@aiquants/auth-react-router 0.15.0 → 0.16.0

package/src/admin.ts

@@ -1,5 +0,0 @@
-/**
- * @aiquants/auth-react-router/admin — user administration UI and store adapters.
- * ユーザー管理 UI およびストアアダプタのバレル。
- */
-export * from "./admin/app"

package/src/client/GoogleForm.tsx

@@ -1,47 +0,0 @@
-/**
- * @module GoogleForm
- * @description Google sign-in form button (tailwind-variants styled).
- * Google サインインフォームボタン (tailwind-variants スタイル)。
- *
- * 原本 (quants-react-router components/elements/GoogleForm.tsx) を挙動保存で移植。
- * ラベル・action 値は props 化し、既定値は原本と同一 ("Sign In with Google")。
- */
-// react-icons はコレクション単位の exports キー ("./fa" など) だけを公開しており、ワイルドカードを持たない。
-// `react-icons/fa/index.js` は実ファイルが存在しても exports マップに無いため、TypeScript (bundler/nodenext)・
-// Node ESM・esbuild/Vite の全てが解決を拒否する。この指定子に拡張子を足してはならない (#2044 の再発防止)。
-import { FaGoogle } from "react-icons/fa"
-import { Form } from "react-router"
-import { tv } from "tailwind-variants"
-
-const googleFormStyles = tv({
-    slots: {
-        googleForm: "my-4",
-        btn: "w-full flex items-center justify-center gap-3 rounded-2xl bg-gradient-to-r from-blue-500 to-indigo-500 px-6 py-3 text-white font-bold shadow-lg transition-all duration-300 hover:from-blue-600 hover:to-indigo-600 hover:scale-105 focus:outline-none focus:ring-2 focus:ring-blue-300",
-        icon: "",
-        btnText: "text-base tracking-wide",
-    },
-})
-
-/** GoogleForm のプロパティ。 */
-export type GoogleFormProps = {
-    /** フォーム action の値 (loginAction の switch と一致させる)。既定 "Sign In with Google"。 */
-    actionValue?: string
-    /** ボタンの表示ラベル。既定 "Sign in with Google"。 */
-    label?: string
-}
-
-/**
- * Renders the Google sign-in form (POST with `_action`).
- * Google サインインフォーム (`_action` 付き POST) を描画する。
- */
-export const GoogleForm = ({ actionValue = "Sign In with Google", label = "Sign in with Google" }: GoogleFormProps = {}) => {
-    const { googleForm, btn, icon: _icon, btnText } = googleFormStyles()
-    return (
-        <Form method="POST" className={googleForm()}>
-            <button type="submit" name="_action" value={actionValue} className={btn()}>
-                <FaGoogle size={24} className="text-white drop-shadow" />
-                <span className={btnText()}>{label}</span>
-            </button>
-        </Form>
-    )
-}

package/src/client.ts

@@ -1,6 +0,0 @@
-/**
- * @aiquants/auth-react-router/client — client-side auth components barrel.
- * クライアントサイド認証コンポーネントのバレル。
- */
-export type { GoogleFormProps } from "./client/GoogleForm"
-export { GoogleForm } from "./client/GoogleForm"

package/src/server/auth-server.ts

@@ -1,69 +0,0 @@
-/**
- * @module auth-server
- * @description Aggregate factory bundling session, authenticator, guards and handlers.
- * セッション・認証器・ガード・ハンドラを束ねる一括ファクトリ。
- *
- * daily-report の createDailyReportServer と同型の単一結線点。アプリは
- * `createAuthServer(config)` を 1 回呼び、返り値を各 `*.server.ts` shim から再輸出する。
- */
-import { createAuthenticate } from "./authenticate"
-import { createAuthenticateInLoader } from "./authenticate-in-loader"
-import { createGoogleAuthenticator } from "./google-strategy"
-import { createAuthHandlers } from "./handlers"
-import { defaultLogger } from "./logger"
-import type { AuthServerConfig } from "./ports"
-import { createAuthSessionStorage } from "./session"
-
-/** createAuthServer が返す認証サーバー束。 */
-export type AuthServer = ReturnType<typeof createAuthServer>
-
-/**
- * Builds the full auth server bundle from a single config.
