@aiquants/auth-react-router 0.15.0 → 0.16.0

package/src/server/google-strategy-impl.ts

@@ -1,154 +0,0 @@
-/**
- * @module google-strategy-impl
- * @description Self-contained Google OAuth2 strategy (ported from @coji/remix-auth-google).
- * 自己完結型の Google OAuth2 ストラテジー (@coji/remix-auth-google から移植)。
- *
- * @coji/remix-auth-google@4.2.0 の実装 (68 行) を挙動保存で移植し、外部依存を除去する。
- * OAuth2 の本体機構 (PKCE / state / トークン交換) は継承元の remix-auth-oauth2 が担うため
- * 移植対象ではない。ここに置くのは Google 固有の設定 (エンドポイント URL・既定スコープ)、
- * 認可パラメータの上書き (access_type / include_granted_scopes / prompt / hd / login_hint)、
- * および userinfo (v3) からプロファイルを取得する静的メソッドのみ。
- *
- * 既定スコープ・URL・プロファイル整形 (sub→id、picture→photos、_json=raw) は原本と byte 一致。
- */
-import { OAuth2Strategy } from "remix-auth-oauth2"
-
-/** Google の既定スコープ (原本と同一。フル URL 形式)。 */
-export const GoogleStrategyDefaultScopes = ["openid", "https://www.googleapis.com/auth/userinfo.profile", "https://www.googleapis.com/auth/userinfo.email"]
-
-/** ストラテジー名 (remix-auth の Authenticator 登録キー)。 */
-export const GoogleStrategyDefaultName = "google"
-
-// userinfo エンドポイント (v3)。プロファイル取得のみに用いる
-const userInfoURL = "https://www.googleapis.com/oauth2/v3/userinfo"
-
-/** @see https://developers.google.com/identity/protocols/oauth2/scopes */
-export type GoogleScope = string
-
-/** GoogleStrategy のコンストラクタオプション (原本 @coji と同一)。 */
-export type GoogleStrategyOptions = {
-    clientId: string
-    clientSecret: string
-    redirectURI: string
-    /** @default "openid profile email" 相当 (GoogleStrategyDefaultScopes)。 */
-    scopes?: GoogleScope[]
-    accessType?: "online" | "offline"
-    includeGrantedScopes?: boolean
-    prompt?: "none" | "consent" | "select_account"
-    hd?: string
-    loginHint?: string
-}
-
-/** userinfo から取得・整形した Google プロファイル (原本 GoogleProfile と同一形状)。 */
-export type GoogleProfile = {
-    id: string
-    displayName: string
-    name: {
-        familyName: string
-        givenName: string
-    }
-    emails: [{ value: string }]
-    photos: [{ value: string }]
-    _json: {
-        sub: string
-        name: string
-        given_name: string
-        family_name: string
-        picture: string
-        locale: string
-        email: string
-        email_verified: boolean
-        hd: string
-    }
-}
-
-// userProfile が必要とする最小のトークン形状 (arctic の OAuth2Tokens の部分集合)。
-// 直接 arctic へ依存しないための構造的型。実際に呼ぶのは accessToken() のみ。
-type OAuth2AccessTokenSource = { accessToken(): string }
-
-/**
- * Google OAuth2 strategy for remix-auth (extends remix-auth-oauth2's OAuth2Strategy).
