase.io" // Redirect URL to send the user to after an email action. Defaults to SITE_URL.

}

戻り値```js
{
  "action_link": "http://localhost:9999/verify?token=TOKEN&type=TYPE&redirect_to=REDIRECT_URL",
  "email_otp": "EMAIL_OTP",
  "hashed_token": "TOKEN",
  "verification_type": "TYPE",
  "redirect_to": "REDIRECT_URL",
  ...
}

メールアドレスとパスワードで新しいユーザーを登録します。```json { "email": "[email protected]", "password": "secret" }

returns:```js
{
  "id": "11111111-2222-3333-4444-5555555555555",
  "email": "[email protected]",
  "confirmation_sent_at": "2016-05-15T20:49:40.882805774-07:00",
  "created_at": "2016-05-15T19:53:12.368652374-07:00",
  "updated_at": "2016-05-15T19:53:12.368652374-07:00"
}

// if sign up is a duplicate then faux data will be returned
// as to not leak information about whether a given email
// has an account with your service or not

電話番号とパスワードで新しいユーザーを登録します。```js { "phone": "12345678", // follows the E.164 format "password": "secret" }

戻り値:```js
{
  "id": "11111111-2222-3333-4444-5555555555555", // if duplicate sign up, this ID will be faux
  "phone": "12345678",
  "confirmation_sent_at": "2016-05-15T20:49:40.882805774-07:00",
  "created_at": "2016-05-15T19:53:12.368652374-07:00",
  "updated_at": "2016-05-15T19:53:12.368652374-07:00"
}

if AUTOCONFIRM が有効で、サインアップが重複している場合、エンドポイントは次を返します:```json { "code": 400, "msg": "User already registered" }

### **POST /resend**

ユーザーが既存のsignup、sms、email_change、phone_changeのOTPを再送信できるようにします。```json
{
  "email": "[email protected]",
  "type": "signup"
}

入力となるチャンク内容が提供されていないため、翻訳するテキストがありません。```json { "phone": "12345678", "type": "sms" }

戻り値:```json
{
  "message_id": "msgid123456"
}

POST /invite

メールアドレスで新しいユーザーを招待します。このエンドポイントでは、service_role または supabase_admin JWT を Auth Bearer ヘッダーとして設定する必要があります:

例:```js headers: { "Authorization" : "Bearer eyJhbGciOiJI...M3A90LCkxxtX9oNP9KZO" }

" maybe no content. We need infer maybe they forgot. We can ask? But instructions: Do not ask questions. Return only translation. But there is no source text. Maybe need say no input? But target rules: no commentary. Hmm.

Let's read carefully: User message includes:

"Translate the following Kitploit tool content.
This is chunk 79 of 131...
...
INPUT:

"

There is an empty line after INPUT:. Possibly chunk content omitted due to formatting? I as assistant need respond with what? Could be impossible. But system says "Do not ask questions. Do not engage in conversation." If no source, maybe best return empty? But likely need indicate no input? Yet rules say return ONLY translated text. If no input, return empty? That might satisfy? But maybe the content is actually between braces? No.

Could be an API mistake where chunk content missing. We need obey not adding commentary. Maybe produce an empty response. But if there is nothing, output nothing. Is that acceptable? The instruction "Return ONLY the translated text. NO preamble..." If there's no text to translate, output empty. I think best answer is empty. However, they may expect translation of "INPUT:"? That's not natural language? Actually "INPUT:" is meta. No.

Let's see if there is hidden input after blank? The message might contain only "INPUT:\n\n" then nothing. So no content. I'll output an empty string. But will that be considered not following? The expected might be user pasted content missing; I can't invent.

Need maybe not output anything. final: (empty). But the platform might need some text; maybe I should say "No content provided" but that would be commentary and violate. Better output empty.