- * 単一の設定から認証サーバー束一式を生成する。
- */
-export const createAuthServer = (config: AuthServerConfig) => {
-    const logger = config.logger ?? defaultLogger
-
-    // セッションストレージ + ヘルパー (テストバックドアはポート委譲)
-    const storage = createAuthSessionStorage(config.session, {
-        mockUser: config.mockUser,
-        loginPath: config.loginPath,
-        postLoginRedirect: config.postLoginRedirect,
-        isUserActive: config.isUserActive,
-    })
-
-    // Google 認証器 (verify コールバックはポート結線済み)
-    const authenticator = createGoogleAuthenticator(config)
-
-    // トークンリフレッシュ
-    const authFns = createAuthenticate(config, storage, logger)
-
-    // 毎リクエストのローダーガード (写真キャッシュ内包)
-    const authenticateInLoader = createAuthenticateInLoader(config, storage, authFns, logger)
-
-    // ルートハンドラ (login/logout/callback)
-    const handlers = createAuthHandlers(config, storage, authenticator, logger)
-
-    return {
-        // 認証器
-        authenticator,
-        // セッション操作/トークンガードの内部束 (テストでの失敗注入等に使う。プロパティ差し替えは
-        // authenticate / authenticateInLoader の内部呼び出しへ即時反映される)
-        storage,
-        authFns,
-        sessionStorage: storage.sessionStorage,
-        getSession: storage.getSession,
-        getSessionUser: storage.getSessionUser,
-        saveSession: storage.saveSession,
-        requireUser: storage.requireUser,
-        requireAdminUser: storage.requireAdminUser,
-        commitSession: storage.commitSession,
-        destroySession: storage.destroySession,
-        // トークンガード
-        authenticate: authFns.authenticate,
-        refreshedAccessToken: authFns.refreshedAccessToken,
-        authenticateInLoader,
-        // ルートハンドラ
-        ...handlers,
-    }
-}

package/src/server/authenticate-in-loader.ts

@@ -1,243 +0,0 @@
-/**
- * @module authenticate-in-loader
- * @description Per-request loader authentication guard with photo cache and warmup.
- * 写真キャッシュとウォームアップ付きの毎リクエストローダー認証ガード。
- *
- * 原本 (quants-react-router authenticateInLoader.server.ts) を挙動保存で移植。
- * DB クエリ (getOpenids) は `getUserPhoto` ポートへ、DB プールウォームアップは `warmup`
- * ポートへ置き換えた。写真キャッシュ (Map + pending dedup) はファクトリインスタンスごとに
- * 保持する (module-level mutable state の排除)。
- */
-import type { AuthenticationPayload, MyGoogleProfile, SessionProfile } from "@aiquants/auth-core"
-import { redirect } from "react-router"
-import { type AuthenticateFns, AuthRequiredError } from "./authenticate"
-import type { AuthServerConfig, LoggerPort } from "./ports"
-import type { AuthSessionStorage } from "./session"
-
-/**
- * Mode-neutral result of the authentication work, carrying no failure policy.
- * 失敗時の方針を含まない、モード中立な認証作業の結果。
- *
- * リダイレクトするか否かは呼び出し元ごとの方針であり、認証**作業**の一部ではない。
- * 結果をこの形に保つことで、`failureRedirect` の指定が異なる呼び出し元どうしが
- * 1 リクエスト 1 回の作業を共有できる。
- */
-type LoaderAuthOutcome = { readonly kind: "authenticated"; readonly user: MyGoogleProfile; readonly cookie?: string } | { readonly kind: "unauthenticated"; readonly cookie?: string }
-
-/** createAuthenticateInLoader が返すローダーガード関数。 */
-export type AuthenticateInLoader = ReturnType<typeof createAuthenticateInLoader>
-
-/**
- * Builds the per-request loader guard wired to injected ports.