- * remix-auth 用の Google OAuth2 ストラテジー (remix-auth-oauth2 の OAuth2Strategy を継承)。
- */
-export class GoogleStrategy<User> extends OAuth2Strategy<User> {
-    name = GoogleStrategyDefaultName
-    private readonly scopes: GoogleScope[]
-    private readonly accessType: "online" | "offline"
-    private readonly prompt?: "none" | "consent" | "select_account"
-    private readonly includeGrantedScopes: boolean
-    private readonly hd?: string
-    private readonly loginHint?: string
-
-    constructor({ clientId, clientSecret, redirectURI, scopes, accessType, includeGrantedScopes, prompt, hd, loginHint }: GoogleStrategyOptions, verify: OAuth2Strategy<User>["verify"]) {
-        const scopeList = scopes ?? GoogleStrategyDefaultScopes
-        super(
-            {
-                clientId,
-                clientSecret,
-                redirectURI,
-                authorizationEndpoint: "https://accounts.google.com/o/oauth2/v2/auth",
-                tokenEndpoint: "https://oauth2.googleapis.com/token",
-                scopes: scopeList,
-            },
-            verify,
-        )
-        this.scopes = scopeList
-        this.accessType = accessType ?? "online"
-        this.includeGrantedScopes = includeGrantedScopes ?? false
-        this.prompt = prompt
-        this.hd = hd
-        this.loginHint = loginHint
-    }
-
-    /**
-     * Adds Google-specific authorization parameters to the redirect URL.
-     * 認可リダイレクト URL へ Google 固有パラメータを付与する。
-     */
-    protected authorizationParams(params: URLSearchParams, _request?: Request): URLSearchParams {
-        params.set("access_type", this.accessType)
-        params.set("include_granted_scopes", String(this.includeGrantedScopes))
-        if (this.scopes && this.scopes.length > 0) {
-            params.set("scope", this.scopes.join(" "))
-        }
-        if (this.prompt) {
-            params.set("prompt", this.prompt)
-        }
-        if (this.hd) {
-            params.set("hd", this.hd)
-        }
-        if (this.loginHint) {
-            params.set("login_hint", this.loginHint)
-        }
-        return params
-    }
-
-    /**
-     * Fetches the Google user profile from the userinfo (v3) endpoint.
-     * userinfo (v3) エンドポイントから Google ユーザープロファイルを取得する。
-     *
-     * @throws プロファイル取得に失敗した場合 (レスポンスが ok でない)。
-     */
-    static async userProfile(tokens: OAuth2AccessTokenSource): Promise<GoogleProfile> {
-        const response = await fetch(userInfoURL, {
-            headers: {
-                Authorization: `Bearer ${tokens.accessToken()}`,
-            },
-        })
-        if (!response.ok) {
-            throw new Error(`Failed to fetch user profile: ${response.statusText}`)
-        }
-        const raw = await response.json()
-        const profile: GoogleProfile = {
-            id: raw.sub,
-            displayName: raw.name,
-            name: {
-                familyName: raw.family_name,
-                givenName: raw.given_name,
-            },
-            emails: [{ value: raw.email }],
-            photos: [{ value: raw.picture }],
-            _json: raw,
-        }
-        return profile
-    }
-}

package/src/server/google-strategy.ts

@@ -1,183 +0,0 @@
-/**
- * @module google-strategy
- * @description Google OAuth authenticator factory (remix-auth v4 + local GoogleStrategy).
- * Google OAuth 認証器ファクトリ (remix-auth v4 + 同梱の GoogleStrategy)。
- *
- * 原本 (quants-react-router auth.server.ts) の verify コールバックを挙動保存で移植。
- * env 読取り・backend HTTP・allowlist・エラーメッセージはすべてポート/設定注入に置き換えた。
- * 検証順序 (Google プロフィール検証 → backend verify → allowlist → backend signup)、
- * リダイレクト先 (`<loginPath>?error=<encoded>`)、エラーメッセージ文言は原本と等価。
- */
-import type { MyGoogleProfile } from "@aiquants/auth-core"
-import { type AuthMessages, resolveAuthMessages } from "@aiquants/auth-core"
-import { redirect } from "react-router"
-import { Authenticator } from "remix-auth"
-import { GoogleStrategy } from "./google-strategy-impl"
-import { defaultLogger } from "./logger"
-import type { AuthServerConfig } from "./ports"
-
-interface GoogleToken {
-    id_token?: string
-    access_token?: string
-    refresh_token?: string
-    expires_in?: number
-    scope?: string
-}
-
-/**
- * Builds a remix-auth Authenticator with the Google strategy wired to injected ports.
