Fluxo OAuth

[App] redireciona para SSO /auth/login?redirect_to=<callback_url>
    ↓
SSO: formulário de login / OAuth (Supabase PKCE)
    ↓
SSO /auth/callback:
  - Troca code → sessão Supabase
  - Cria/valida perfil em users_company
  - Assina eg_session JWT (SSO_JWT_SECRET, 30 dias)
  - Seta cookie eg_session em .easygoal.com.br
  ↓
  [cross-domain autorizado?]
  ├── SIM → adiciona ?eg_session=<token> ao redirect_to
  └── NÃO → redirect_to sem token (usa cookie de domínio)
    ↓
SSO /auth/welcome (splash 4s) → redireciona para redirect_to
    ↓
[App /auth/callback]:
  - ?eg_session= presente → salva no cookie local (app interno)
  - ?eg_token= presente → POST /auth/verify → obtém eg_session → salva cookie
  - Nenhum → redireciona para SSO login

// src/app/auth/callback/route.ts
import { createCallbackRoute } from '@easygoal/packages/auth/server';

export const GET = createCallbackRoute({
  ssoUrl: process.env.NEXT_PUBLIC_SSO_URL,
  appUrl: process.env.NEXT_PUBLIC_APP_URL,
  apiKey: process.env.EG_API_KEY, // apenas para apps externos
});

// layout.tsx
import { EgSessionProvider } from '@easygoal/packages/auth/client';

export default function RootLayout({ children }) {
  return <EgSessionProvider>{children}</EgSessionProvider>;
}

// qualquer componente
import { useEgSession } from '@easygoal/packages/auth/client';

const { user, isReady } = useEgSession();
// user: { id, email, name, avatarUrl, isProducer, companyName, rankName, planSlug }

// POST /auth/signout (no SSO)
// Limpa o cookie eg_session no domínio .easygoal.com.br

// No app, redirecionar para:
const signoutUrl = `${SSO_URL}/auth/signout?redirect_to=${encodeURIComponent(APP_URL)}`;