- * 注入ポートに結線した毎リクエストローダーガードを生成する。
- */
-export const createAuthenticateInLoader = (config: AuthServerConfig, storage: AuthSessionStorage, authFns: AuthenticateFns, logger: LoggerPort) => {
-    // 写真キャッシュ (インスタンススコープ。同時リクエストは pending dedup で 1 クエリに集約)
-    const openidPhotoCache = new Map<string, string>()
-    const pendingOpenidPhotoQueries = new Map<string, Promise<string>>()
-
-    /**
-     * Resolves the user photo with cache + in-flight dedup, delegating the query to the port.
-     * キャッシュ + 実行中 dedup 付きでユーザー写真を解決する (実クエリはポートへ委譲)。
-     */
-    const getCachedOpenidPhoto = async (openid: string): Promise<string> => {
-        const cached = openidPhotoCache.get(openid)
-        if (cached !== undefined) {
-            return cached
-        }
-
-        const pending = pendingOpenidPhotoQueries.get(openid)
-        if (pending !== undefined) {
-            return pending
-        }
-
-        const fetchPromise = (async () => {
-            try {
-                const photo = config.getUserPhoto ? await config.getUserPhoto(openid) : ""
-                openidPhotoCache.set(openid, photo)
-                return photo
-            } catch (error) {
-                openidPhotoCache.delete(openid)
-                throw error
-            } finally {
-                pendingOpenidPhotoQueries.delete(openid)
-            }
-        })()
-
-        pendingOpenidPhotoQueries.set(openid, fetchPromise)
-        return fetchPromise
-    }
-
-    // 1 リクエスト = 1 認証。React Router は 1 データパス内の全ローダーへ**同一の** Request
-    // インスタンスを渡す (callLoaderOrAction が単一の request をクローズオーバーする) ため、
-    // Request 同一性をそのままキーにできる。
-    //
-    // キーに `failureRedirect` を含めてはならない。あれは失敗時の**方針**であって認証**作業**では
-    // なく、含めると root (null) と leaf (文字列) が別スロットに落ちて 1 ナビゲーションで二重に
-    // 認証する。期限切れ時には Google のトークン更新が 2 本走り、内容の異なる Set-Cookie が
-    // 2 本返る (React Router の Set-Cookie 重複排除はバイト一致のみ)。
-    //
-    // 保持は Request の寿命と同じで TTL も無効化 API も持たない。ストリーミング応答は Request を
-    // コネクション終了まで掴むため、エントリもその間生き残る。リソースルートはローダーが 1 本
-    // なのでエントリは一度書かれて二度と読まれず、陳腐化の危険は無い。ただしストリーム途中で
-    // 再認証する実装を将来足すと、何時間も前のトークンを掴むことになる。
-    const outcomeByRequest = new WeakMap<Request, Promise<LoaderAuthOutcome>>()
-
-    /**
-     * Performs the authentication work once, independent of any failure policy.
-     * 失敗時の方針から独立した認証作業そのもの。
-     *
-     * 戻り値は**モード中立**で、リダイレクトするか否かの判断を含まない。これにより
-     * `failureRedirect` の指定が異なる複数の呼び出し元が 1 つの結果を共有できる。
-     *
-     * @param request - リクエストオブジェクト。
-     * @returns 認証済みか未認証かを判別できる結果。
-     */
-    const resolveOutcome = async (request: Request): Promise<LoaderAuthOutcome> => {
-        // DB 接続プールが確実にオープンするのを待ってから処理を開始する (E2E 等でのコールドスタート競合回避)
-        if (config.warmup) {
-            await config.warmup()
-        }
-
-        const session = await storage.getSession(request)
-        const currentUser = await storage.getSessionUser(request)
-
-        if (currentUser === undefined) {
-            return { kind: "unauthenticated" }
-        }
-
-        // try で覆うのは**認証そのもの**だけに限る。写真取得ポートやセッション保存まで含めると、
-        // DB プールの一時的な失敗が「認証失敗」に化け、有効なセッションを持つ利用者が
-        // 無関係な障害で再ログインを強いられる
-        let authenticatedTokens: Awaited<ReturnType<typeof authFns.authenticate>>
-        try {
-            // 常に null モードで呼ぶ。ここで失敗方針を渡すと結果がモード依存になり共有できない
-            authenticatedTokens = await authFns.authenticate(request, session, { failureRedirect: null })
-        } catch (error) {
-            if (error instanceof AuthRequiredError) {