- * 注入ポートに結線した Google ストラテジー付き Authenticator を生成する。
- */
-export const createGoogleAuthenticator = (config: AuthServerConfig): Authenticator<MyGoogleProfile> => {
-    const logger = config.logger ?? defaultLogger
-    const messages: AuthMessages = resolveAuthMessages(config.messages)
-    const loginPath = config.loginPath ?? "/auth/login"
-
-    const googleStrategy = new GoogleStrategy<MyGoogleProfile>(
-        {
-            clientId: config.google.clientId,
-            clientSecret: config.google.clientSecret,
-            redirectURI: config.google.redirectURI,
-            scopes: config.google.scopes,
-            accessType: config.google.accessType ?? "offline",
-            includeGrantedScopes: config.google.includeGrantedScopes ?? true,
-            prompt: config.google.prompt ?? "consent",
-        },
-        /**
-         * Google 認証後のコールバック。Google のトークンとプロフィールを検証し、
-         * backend verify → allowlist → backend signup を経て MyGoogleProfile を返す。
-         * 失敗時は `<loginPath>?error=<encoded>` へのリダイレクト Response を throw する。
-         */
-        async ({ request: _request, tokens }) => {
-            const { access_token: accessToken, refresh_token: refreshToken, expires_in: expiresIn, scope, id_token: _idToken } = tokens.data as GoogleToken
-            const {
-                _json: { sub, email, picture, hd: _hd, email_verified },
-                photos: _photos,
-                ...profile
-            } = await GoogleStrategy.userProfile(tokens)
-            const {
-                id,
-                displayName,
-                name: { familyName: _familyName, givenName: _givenName },
-                emails: _emails,
-            } = profile
-            const provider = "google"
-
-            // first verify (トークン/プロフィール欠落は Google 認証失敗として扱う)
-            if (
-                accessToken === undefined ||
-                refreshToken === undefined ||
-                expiresIn === undefined ||
-                scope === undefined ||
-                id === undefined ||
-                displayName === undefined ||
-                sub === undefined ||
-                email === undefined ||
-                email_verified === undefined
-                // hd === undefined // Google Workspace などの組織制限をする場合は有効化
-            ) {
-                if (email_verified === false) {
-                    const errorMessage = encodeURIComponent(messages.emailNotVerified)
-                    throw redirect(`${loginPath}?error=${errorMessage}`)
-                }
-                const errorMessage = encodeURIComponent(messages.googleFailed)
-                throw redirect(`${loginPath}?error=${errorMessage}`)
-            }
-
-            logger.info("Authenticated on Google: ", profile.displayName)
-
-            // Backend Authentication
-            try {
-                // backendAuth ポート未指定時は verify/signup をスキップ (フロント単独運用)
-                if (config.backendAuth) {
-                    const ok = await config.backendAuth.verify(provider, accessToken)
-
-                    if (!ok) {
-                        logger.error("Backend verification returned false for user:", profile.displayName)
-                        const errorMessage = encodeURIComponent(messages.backendFailed)
-                        throw redirect(`${loginPath}?error=${errorMessage}`)
-                    }
-
-                    logger.info("Authenticated on Backend: ", profile.displayName)
-                }
-
-                // メールアドレスまたはドメインベースでのアクセス制限チェック (論理和は allowlist 実装側)
-                // ⚠️ `await` 必須。非同期実装を await せずに評価すると Promise が truthy 判定され
-                //    許可判定を素通りする (fail-open)。この await は spec で門番されている。
-                const userEmail = profile.emails[0]?.value
-                if (!(await config.isEmailAllowed(userEmail))) {
-                    const error = new Error("You are not allowed to access this application")
-                    logger.error(error)
-                    throw error
-                }
-
-                // 無効化済みアカウントはログインさせない (allowlist とは別軸の判定)
