For AI agents: fetch the complete documentation index at /llms.txt, the full documentation corpus at /llms-full.txt, the agent skill at /skill.md, or this page as Markdown at /ru/docs/web/authentication.md (or send Accept: text/markdown).
Аутентификация
Методы входа, сессии и безопасность аккаунта.
Создайте и подтвердите реальный аккаунт
Аутентификация означает подтверждение того, кто использует приложение. Запустите Postgres и сначала запустите миграцию, используя руководство по базе данных, а затем оставьте веб-сервер включенным. Откройте http://localhost:3000/auth,, выберите адрес электронной почты/пароль для регистрации, введите свое имя, адрес электронной почты и пароль и отправьте заявку. Сохраните EMAIL_PROVIDER=local для первого теста.
Когда поток запрашивает код электронной почты, откройте http://localhost:3000/mail-preview в другой вкладке браузера, найдите самое последнее сообщение для этого адреса и скопируйте его код обратно в форму входа. Запросите новый код, если срок его действия истек. Эти сообщения остаются в локальной папке исходящих; повторная проверка внешнего почтового ящика не приведет к их обнаружению. Выйдите из системы, затем войдите снова, чтобы убедиться, что учетная запись, поддерживаемая базой данных, работает.
Если при регистрации сообщается об ошибке подключения к базе данных или отсутствии таблицы, завершите настройку базы данных вместо включения входа через социальную сеть. Для кнопок Google, GitHub, Apple, X и Microsoft требуется собственное приложение поставщика и настройки обратного вызова; включайте его только после завершения руководства поставщика. Better Auth — это механизм, поставляемый по умолчанию, и ему не требуется платная учетная запись аутентификации для входа в локальную электронную почту.
Выбирайте включённые методы входа
Основа включает e-mail/пароль, OTP и настраиваемую социальную аутентификацию. Better Auth владеет идентичностью и сессиями, а приложение компонует конфигурацию провайдеров и транзакционную доставку OTP.
Включайте только тех социальных провайдеров, которых настроили. Клиентские секреты провайдеров и секрет аутентификации остаются на сервере.
Свяжите идентичность с воркспейсом
Аутентифицированные обработчики разрешают состояние сессии до доступа к записям воркспейса. Провижининг воркспейса должен оставаться идемпотентным, чтобы воспроизведение хука жизненного цикла не создавало дублирующие записи владения.
Проверяйте поведение сессии
Тестируйте вход, неверные или истёкшие OTP, одноразовое потребление, выход и отклонённый анонимный доступ. Тесты memory-адаптера покрывают семантику обработчиков; персистентность продакшен-базы и реальные колбэки провайдеров требуют отдельной приёмки.
Настройка и конфигурация
Better Auth — движок по умолчанию (AUTH_PROVIDER=better-auth); движок Auth.js доступен для команд, стандартизирующихся на нём. Включённые методы объявляются по провайдерам: email/пароль, одноразовые коды, доставляемые транзакционной почтой, и социальный вход через Google, Apple, GitHub, Microsoft и Twitter.
Каждый социальный провайдер включается флагом AUTH_<PROVIDER>_ENABLED плюс соответствующими client id и secret. Секрет аутентификации, секреты провайдеров и ключи подписи сессий — серверная конфигурация.
AUTH_PROVIDER=better-auth
AUTH_SECRET=generate-a-long-random-value
AUTH_GOOGLE_ENABLED=true
GOOGLE_CLIENT_ID=…
GOOGLE_CLIENT_SECRET=…Рабочий процесс внедрения
Поверхность /auth отрисовывает настроенные методы; сервер собирает движок в auth-runtime и разрешает сессию на каждой защищённой границе. Первый успешный вход идемпотентно создаёт личное рабочее пространство участника — повторные lifecycle-хуки не должны создавать вторую запись о владении.
Безопасность аккаунта живёт в /settings/security: смена пароля, активные сессии и passkey там, где сборка их включает. Восстановление сессии, отзыв при выходе и межпространственный отказ должны оставаться серверно-принудительным поведением, а не состоянием интерфейса.
Проверка и устранение неполадок
Проверьте вход, недействительные и просроченные OTP-коды, одноразовое использование, церемонии passkey на HTTPS-источниках, возвраты социальных колбэков, выход и анонимный отказ. Зарегистрируйте каждый redirect-URI провайдера до тестирования колбэков и убедитесь, что отозванная сессия больше не может выполнять защищённую работу.