-                // 認証失敗。セッション破棄を伴う経路では破棄 Set-Cookie を運ぶ
-                // (捨てると無効セッションがブラウザに残り続ける)
-                return error.setCookie !== undefined ? { kind: "unauthenticated", cookie: error.setCookie } : { kind: "unauthenticated" }
-            }
-            // 認証失敗ではない予期せぬ失敗。セッションを破棄してログインへ飛ばすとインフラ障害が
-            // ログアウトに化けて真因が消えるため、どのモードでも素通しする
-            logger.error("Error in authenticateInLoader:", error)
-            throw error
-        }
-
-        // ここから先は認証済み。写真取得やセッション保存の失敗は「認証失敗」ではないため畳まず、
-        // そのまま送出して呼び出し側 (ErrorBoundary / 500) に本当の原因を見せる
-
-        // 認証ペイロードの構築
-        const authenticationPayload: AuthenticationPayload = {
-            accessToken: authenticatedTokens.accessToken,
-            refreshToken: authenticatedTokens.refreshToken,
-            expirationDateMs: authenticatedTokens.expirationDateMs,
-            provider: currentUser.provider,
-        }
-        // セッション内のユーザ情報
-        const updatedSessionUser: SessionProfile = {
-            id: currentUser.id,
-            displayName: currentUser.displayName,
-            name: currentUser.name,
-            emails: currentUser.emails,
-            ...authenticationPayload,
-            role: currentUser.role,
-        }
-
-        // ユーザー写真をキャッシュまたはポートから取得
-        const photo = await getCachedOpenidPhoto(currentUser.id)
-
-        // ユーザープロファイル情報
-        const updatedUser: MyGoogleProfile = {
-            ...currentUser,
-            ...authenticationPayload,
-            photo,
-        }
-
-        // トークンが更新 (リフレッシュ) された場合のみ、セッションを保存して Cookie ヘッダーを設定する
-        const isRefreshed = authenticatedTokens.accessToken !== currentUser.accessToken
-        const cookie = isRefreshed ? await storage.saveSession(request, updatedSessionUser) : undefined
-
-        return cookie !== undefined ? { kind: "authenticated", user: updatedUser, cookie } : { kind: "authenticated", user: updatedUser }
-    }
-
-    /**
-     * Returns the per-request authentication outcome, computing it at most once.
-     * リクエスト単位の認証結果を返す (計算は高々 1 回)。
-     *
-     * この関数を `async` にしてはならない。`get` と `set` の間に await 境界が入ると、
-     * 並行する 2 つの呼び出しが両方とも miss して二重認証に戻る。
-     *
-     * @param request - リクエストオブジェクト。
-     * @returns 共有される認証結果の Promise。
-     */
-    const sharedOutcome = (request: Request): Promise<LoaderAuthOutcome> => {
-        const cached = outcomeByRequest.get(request)
-        if (cached !== undefined) {
-            return cached
-        }
-        const pending = resolveOutcome(request)
-        outcomeByRequest.set(request, pending)
-        return pending
-    }
-
-    /**
-     * Handles authentication within loader requests, redirecting on any authentication failure.
-     * ローダーリクエスト内の認証処理 (認証失敗時は必ずリダイレクトを throw)。
-     *
-     * `failureRedirect` に文字列を渡した場合、認証失敗は例外 (redirect Response) として送出される
-     * ため、正常に戻った時点で `user` は必ず存在する。呼び出し側に到達不能な `!user` ガードを
-     * 書かせないよう、戻り値の `user` を必須として型付けする。
-     *
-     * 認証以外の失敗 (認証処理内部の予期せぬ例外・写真取得ポートの障害・セッション保存の失敗) は
-     * リダイレクトへ畳まず送出する。認証の可否とは無関係な障害であり、ログアウトに化けさせると
-     * 有効なセッションが失われたうえ真因も消える。
-     *
-     * @param request - リクエストオブジェクト。
-     * @param options - 認証オプション。`failureRedirect` は認証失敗時のリダイレクト先。
-     * @returns 認証済みユーザープロファイルとオプショナルな Set-Cookie 値。
-     */
-    async function authenticateInLoader(request: Request, options: { failureRedirect: string }): Promise<{ user: MyGoogleProfile; cookie?: string }>
-    /**
-     * Handles authentication within loader requests without ever redirecting.