-                if (config.isUserActive && !(await config.isUserActive(profile))) {
-                    const error = new Error("You are not allowed to access this application")
-                    logger.error("Deactivated account attempted to sign in:", userEmail)
-                    throw error
-                }
-
-                // バックエンドでのサインアップ処理 (毎ログイン実行の挙動を保存)
-                if (config.backendAuth) {
-                    await config.backendAuth.signup(provider, accessToken, profile)
-                }
-
-                logger.info("Authenticated complete: ", profile.displayName)
-
-                // 認証ペイロードの構築
-                const expirationDateMs = Date.now() + expiresIn * 1000
-                const authenticationPayload = {
-                    accessToken: accessToken,
-                    refreshToken: refreshToken,
-                    expirationDateMs: expirationDateMs,
-                    provider: provider,
-                }
-                // ユーザープロファイル情報
-                const user: MyGoogleProfile = {
-                    ...profile,
-                    ...authenticationPayload,
-                    photo: picture,
-                }
-                return user
-            } catch (error: unknown) {
-                let loggable = error
-                if (typeof error === "object" && error !== null && "cause" in error) {
-                    // cause があればそれを優先してログに残す (falsy なら元のエラー)
-                    loggable = (error as { cause: unknown }).cause || error
-                }
-                logger.error("Error during backend authentication or subsequent processing:", loggable)
-
-                let friendlyErrorMessage = messages.unexpected
-                let conditionMet = false
-
-                // ネットワーク到達不可 (getaddrinfo ENOTFOUND) の判定
-                if (typeof error === "object" && error !== null && "cause" in error) {
-                    const cause = (error as { cause: unknown }).cause
-                    if (cause && typeof cause === "object" && "message" in cause && typeof (cause as { message: string }).message === "string" && (cause as { message: string }).message.includes("getaddrinfo ENOTFOUND")) {
-                        friendlyErrorMessage = messages.backendUnreachable
-                        conditionMet = true
-                    }
-                }
-
-                // allowlist 拒否の判定
-                if (!conditionMet && error instanceof Error && error.message.includes("You are not allowed to access this application")) {
-                    friendlyErrorMessage = messages.notAllowed
-                    conditionMet = true
-                }
-
-                // 既にリダイレクト Response が throw されている場合はそのまま再 throw
-                if (!conditionMet && error instanceof Response && error.headers.get("Location")?.startsWith(loginPath)) {
-                    throw error
-                }
-
-                const encodedErrorMessage = encodeURIComponent(friendlyErrorMessage)
-                throw redirect(`${loginPath}?error=${encodedErrorMessage}`)
-            }
-        },
-    )
-
-    const authenticator = new Authenticator<MyGoogleProfile>()
-    authenticator.use(googleStrategy)
-    return authenticator
-}

package/src/server/handlers.ts

@@ -1,139 +0,0 @@
-/**
- * @module handlers
- * @description Route handler factories for login / logout / Google callback.
- * login / logout / Google コールバックのルートハンドラ工場。
- *
- * 原本 (quants-react-router routes/_auth+ の 4 ルート + features/logoutAndRedirect.ts) の
- * サーバー側ロジックを挙動保存で移植。UI (JSX) はアプリ側に残す。
- * コールバックのセッション保存形状 (SessionProfile、photo/_json/photos を含まない) は
- * cookie byte 互換のため厳密に保存する。
- */
-import type { AuthenticationPayload, MyGoogleProfile, SessionProfile } from "@aiquants/auth-core"
-import { redirect } from "react-router"
-import type { Authenticator } from "remix-auth"
-import type { AuthServerConfig, LoggerPort } from "./ports"
-import type { AuthSessionStorage } from "./session"
-
-/** createAuthHandlers が返すハンドラ束。 */
-export type AuthHandlers = ReturnType<typeof createAuthHandlers>
-
-/**
- * Builds loader/action handlers for the auth routes.