I'll output an empty response.```json
{
  "email": "[email protected]"
}

戻り値:```json { "id": "11111111-2222-3333-4444-5555555555555", "email": "[email protected]", "confirmation_sent_at": "2016-05-15T20:49:40.882805774-07:00", "created_at": "2016-05-15T19:53:12.368652374-07:00", "updated_at": "2016-05-15T19:53:12.368652374-07:00", "invited_at": "2016-05-15T19:53:12.368652374-07:00" }

### **POST /verify**

登録またはパスワードリカバリを検証します。タイプは `signup`、`recovery`、`invite`、`magiclink`、`email_change`、`sms`、`phone_change` のいずれかで、
`token` は `/signup` または `/recover` から返されるトークンです。```json
{
  "type": "signup",
  "token": "confirmation-code-delivered-in-email"
}

既存のパスワードが存在しない場合、サインアップ検証にはpasswordが必要です。

戻り値:```json { "access_token": "jwt-token-representing-the-user", "token_type": "bearer", "expires_in": 3600, "refresh_token": "a-refresh-token", "type": "signup | recovery | invite | magiclink | email_change | sms | phone_change" }

電話サインアップまたはSMS OTPを検証します。タイプは `sms` に設定する必要があります。```json
{
  "type": "sms",
  "token": "confirmation-otp-delivered-in-sms",
  "redirect_to": "https://supabase.io",
  "phone": "phone-number-sms-otp-was-delivered-to"
}

戻り値:```json { "access_token": "jwt-token-representing-the-user", "token_type": "bearer", "expires_in": 3600, "refresh_token": "a-refresh-token" }

### **GET /verify**

登録またはパスワードリカバリを検証します。タイプは `signup`、`recovery`、`magiclink`、`invite`、`email_change` のいずれかを指定でき、
`token` は `/signup`、`/recover`、`/magiclink` のいずれかから返されたトークンです。

クエリパラメータ:```json
{
  "type": "signup",
  "token": "confirmation-code-delivered-in-email",
  "redirect_to": "https://supabase.io"
}

ユーザーはログインし、リダイレクトされます：``` SITE_URL/#access_token=jwt-token-representing-the-user&token_type=bearer&expires_in=3600&refresh_token=a-refresh-token&type=invite

アプリはフラグメント内のクエリパラメータを検出し、それらを使ってセッションを設定する必要があります（supabase-jsはこれを自動的に行います）

`type` パラメータを使用すると、`invite` または `recovery` の場合はユーザーをパスワード設定フォームにリダイレクトし、
`signup` の場合はアカウント確認済み/ウェルカムメッセージを表示し、または追加のオンボーディングフローに誘導できます。

### **POST /otp**

ワンタイムパスワード。リクエストボディに "email" キーまたは "phone" キーが含まれているかどうかに応じて、マジックリンクまたはSMS OTPをユーザーに配信します。

`"create_user": true` の場合、ユーザーが存在しないときは、そのユーザーは自動的にサインアップされません。```js
{
  "phone": "12345678" // follows the E.164 format
  "create_user": true
}

または```js // exactly the same as /magiclink { "email": "[email protected]" "create_user": true }

戻り値:```json
{}

POST /magiclink （代わりに /otp を使用することを推奨します。上記を参照してください。）

マジックリンク。メールアドレスに基づいてユーザーにリンク（例: /verify?type=magiclink&token=fgtyuf68ddqdaDd）を配信し、そのリンクを使用して access_token を引き換えることができます。

デフォルトでは、マジックリンクは60秒ごとに1回しか送信できません。```json { "email": "[email protected]" }

戻り値:```json
{}

When the magic link is clicked, it will redirect to <SITE_URL>#access_token=x&refresh_token=y&expires_in=z&token_type=bearer&type=magiclink (see /verify above)

POST /recover

Password recovery. Will deliver a password recovery mail to the user based on email address.

By default recovery links can only be sent once every 60 seconds

翻訳:

When the magic link is clicked, it will redirect to <SITE_URL>#access_token=x&refresh_token=y&expires_in=z&token_type=bearer&type=magiclink (see /verify above)

POST /recover

パスワード復旧。メールアドレスに基づいて、ユーザーにパスワード復旧メールを送信します。

デフォルトでは、復旧リンクは60秒間に1回しか送信できません。```json { "email": "[email protected]" }

戻り値:```json
{}

POST /token

これは現在、password および refresh_token グラントタイプを実装している OAuth2 エンドポイントです。

クエリパラメータ:``` ?grant_type=password

body:```js
// Email login
{
  "email": "[email protected]",
  "password": "somepassword"
}

