認証

REST APIにはAuthorization: Bearer <token>を送信します。

サーバー間連携には、会社に紐づくsft_ Personal Access Token（PAT）を使用します。権限はPATのスコープによって制限されます。秘密値はソースコードに保存しないでください。

CLIとOperations MCPはSupabase OAuth 2.1の認可コードフローとPKCE S256を使用します。認可画面で会社を選択すると、その会社に固定されたaccess tokenが発行されます。会社への所属と現在の権限は、操作のたびに確認されます。

通常のDashboardセッションJWTは外部REST APIには使用できません。OAuthのopenid・email・profileスコープは本人情報に関するもので、業務権限は会社のロールで判定します。