SSO API - EasyGoal

Inicia o fluxo de autenticação. Renderiza o formulário de login e, após autenticação, redireciona para redirect_to com o eg_session assinado. Query Parameters:

string

required

URL de callback para onde o SSO redireciona após o login. Deve estar previamente registrada junto ao time Easy Goal.

string

API key do produto registrado no SSO. Usada para exibir o nome do produto na tela de login e habilitar o fluxo de app externo.

Respostas:

Status	Descrição
`200`	Renderiza o formulário de login
`302`	Redireciona para `/auth/welcome` → `redirect_to` com `?eg_session=<token>` após login bem-sucedido

GET /api/me

Retorna os dados do perfil do usuário autenticado. Headers:

string

required

Bearer <access_token> — token JWT emitido pelo SSO.

Resposta 200:

{
  "id": "550e8400-e29b-41d4-a716-446655440000",
  "email": "usuario@email.com",
  "name": "João Silva",
  "avatar_url": "https://example.com/avatar.jpg"
}

Respostas de erro:

// 401 — Token ausente
{ "error": "Token ausente" }

// 401 — Token inválido ou expirado
{ "error": "Token invalido ou expirado" }

// 404 — Usuário não encontrado
{ "error": "Usuario nao encontrado" }

Como apps consomem a sessão

Apps que integram via @easygoal/packages/auth (ex: Club LP) não chamam /api/me diretamente. Em vez disso, decodificam o eg_session salvo em cookie httpOnly através de uma rota própria:

// app cliente → src/app/api/auth/session/route.ts
export async function GET() {
  const cookieStore = await cookies();
  const raw = cookieStore.get('eg_session')?.value;

  if (raw) {
    const payloadBase64 = raw.split('.')[1];
    const payload = JSON.parse(Buffer.from(payloadBase64, 'base64url').toString('utf8'));
    return NextResponse.json(payload);
  }

  return NextResponse.json({ error: 'unauthorized', reason: 'missing_session' }, { status: 401 });
}

O EgSessionProvider do package chama essa rota internamente e alimenta o hook useEgSession(). GET /api/me (documentado acima) é um endpoint separado, usado por integrações que ainda trabalham com o access token diretamente — não pelo fluxo eg_session.

​GET /auth/login

​GET /api/me

​Como apps consomem a sessão

GET /auth/login

GET /api/me

Como apps consomem a sessão