-     * ローダーリクエスト内の認証処理 (リダイレクトを一切発生させない)。
-     *
-     * `failureRedirect: null` では全ての**認証**失敗経路が `{}` を返す。セッション破棄を伴う失敗
-     * (期限切れ + リフレッシュ失敗) では破棄 Set-Cookie を `cookie` に載せて返すため、呼び出し側は
-     * 未認証応答にもこれを転送すること (捨てると無効セッションがブラウザに残り続ける)。
-     *
-     * 認証以外の失敗は文字列モードと同じく送出する。両モードの観測可能な差はリダイレクトの
-     * 有無だけであり、それ以外に差を作らない。
-     *
-     * @param request - リクエストオブジェクト。
-     * @param options - 認証オプション。`failureRedirect: null` でリダイレクトを明示的にスキップ。
-     * @returns 未認証なら `user` を持たない結果、認証済みならユーザープロファイル。
-     */
-    async function authenticateInLoader(request: Request, options: { failureRedirect: null }): Promise<{ user?: MyGoogleProfile; cookie?: string }>
-    /**
-     * Implementation signature shared by both overloads (not part of the public API).
-     * 両オーバーロードが共有する実装シグネチャ (公開 API ではない)。
-     */
-    async function authenticateInLoader(request: Request, options: { failureRedirect: string } | { failureRedirect: null }): Promise<{ user?: MyGoogleProfile; cookie?: string }> {
-        const { failureRedirect } = options
-        // 空文字は「既定でよい」という表明ではなく取り違えである。既定へ倒すと意図しない遷移先を
-        // 黙って使うことになるため、認証の成否を待たず入口で失敗させる
-        if (failureRedirect === "") {
-            throw new TypeError("failureRedirect must not be an empty string; pass null to skip redirecting")
-        }
-
-        const outcome = await sharedOutcome(request)
-        if (outcome.kind === "authenticated") {
-            return outcome.cookie !== undefined ? { user: outcome.user, cookie: outcome.cookie } : { user: outcome.user }
-        }
-
-        // 未認証。ここから先が呼び出し元ごとの失敗方針であり、共有される作業には含めない
-        if (failureRedirect === null) {
-            return outcome.cookie !== undefined ? { cookie: outcome.cookie } : {}
-        }
-        throw outcome.cookie !== undefined ? redirect(failureRedirect, { headers: { "Set-Cookie": outcome.cookie } }) : redirect(failureRedirect)
-    }
-
-    return authenticateInLoader
-}

package/src/server/authenticate.ts

@@ -1,224 +0,0 @@
-/**
- * @module authenticate
- * @description Session token guard with Google refresh-token rotation.
- * Google リフレッシュトークンによるセッショントークンガード。
- *
- * 原本 (quants-react-router authenticate.server.ts) を挙動保存で移植。
- * env (GOOGLE_CLIENT_ID/SECRET) は Google 設定注入に、destroySession はセッションストレージ
- * 注入に、テストバックドアは mockUser ポート注入に置き換えた。
- * 期限判定 → リフレッシュ → 失敗時セッション破棄 + ログインへリダイレクトの流れは原本と等価。
- *
- * 参考: https://sergiodxa.com/articles/working-with-refresh-tokens-in-remix
- */
-import type { SessionProfile } from "@aiquants/auth-core"
-import { redirect, type Session } from "react-router"
-import type { AuthServerConfig, LoggerPort } from "./ports"
-import type { AuthSessionStorage } from "./session"
-
-/** トークンリフレッシュ失敗の基底エラー。 */
-export class TokenRefreshError extends Error {
-    constructor(message: string) {
-        super(message)
-        this.name = "TokenRefreshError"
-    }
-}
-
-/** Google の invalid_grant (失効/取り消し済みリフレッシュトークン) エラー。 */
-export class GoogleInvalidGrantError extends TokenRefreshError {
-    constructor() {
-        super("Google refresh token invalid or revoked")
-        this.name = "GoogleInvalidGrantError"
-    }
-}
-
-/**
- * Signals that authentication is required when the caller opted out of redirecting.