- * 認証ルート用の loader/action ハンドラ群を生成する。
- */
-export const createAuthHandlers = (config: AuthServerConfig, storage: AuthSessionStorage, authenticator: Authenticator<MyGoogleProfile>, logger: LoggerPort) => {
-    const loginPath = config.loginPath ?? "/auth/login"
-    const postLoginRedirect = config.postLoginRedirect ?? "/"
-    const postLogoutRedirect = config.postLogoutRedirect ?? "/"
-
-    /**
-     * Login-page loader: redirects authenticated users, passes the error message through.
-     * ログインページ loader。認証済みならリダイレクトし、エラーメッセージを data として返す。
-     */
-    const loginLoader = async ({ request }: { request: Request }): Promise<{ error: string | null }> => {
-        const user = await storage.getSessionUser(request)
-        if (user) {
-            // 認証済みならトップページにリダイレクト
-            throw redirect(postLoginRedirect)
-        }
-        const url = new URL(request.url)
-        const error = url.searchParams.get("error")
-        return { error } // エラーメッセージを loader data として渡す
-    }
-
-    /**
-     * Login action: starts the Google OAuth flow for the "Sign In with Google" form action.
-     * ログイン action。"Sign In with Google" フォーム action で Google OAuth フローを開始する。
-     */
-    const loginAction = async ({ request }: { request: Request }): Promise<MyGoogleProfile | null> => {
-        const formData = await request.clone().formData()
-        const action = String(formData.get("_action"))
-
-        let user: MyGoogleProfile | null = null
-        switch (action) {
-            case "Sign In with Google":
-                user = await authenticator.authenticate("google", request)
-                break
-            default:
-                user = null
-        }
-        return user
-    }
-
-    /**
-     * Destroys the session and returns the Set-Cookie value (logout primitive).
-     * セッションを破棄して Set-Cookie 値を返す (ログアウトの基本操作)。
-     */
-    const logout = async (request: Request) => {
-        return await storage.logout(request)
-    }
-
-    /**
-     * Logs out and redirects with the destroyed-session cookie attached.
-     * ログアウトし、破棄済みセッション Cookie を付与してリダイレクトする。
-     */
-    const logoutAndRedirect = async (request: Request) => {
-        const cookie = await logout(request)
-        const headers = new Headers()
-        headers.append("Set-Cookie", cookie)
-        return redirect(postLogoutRedirect, { headers })
-    }
-
-    /**
-     * Logout-route loader: performs logout and throws the redirect.
-     * ログアウトルート loader。ログアウトを実行してリダイレクトを throw する。
-     */
-    const logoutLoader = async ({ request }: { request: Request }): Promise<never> => {
-        throw await logoutAndRedirect(request)
-    }
-
-    /**
-     * Google OAuth callback loader: authenticates, saves the session and redirects home.