// Phone login
{
  "phone": "12345678",
  "password": "somepassword"
}

または

クエリパラメータ:``` grant_type=refresh_token

body:```json
{
  "refresh_token": "a-refresh-token"
}

アクセストークンを取得したら、Authorization: Bearer YOUR_ACCESS_TOKEN_HERE ヘッダーを設定することで、認証が必要なメソッドにアクセスできます。

戻り値:```json { "access_token": "jwt-token-representing-the-user", "token_type": "bearer", "expires_in": 3600, "refresh_token": "a-refresh-token" }

### **GET /user**

ログインしているユーザーのJSONオブジェクトを取得します（認証が必要です）

戻り値：```json
{
  "id": "11111111-2222-3333-4444-5555555555555",
  "email": "[email protected]",
  "confirmation_sent_at": "2016-05-15T20:49:40.882805774-07:00",
  "created_at": "2016-05-15T19:53:12.368652374-07:00",
  "updated_at": "2016-05-15T19:53:12.368652374-07:00"
}

PUT /user

ユーザーを更新します（認証が必要です）。メールアドレス/パスワードの変更以外にも、このメソッドを使用してカスタムユーザーデータを設定できます。メールアドレスを変更すると、マジックリンクが送信されます。```json { "email": "[email protected]", "password": "new-password", "phone": "+123456789", "data": { "key": "value", "number": 10, "admin": false } }

戻り値:```json
{
  "id": "11111111-2222-3333-4444-5555555555555",
  "email": "[email protected]",
  "email_change_sent_at": "2016-05-15T20:49:40.882805774-07:00",
  "phone": "+123456789",
  "phone_change_sent_at": "2016-05-15T20:49:40.882805774-07:00",
  "created_at": "2016-05-15T19:53:12.368652374-07:00",
  "updated_at": "2016-05-15T19:53:12.368652374-07:00"
}

GOTRUE_SECURITY_UPDATE_PASSWORD_REQUIRE_REAUTHENTICATION が有効な場合、ユーザーは最初に再認証する必要があります。```json { "password": "new-password", "nonce": "123456" }

### **GET /reauthenticate**

nonceをユーザーのメール（推奨）または電話に送信します。このエンドポイントでは、ユーザーが先にログイン/認証されている必要があります。nonceが正常に送信されるには、ユーザーにメールアドレスまたは電話番号のいずれかが必要です。```js
headers: {
  "Authorization" : "Bearer eyJhbGciOiJI...M3A90LCkxxtX9oNP9KZO"
}

POST /logout

ユーザーをログアウトします（認証が必要）。

これにより、ユーザーのすべてのリフレッシュトークンが無効化されます。JWTトークンは、有効期限が切れるまでステートレス認証で引き続き有効であることに注意してください。

GET /authorize

外部OAuthプロバイダーからaccess_tokenを取得します

scopes=<optional additional scopes depending on the provider (email and name are requested by default)>

外部プロバイダーはこのエンドポイントにリダイレクトする必要があります

`<GOTRUE_SITE_URL>#access_token=<access_token>&refresh_token=<refresh_token>&provider_token=<provider_oauth_token>&expires_in=3600&provider=<provider_name>` にリダイレクトします
追加のスコープが要求された場合、`provider_token` が設定されます。これを使用してプロバイダーから追加データを取得したり、そのサービスとやり取りしたりできます。

auth

人気

Auth - Supabaseによる認証とユーザー管理

目次

クイックスタート

API```properties

ロギング```properties

メトリクス

外部認証プロバイダー

メール

Confirm your email address

Reset your password

Your sign-in link

Confirm your new email address

Your verification code

Your password was changed

Your email address was changed

Your phone number was changed

A new sign-in method was linked

A sign-in method was removed

A new verification method was added

A verification method was removed

電話認証

CAPTCHA

再認証

匿名サインイン

IPアドレス転送

エンドポイント

GET /settings

POST /admin/generate_link

POST /signup

POST /invite

POST /magiclink （代わりに /otp を使用することを推奨します。上記を参照してください。）

POST /recover

POST /recover

POST /token

PUT /user

POST /logout

GET /authorize