- * 呼び出し側がリダイレクトを拒否した (`failureRedirect: null`) 際に認証要求を伝えるエラー。
- *
- * `redirect()` を投げてしまうと React Router がそれを本物の 302 として扱うため、
- * 「リダイレクトしない」という契約を型で表現できるこのエラーへ置き換える。
- * セッション破棄が発生した場合はその `Set-Cookie` を `setCookie` で運ぶ
- * (捨てると無効セッションがブラウザに残り続ける)。
- */
-export class AuthRequiredError extends Error {
-    readonly setCookie?: string
-
-    constructor(setCookie?: string) {
-        super("Authentication required")
-        this.name = "AuthRequiredError"
-        this.setCookie = setCookie
-    }
-}
-
-/** createAuthenticate が返す認証関数束。 */
-export type AuthenticateFns = ReturnType<typeof createAuthenticate>
-
-/**
- * Builds the `authenticate` / `refreshedAccessToken` pair wired to injected config.
- * 注入設定に結線した `authenticate` / `refreshedAccessToken` を生成する。
- */
-export const createAuthenticate = (config: AuthServerConfig, storage: AuthSessionStorage, logger: LoggerPort) => {
-    const loginPath = config.loginPath ?? "/auth/login"
-    const sessionKey = storage.sessionKey
-
-    /**
-     * Refreshes the Google access token using the refresh token in the session.
-     * セッション内のリフレッシュトークンで Google アクセストークンを更新する。
-     */
-    const getRefreshedGoogleAccessToken = async (session: Session) => {
-        const userFromSession = session.get(sessionKey)
-        const refreshTokenFromSession = userFromSession?.refreshToken
-        if (!refreshTokenFromSession) {
-            throw new Error("Refresh token not found in session")
-        }
-        try {
-            const url = "https://www.googleapis.com/oauth2/v4/token"
-            const body = {
-                client_id: config.google.clientId,
-                client_secret: config.google.clientSecret,
-                grant_type: "refresh_token",
-                refresh_token: refreshTokenFromSession,
-            }
-
-            const response = await fetch(url, {
-                headers: {
-                    "Content-Type": "application/json",
-                },
-                method: "POST",
-                body: JSON.stringify(body),
-            })
-
-            if (!response.ok) {
-                // Google API からエラーが返された場合 (JSON パース失敗も考慮)
-                const errorData = await response.json().catch(() => undefined)
-                const isInvalidGrant = response.status === 400 && typeof errorData === "object" && !!errorData && "error" in errorData && errorData.error === "invalid_grant"
-                if (isInvalidGrant) {
-                    throw new GoogleInvalidGrantError()
-                }
-                const errorDescription = typeof errorData === "object" && errorData && "error_description" in errorData ? String(errorData.error_description) : "Unknown error"
-                throw new TokenRefreshError(`Google token refresh failed: ${response.status} ${errorDescription}`)
-            }
-
-            const refreshedTokens = await response.json()
-            const { access_token, expires_in } = refreshedTokens // id_token, scope, token_type は不要
-
-            if (!(access_token && expires_in)) {
-                logger.error("Invalid token response from Google:", refreshedTokens)
-                throw new Error("Invalid token response from Google")
-            }
-
-            return {
-                accessToken: access_token,
-                refreshToken: refreshTokenFromSession, // Google は通常リフレッシュトークンを再発行しない
-                expirationDateMs: Number(Date.now()) + expires_in * 1000,
-            }
-        } catch (error) {
-            if (error instanceof TokenRefreshError) {
-                throw error
-            }
-            const description = error instanceof Error ? error.message : "Unknown error"
-            throw new TokenRefreshError(`Failed to refresh Google access token: ${description}`)
-        }
-    }
-
-    /**
-     * Dispatches the token refresh by session provider (currently Google only).