-     * Google OAuth コールバック loader。認証してセッションを保存し、ホームへリダイレクトする。
-     */
-    const googleCallbackLoader = async ({ request }: { request: Request }): Promise<never> => {
-        try {
-            const googleProfile = await authenticator.authenticate("google", request)
-
-            // 既存のセッションから前回のユーザー情報を取得して refresh_token を保護する
-            const existingSession = await storage.getSession(request)
-            const existingUser = existingSession.get(storage.sessionKey) as SessionProfile | undefined
-            const previousRefreshToken = existingUser?.refreshToken
-
-            // 認証ペイロードの構築
-            const authenticationPayload: AuthenticationPayload = {
-                accessToken: googleProfile.accessToken,
-                refreshToken: googleProfile.refreshToken || previousRefreshToken,
-                expirationDateMs: googleProfile.expirationDateMs,
-                provider: googleProfile.provider,
-            }
-
-            // セッション内のユーザ情報 (photo/_json/photos を含まない byte 互換形状)
-            const user: SessionProfile = {
-                id: googleProfile.id,
-                displayName: googleProfile.displayName,
-                name: googleProfile.name,
-                emails: googleProfile.emails,
-                ...authenticationPayload,
-                role: googleProfile.role,
-            }
-
-            // 認証後のユーザ情報をセッションに保存
-            const cookie = await storage.saveSession(request, user)
-
-            // ホームへリダイレクト
-            throw redirect(postLoginRedirect, { headers: { "Set-Cookie": cookie } })
-        } catch (error) {
-            // authenticator.authenticate は認証失敗時に Response か Error を throw する。
-            // access_denied のような OAuth エラーでは Error の可能性があるため、
-            // どちらの場合でもログインページへのリダイレクトが安全 (Response はそのまま再 throw)。
-            if (error instanceof Response) {
-                throw error
-            }
-            logger.error("Authentication error:", error)
-            throw redirect(loginPath)
-        }
-    }
-
-    return { loginLoader, loginAction, logoutLoader, logout, logoutAndRedirect, googleCallbackLoader }
-}

package/src/server/logger.ts

@@ -1,14 +0,0 @@
-/**
- * @module logger
- * @description Default console-backed logger used when no logger port is injected.
- * ロガーポート未注入時に使う console ベースの既定ロガー。
- */
-import type { LoggerPort } from "./ports"
-
-/** console ベースの既定ロガー (ライブラリ既定のフォールバックとして意図的に console を使用)。 */
-export const defaultLogger: LoggerPort = {
-    // biome-ignore lint/suspicious/noConsole: ロガー未注入時の意図的な console フォールバック
-    info: (...args: unknown[]) => console.info("[Auth]", ...args),
-    warn: (...args: unknown[]) => console.warn("[Auth]", ...args),
-    error: (...args: unknown[]) => console.error("[Auth]", ...args),
-}

package/src/server/ports.ts

@@ -1,113 +0,0 @@
-/**
- * @module ports
- * @description DI port types for the React Router auth adapter.
- * React Router 認証アダプタの DI ポート型定義。
- *
- * アプリ固有の結合 (env・backend HTTP・DB 由来の写真解決・DB ウォームアップ・テストバックドア) は
- * すべてここで定義するポートとして注入する。パッケージ内には汎用ロジックだけを置く。
- */
-import type { AuthMessages, GoogleProfileBase, SessionProfile } from "@aiquants/auth-core"
-
-/** OAuth Google の資格情報とオプション (scopes はアプリ注入 — sanledge が拡張)。 */
-export type GoogleOAuthConfig = {
-    clientId: string
-    clientSecret: string
-    redirectURI: string
-    /** 追加スコープ (既定は openid profile email)。 */
-    scopes?: string[]
-    accessType?: "online" | "offline"
