SSO — Visão Geral

O que é o SSO EasyGoal?

O SSO (Single Sign-On) é o serviço de autenticação centralizado do ecossistema Easy Goal. Ele:

Autentica usuários usando Supabase Auth (email/senha + OAuth Google, GitHub, Azure/Microsoft)
Emite um cookie eg_session (JWT assinado) compartilhável em subdomínios .easygoal.com.br
Injeta ?eg_session=<token> nos redirects cross-domain para apps internos autorizados
Para apps externos: emite um eg_token temporário trocável via POST /auth/verify
Recebe webhooks do app-front quando um pagamento é confirmado

Fluxo resumido

[Usuário acessa app]
    ↓
App detecta sem sessão → redireciona para SSO /auth/login?redirect_to=<callback>
    ↓
SSO autentica via Supabase (PKCE)
    ↓
/auth/callback: cria/valida perfil, assina eg_session, seta cookie httpOnly
    ↓
/auth/welcome: tela de splash (4s)
    ↓
Redirect para redirect_to com ?eg_session=<token> (se cross-domain autorizado)
    ↓
App /auth/callback: salva eg_session no cookie local → redireciona para destino final

O parâmetro de redirect é redirect_to (não redirect_uri). Use sempre redirect_to ao construir URLs de redirecionamento para o SSO. A URL de callback do seu app precisa estar previamente registrada junto ao time Easy Goal.

O eg_session é um JWT assinado com SSO_JWT_SECRET e setado em:

httpOnly: true — não acessível por JavaScript
domain: .easygoal.com.br em produção — compartilhado entre todos os subdomínios

Claims do eg_session:

Campo	Tipo	Descrição
`sub`	`string`	ID único do usuário na plataforma
`email`	`string`	E-mail do usuário
`name`	`string`	Nome completo
`avatar_url`	`string`	URL do avatar
`is_producer`	`boolean`	`true` se o produtor tem status `verified`
`is_beta`	`boolean`	`true` se aceitou o NDA do programa beta
`company_name`	`string`	Nome da empresa vinculada
`rank_name`	`string`	Rank atual do usuário
`plan_slug`	`string`	Plano ativo (`easy-standard`, `easy-pro`, `easy-enterprise`)
`provider`	`string`	Provider OAuth usado (`google`, `github`, `azure`, `email`)

Não há claim role ou discord_id no eg_session. A autorização de administrador é verificada internamente pelo app-front, fora do fluxo de claims do eg_session.

Integração via `@easygoal/packages/auth` (recomendado)

Para conectar um app ao SSO, use o package do monorepo. Ele encapsula o handleAuthCallback, EgSessionProvider e hook useEgSession. Veja o fluxo completo em Autenticação Cross-Domain.

Endpoints do SSO

Método	Endpoint	Descrição
`GET`	`/auth/login`	Formulário de login — aceita `?redirect_to=<url>`
`GET`	`/auth/signup`	Criar conta
`GET`	`/auth/forgot-password`	Solicitar reset de senha
`GET`	`/auth/reset-password`	Redefinir senha (via link de email)
`GET`	`/auth/callback`	Callback OAuth interno — cria perfil + emite eg_session
`GET`	`/auth/welcome`	Tela de splash (4s) exibida após login — redireciona para destino
`GET`	`/auth/check`	Verifica se o `eg_session` cookie é válido — retorna JSON
`POST`	`/auth/verify`	Valida `eg_token` temporário de app externo — retorna `eg_session`
`POST`	`/auth/signout`	Logout — invalida cookie `eg_session`
`GET`	`/auth/error`	Página de erro de autenticação
`GET`	`/complete-profile`	Completar perfil após OAuth
`GET`	`/api/me`	Retorna perfil do usuário via `Bearer <supabase_token>`
`POST`	`/api/webhook/payment`	Recebe notificação de compra (HMAC SHA256)
`GET`	`/api/webhook/payment`	Health check do endpoint
`GET`	`/api/plans/public`	Planos disponíveis (público)

Checklist de integração

Registrar a URL de callback do seu app junto ao time Easy Goal

Implementar POST /api/webhook/payment com verificação HMAC SHA256 (se aplicável ao seu fluxo)

Testar o fluxo completo de login e o recebimento do eg_session

​O que é o SSO EasyGoal?

​Fluxo resumido

​Cookie eg_session

​Integração via @easygoal/packages/auth (recomendado)

​Endpoints do SSO

​Checklist de integração

O que é o SSO EasyGoal?

Fluxo resumido

Cookie `eg_session`

Integração via `@easygoal/packages/auth` (recomendado)

Endpoints do SSO

Checklist de integração