Supabase アプリで「まだ一度もログインしていない人」を管理者にし、その画面を本番で確認する

Google ログイン（OAuth / PKCE）で初回ログイン時にユーザー行を自動作成するアプリでは、 本人が一度ログインするまで users 行が存在せず、権限を付けられない。 この指示書は、本人のログインを待たずに管理者権限を用意し、 その権限で本番画面が正しく出ることを機械的に確認する手順。

前提（AI が最初に確認すること）

1. ログイン時のプロビジョニング処理を読む。典型は次の形:
   • exchangeCodeForSession(code) → users を id = auth.uid で検索 → 行があればそのまま通す／無ければ role='staff' で insert
   • この「既存行があれば通す」分岐が無いと本手順は使えない（上書きされる）。
2. 権限を変える画面が本当に無いかをコード検索で確かめる（例: users の role を update する処理の grep）。無いことを根拠付きで報告する。
3. 対象メールが許可ドメイン／許可リストに入っているかを確かめる。

手順 1: 認証アカウントと users 行を先に作る（service role）

import { createClient } from '@supabase/supabase-js';
const s = createClient(SUPABASE_URL, SERVICE_ROLE_KEY, { auth: { persistSession: false } });
const EMAIL = '<対象メール>';

// 既存の認証アカウントを全ページ走査（重複作成を防ぐ）
let found = null;
for (let page = 1; page < 50 && !found; page++) {
  const { data } = await s.auth.admin.listUsers({ page, perPage: 200 });
  found = data.users.find((u) => u.email?.toLowerCase() === EMAIL) ?? null;
  if (data.users.length < 200) break;
}
if (!found) {
  const { data } = await s.auth.admin.createUser({ email: EMAIL, email_confirm: true });
  found = data.user;
}
// users 行（アプリ側の権限テーブル）を管理者で作る／既存なら role だけ上げる
const existing = await s.from('users').select('id, role').eq('id', found.id).maybeSingle();
if (!existing.data) {
  await s.from('users').insert({ id: found.id, email: EMAIL, name: '<表示名>', org_id: '<組織ID>', role: 'admin', is_active: true });
} else if (existing.data.role !== 'admin') {
  await s.from('users').update({ role: 'admin' }).eq('id', found.id);
}
// 必ず read-back
const back = await s.from('users').select('email, role, is_active').eq('id', found.id).single();

• email_confirm: true にしておくと、後日の Google ログインで同じ確認済みメールの既存ユーザーに自動でつながる（Supabase の標準挙動）。 ただし実際の Google ログインでの確認は本人にしかできないので、報告では「未確認」と明記し、エラー時は画面文言をもらう段取りにする。
• 戻し方（role を staff に戻す1行）も報告に添える。

手順 2: その権限で本番画面を開いて確認する

本番ログインが PKCE の code 方式だと、generateLink が返すマジックリンク URL をブラウザで開いてもコールバックで弾かれる。 セッションを API で作り、@supabase/ssr が読む cookie を直接入れる。

import { chromium } from '@playwright/test';
const { data: link } = await s.auth.admin.generateLink({ type: 'magiclink', email: EMAIL }); // メールは送られない
const pub = createClient(SUPABASE_URL, ANON_KEY, { auth: { persistSession: false } });
const { data: v } = await pub.auth.verifyOtp({ type: 'magiclink', token_hash: link.properties.hashed_token });

const ref = new URL(SUPABASE_URL).hostname.split('.')[0];
const value = 'base64-' + Buffer.from(JSON.stringify(v.session)).toString('base64url');
const chunks = value.match(/.{1,3180}/g);           // 大きい場合は .0 .1 … に分割される
const cookies = (chunks.length === 1
  ? [[`sb-${ref}-auth-token`, value]]
  : chunks.map((c, i) => [`sb-${ref}-auth-token.${i}`, c]))
  .map(([name, val]) => ({ name, value: val, domain: '<本番ホスト>', path: '/', secure: true, sameSite: 'Lax' }));

const browser = await chromium.launch();
const ctx = await browser.newContext();
await ctx.addCookies(cookies);
const page = await ctx.newPage();
await page.goto('https://<本番ホスト>/<管理者画面>');
console.log(await page.getByRole('button', { name: '<管理者だけに出るボタン>' }).isVisible());
await s.auth.admin.signOut(v.session.access_token).catch(() => {}); // 後始末
await browser.close();

• 判定は「管理者だけに出る要素が見える」ことで行う（URL が 200 なだけでは不可）。
• 秘匿値は .env.local 等からプロセス内で読み、標準出力に出さない。

やってはいけない

• 本人のログインを待つためだけに user に「一度ログインして」と頼む（手順 1 で不要になる）。
• 管理者画面の確認を user のスクリーンショットに頼む（手順 2 で機械確認できる）。
• 共有アカウントにパスワードログインを追加して確認する（不要な認証経路が増える）。
• listUsers を1ページ目だけ見て「存在しない」と判断する。