Le service aura-auth émet et valide des JWT pour les utilisateurs d'un projet. La signature est HS256 par défaut, avec un secret dérivé par projet ; RS256 (et l'exposition d'un JWKS) n'est utilisé que si une clé RSA est configurée — c'est un opt-in, pas le comportement par défaut. Il gère le cycle de vie complet : inscription, vérification email, MFA, rotation des refresh tokens, révocation côté serveur.
Chaque token embarque sub, project_id, role, tenant. Le gateway injecte ces claims dans les connexions Postgres via request.jwt.claims, rendant les policies RLS directement accessibles à auth.uid(), auth.role(), auth.tenant().
Info
Les tables utilisateurs vivent dans project_{uuid}_auth : users, oauth_accounts, refresh_tokens, mfa_factors, sessions, auth_audit_log.
export async function signUp(email: string, password: string) {
const { data, error } = await aura.auth.signUp({
email,
password,
options: { emailRedirectTo: '/auth/callback' },
})
if (error) return { error }
return { user: data.user }
}
Session côté serveur
En Next.js App Router, utilisez toujours le helper createServerClient depuis @aurabase/next dans les server actions et route handlers. Le cookie refresh token est httpOnly et ne doit jamais être lu par du JS client.