-    includeGrantedScopes?: boolean
-    prompt?: "none" | "consent" | "select_account"
-}
-
-/** セッション cookie 設定 (既定は __session/lax/30 日)。secrets のみ必須。 */
-export type SessionConfig = {
-    secrets: string[]
-    /** cookie 名。既定 "__session" (変更すると全ライブセッションが無効化されるため既定を推奨)。 */
-    cookieName?: string
-    /** 有効期間 (秒)。既定 60*60*24*30。 */
-    maxAge?: number
-    /** Secure 属性。既定は NODE_ENV === "production"。 */
-    secure?: boolean
-    /** セッション内のユーザーキー。既定 "user"。 */
-    sessionKey?: string
-}
-
-/** バックエンド (FastAPI) 認証ポート。verify → allowlist → signup の順で呼ばれる。 */
-export type BackendAuthPort = {
-    /** GET /openid/verify 相当。ok なら true。 */
-    verify: (provider: string, accessToken: string) => Promise<boolean>
-    /**
-     * POST /openid/signup?overwrite_existing=true 相当 (毎ログイン実行)。
-     *
-     * `profile` を渡すのは、サインアップ直後にホスト側が identity を必要とするためである。
-     * この呼び出しでユーザー行が作られるので、直後に「この人物は何に属するか」を解決したい
-     * ホストは、ここでプロフィールを受け取れないとトークンから引き直すしかない。
-     */
-    signup: (provider: string, accessToken: string, profile: GoogleProfileBase) => Promise<unknown>
-}
-
-/** ユーザー写真解決ポート (DB 参照等の実装はアプリ側)。キャッシュ + dedup はパッケージ内。 */
-export type UserPhotoPort = (openid: string) => Promise<string>
-
-/** 毎リクエストの DB 接続ウォームアップ (quants は 2 プール、sanledge は 1 プール)。 */
-export type WarmupPort = () => Promise<void>
-
-/** テストバックドア (quants は mock_user_id パース + 名前マップ、sanledge は固定 id)。 */
-export type MockUserPort = {
-    /** このリクエストでバックドアを使うか (NODE_ENV/cookie の判定はアプリ側)。 */
-    enabled: (request: Request) => boolean
-    /** バックドア時に返すセッションプロファイル。 */
-    resolve: (request: Request) => SessionProfile
-}
-
-/** ロガーポート (既定は console)。 */
-export type LoggerPort = {
-    info: (...args: unknown[]) => void
-    warn: (...args: unknown[]) => void
-    error: (...args: unknown[]) => void
-}
-
-/** 認証サーバーの集約設定。 */
-export type AuthServerConfig = {
-    google: GoogleOAuthConfig
-    session: SessionConfig
-    /**
-     * allowlist 判定 (auth-core の `emailDomainAllowlist` を推奨)。
-     *
-     * 非同期を許すのは、環境変数に加えてデータベース等の可変な供給元を参照する構成のため。
-     * ⚠️ 呼び出し側は必ず `await` すること。`Promise` は常に truthy なので `if (!fn(email))`
-     *    のまま非同期実装を渡すと **判定が素通りして fail-open** になる (型検査では検出できない)。
-     */
-    isEmailAllowed: (email: string | null | undefined) => boolean | Promise<boolean>
-    /**
-     * Account-status port: return `false` ONLY for a known-deactivated account.
-     * アカウント状態ポート。**無効化済みと判明した場合のみ** `false` を返す。
-     *
-     * allowlist が「そのメールアドレスがこのアプリを使ってよいか」を判定するのに対し、こちらは
-     * 「そのアカウントが現在有効か」を判定する。ログイン時と **毎リクエストのセッション解決時** の
-     * 双方で参照されるため、無効化は既存セッションに対しても即座に効く。
-     *
-     * 未登録ユーザー (初回ログインでこれから作成される) では `true` を返すこと。`false` を返すと
-     * サインアップ経路ごと塞いでしまう。省略時は常に有効として扱う (既存構成の挙動を変えない)。
-     */
-    isUserActive?: (profile: GoogleProfileBase) => boolean | Promise<boolean>
-    /** バックエンド verify/signup。省略時はスキップ (フロント単独運用)。 */
-    backendAuth?: BackendAuthPort
-    /** ユーザー写真解決。省略時は常に空文字。 */
-    getUserPhoto?: UserPhotoPort
-    /** 毎リクエストのウォームアップ。省略時は何もしない。 */
-    warmup?: WarmupPort
-    /** テストバックドア。省略時は無効 (本番安全側)。 */
-    mockUser?: MockUserPort
-    /** ログインページのパス。既定 "/auth/login"。 */
-    loginPath?: string
-    /** ログイン成功後のリダイレクト先。既定 "/"。 */
-    postLoginRedirect?: string
-    /** ログアウト後のリダイレクト先。既定 "/"。 */
-    postLogoutRedirect?: string
-    /** エラーメッセージ上書き (既定は日本語の原本文言)。 */
-    messages?: Partial<AuthMessages>
-    /** ロガー (既定 console)。 */
-    logger?: LoggerPort
-}