-     * セッションのプロバイダー別にトークンリフレッシュを振り分ける (現状 Google のみ)。
-     */
-    const refreshedAccessToken = async (session: Session) => {
-        const sessionProfile: SessionProfile = session.get(sessionKey)
-        const provider = sessionProfile.provider
-        if (!provider) {
-            throw new Error("Provider not found in session")
-        }
-        switch (provider) {
-            case "google":
-                return await getRefreshedGoogleAccessToken(session)
-            default:
-                throw new Error("Provider not supported")
-        }
-    }
-
-    /**
-     * Validates session tokens, refreshing them when expired; destroys the session on refresh failure.
-     * セッショントークンを検証し、期限切れならリフレッシュする。失敗時はセッションを破棄する。
-     */
-    const authenticate = async (request: Request, session: Session, options?: { failureRedirect?: string | null }) => {
-        const { failureRedirect } = options || {}
-
-        // failureRedirect が null のときはリダイレクトを作らず AuthRequiredError を投げる。
-        // undefined / 文字列のときは従来どおり redirect() を投げる。
-        const authFailure = (setCookie?: string) => {
-            if (failureRedirect === null) {
-                return new AuthRequiredError(setCookie)
-            }
-            // 未指定 (undefined) は「既定のログイン先で良い」という表明なので loginPath へ倒す。
-            // 空文字は表明ではなく取り違えであり、既定へ倒すと意図しない遷移先を黙って使うことに
-            // なるため失敗させる (`||` で両者を同一視しない)
-            if (failureRedirect === "") {
-                throw new TypeError("failureRedirect must not be an empty string; pass null to skip redirecting")
-            }
-            const target = failureRedirect ?? loginPath
-            return setCookie !== undefined ? redirect(target, { headers: { "Set-Cookie": setCookie } }) : redirect(target)
-        }
-        try {
-            // テストバックドア (ポート注入時のみ有効)
-            if (config.mockUser?.enabled(request)) {
-                return {
-                    accessToken: "mock-access-token",
-                    refreshToken: "mock-refresh-token",
-                    expirationDateMs: Date.now() + 3600000,
-                }
-            }
-
-            // セッションから認証データを取得
-            const user = session.get(sessionKey)
-            if (!(user?.accessToken && user.expirationDateMs)) {
-                throw authFailure()
-            }
-
-            const { accessToken, refreshToken, expirationDateMs } = user
-
-            // 期限切れならエラーを投げてリフレッシュ経路へ
-            if (expirationDateMs < Date.now()) {
-                if (!refreshToken) {
-                    // リフレッシュトークンがない場合は更新できないので認証失敗として扱う
-                    throw authFailure()
-                }
-                throw new Error("Expired")
-            }
-
-            // 期限内ならそのまま返す
-            return { accessToken, refreshToken, expirationDateMs }
-        } catch (error) {
-            // 期限切れエラーのみリフレッシュを試みる
-            if (error instanceof Error && error.message === "Expired") {
-                try {
-                    const refreshed = await refreshedAccessToken(session)
-
-                    // セッションを新しいトークンで更新
-                    const user = session.get(sessionKey)
-                    session.set(sessionKey, { ...user, ...refreshed })
-
-                    // アクセストークンを返す (commit は呼び出し側の責務)
-                    return refreshed
-                } catch (refreshError) {
-                    if (refreshError instanceof GoogleInvalidGrantError) {
-                        logger.warn("Google refresh token invalid or revoked")
-                    } else {
-                        const message = refreshError instanceof Error ? refreshError.message : "Unknown error"
-                        logger.error("Failed to refresh token:", message)
-                    }
-                    // リフレッシュに失敗した場合はセッションを破棄してログインページへ
-                    const cookie = await storage.destroySession(session)
-                    throw authFailure(cookie)
-                }
-            }
-
-            // その他の予期せぬエラーは再 throw
-            throw error
-        }
-    }
-
-    return { authenticate, refreshedAccessToken }
-}