# Supabase アプリで「まだ一度もログインしていない人」を管理者にし、その画面を本番で確認する Google ログイン（OAuth / PKCE）で初回ログイン時にユーザー行を自動作成するアプリでは、 本人が一度ログインするまで users 行が存在せず、権限を付けられない。 この指示書は、本人のログインを待たずに管理者権限を用意し、 その権限で本番画面が正しく出ることを機械的に確認する手順。 ## 前提（AI が最初に確認すること） 1. ログイン時のプロビジョニング処理を読む。典型は次の形: - `exchangeCodeForSession(code)` → `users` を `id = auth.uid` で検索 → **行があればそのまま通す**／無ければ `role='staff'` で insert - この「既存行があれば通す」分岐が無いと本手順は使えない（上書きされる）。 2. 権限を変える画面が本当に無いかをコード検索で確かめる（例: `users` の `role` を update する処理の grep）。無いことを根拠付きで報告する。 3. 対象メールが許可ドメイン／許可リストに入っているかを確かめる。 ## 手順 1: 認証アカウントと users 行を先に作る（service role） ```ts import { createClient } from '@supabase/supabase-js'; const s = createClient(SUPABASE_URL, SERVICE_ROLE_KEY, { auth: { persistSession: false } }); const EMAIL = '<対象メール>'; // 既存の認証アカウントを全ページ走査（重複作成を防ぐ） let found = null; for (let page = 1; page < 50 && !found; page++) { const { data } = await s.auth.admin.listUsers({ page, perPage: 200 }); found = data.users.find((u) => u.email?.toLowerCase() === EMAIL) ?? null; if (data.users.length < 200) break; } if (!found) { const { data } = await s.auth.admin.createUser({ email: EMAIL, email_confirm: true }); found = data.user; } // users 行（アプリ側の権限テーブル）を管理者で作る／既存なら role だけ上げる const existing = await s.from('users').select('id, role').eq('id', found.id).maybeSingle(); if (!existing.data) { await s.from('users').insert({ id: found.id, email: EMAIL, name: '<表示名>', org_id: '<組織ID>', role: 'admin', is_active: true }); } else if (existing.data.role !== 'admin') { await s.from('users').update({ role: 'admin' }).eq('id', found.id); } // 必ず read-back const back = await s.from('users').select('email, role, is_active').eq('id', found.id).single(); ``` - `email_confirm: true` にしておくと、後日の Google ログインで同じ確認済みメールの既存ユーザーに自動でつながる（Supabase の標準挙動）。 ただし実際の Google ログインでの確認は本人にしかできないので、報告では「未確認」と明記し、エラー時は画面文言をもらう段取りにする。 - 戻し方（role を staff に戻す1行）も報告に添える。 ## 手順 2: その権限で本番画面を開いて確認する 本番ログインが PKCE の code 方式だと、`generateLink` が返すマジックリンク URL をブラウザで開いてもコールバックで弾かれる。 セッションを API で作り、`@supabase/ssr` が読む cookie を直接入れる。 ```ts import { chromium } from '@playwright/test'; const { data: link } = await s.auth.admin.generateLink({ type: 'magiclink', email: EMAIL }); // メールは送られない const pub = createClient(SUPABASE_URL, ANON_KEY, { auth: { persistSession: false } }); const { data: v } = await pub.auth.verifyOtp({ type: 'magiclink', token_hash: link.properties.hashed_token }); const ref = new URL(SUPABASE_URL).hostname.split('.')[0]; const value = 'base64-' + Buffer.from(JSON.stringify(v.session)).toString('base64url'); const chunks = value.match(/.{1,3180}/g); // 大きい場合は .0 .1 … に分割される const cookies = (chunks.length === 1 ? [[`sb-${ref}-auth-token`, value]] : chunks.map((c, i) => [`sb-${ref}-auth-token.${i}`, c])) .map(([name, val]) => ({ name, value: val, domain: '<本番ホスト>', path: '/', secure: true, sameSite: 'Lax' })); const browser = await chromium.launch(); const ctx = await browser.newContext(); await ctx.addCookies(cookies); const page = await ctx.newPage(); await page.goto('https://<本番ホスト>/<管理者画面>'); console.log(await page.getByRole('button', { name: '<管理者だけに出るボタン>' }).isVisible()); await s.auth.admin.signOut(v.session.access_token).catch(() => {}); // 後始末 await browser.close(); ``` - 判定は「管理者だけに出る要素が見える」ことで行う（URL が 200 なだけでは不可）。 - 秘匿値は `.env.local` 等からプロセス内で読み、標準出力に出さない。 ## やってはいけない - 本人のログインを待つためだけに user に「一度ログインして」と頼む（手順 1 で不要になる）。 - 管理者画面の確認を user のスクリーンショットに頼む（手順 2 で機械確認できる）。 - 共有アカウントにパスワードログインを追加して確認する（不要な認証経路が増える）。 - `listUsers` を1ページ目だけ見て「存在しない」と判断する。 ---