Auth on BenzHub

Supabase MFA 與 SSR：多因子驗證與伺服器端渲染 | Supabase 完整教學

Mon, 12 Oct 2026 00:00:00 +0000

前面幾篇我們把「怎麼進門」講完了——email 密碼、OAuth、Magic Link 與 OTP，全都通往同一組 session。這一篇談「進門之後怎麼守得更穩」：先幫登入加上第二道防線，也就是 MFA（多因子驗證）／TOTP，用 enroll／challenge／verify 三步把 session 從 AAL1 升級成 AAL2，再用 RLS 依 aal 限制高敏感操作；接著處理 SSR——用 @supabase/ssr 以 cookie 保管 session，靠 middleware 在每個請求刷新 token，伺服器端一律用 getUser() 而非 getSession() 做授權。這是整個 Auth 段的收尾。

Supabase Magic Link 與 OTP：無密碼登入實作 | Supabase 完整教學

Sun, 11 Oct 2026 00:00:00 +0000

前兩篇我們讓使用者用 email 加密碼、或用 Google／GitHub 社群帳號登入。這一篇走向另一個極端——完全不要密碼：使用者只留一個 email，我們寄一條神奇連結（Magic Link）或一組 6 碼 OTP，點一下或輸入六位數就登入。核心是一支 signInWithOtp，寄連結還是寄驗證碼只差在 email 樣板用 {{ .ConfirmationURL }} 還是 {{ .Token }}；驗證碼那條再用 verifyOtp 收尾。我們也會講 shouldCreateUser、簡訊 OTP、以及限流與過期這些實務細節。

Supabase OAuth 社群登入：Google／GitHub 一鍵登入實作 | Supabase 完整教學

Sat, 10 Oct 2026 00:00:00 +0000

上一篇《Email/Password 驗證》我們讓使用者用 email 加密碼登入。這一篇換一種對使用者更省事的進門方式：OAuth 社群登入——按一顆「用 Google 登入」或「用 GitHub 登入」的按鈕就完成。我們會走完整條路：在 Dashboard 設定 provider 的 client id/secret 與 callback URL、前端呼叫 signInWithOAuth 觸發跳轉、理解 PKCE 流程如何防截取、在 callback route 用 exchangeCodeForSession 換回 session，最後讀取 provider 帶回的個人資料。

Supabase Email/Password 驗證：註冊、確認信與密碼重設 | Supabase 完整教學

Fri, 09 Oct 2026 00:00:00 +0000

上一篇《Auth 入門》我們把 session、JWT 與 RLS 的整合地基打好了。這一篇要把它落地：實作最經典、幾乎每個應用都會用到的 Email / Password 驗證。我們會走完整條路——signUp 註冊、Email 確認信流程、signInWithPassword 登入、signOut 登出，一直到 resetPasswordForEmail + updateUser 的密碼重設，並用 onAuthStateChange 即時監聽狀態變化。你會得到一套真的能跑的驗證系統。

Supabase Auth 入門：使用者、Session 與 JWT | Supabase 完整教學

Thu, 08 Oct 2026 00:00:00 +0000

Supabase Auth 建立在 GoTrue 這套開源驗證伺服器之上，負責「你是誰」這件事——使用者的註冊、登入、以及登入狀態（session）的管理。這一篇是核心服務的起點：我們會講清楚 access token（JWT）與 refresh token 怎麼搭配、auth.users 系統表與你自建的 public.profiles 如何關聯，以及最關鍵的一環——JWT 裡的 sub 為什麼等於 auth.uid()，讓 Auth 與前面學過的 RLS 無縫接上。