// ✅ Хорошо: httpOnly cookies (не доступны для JavaScript)
const supabase = createBrowserClient()  // Автоматически использует cookies

// ❌ Плохо: localStorage для токенов
localStorage.setItem('token', accessToken)  // Уязвимо к XSS

// Токены истекают через 1 час
// Refresh token автоматически обновляет access token
const { data: { session } } = await supabase.auth.getSession()

if (!session) {
  // Redirect to login
}

async function signOut() {
  const supabase = createBrowserClient()

  // Удаляет все сессии на всех устройствах
  await supabase.auth.signOut({ scope: 'global' })
}

import { createMiddlewareClient } from '@/lib/supabase/middleware'
import { NextResponse } from 'next/server'
import type { NextRequest } from 'next/server'

export async function middleware(request: NextRequest) {
  const { supabase, response } = createMiddlewareClient(request)

  // Проверяем сессию
  const { data: { session } } = await supabase.auth.getSession()

  // Защищенные роуты
  const protectedPaths = ['/profile', '/game', '/history']
  const isProtected = protectedPaths.some(path =>
    request.nextUrl.pathname.startsWith(path)
  )

  if (isProtected && !session) {
    // Redirect to login
    return NextResponse.redirect(new URL('/auth', request.url))
  }

  return response
}

export const config = {
  matcher: [
    '/profile/:path*',
    '/game/:path*',
    '/history/:path*'
  ]
}

// Полное удаление пользователя и его данных
async function deleteUserData(userId: string) {
  const supabase = createBrowserClient()

  // 1. Удалить все игры
  await supabase
    .from('games')
    .delete()
    .eq('created_by', userId)

  // 2. Удалить профиль
  await supabase
    .from('player_profiles')
    .delete()
    .eq('user_id', userId)

  // 3. Удалить auth аккаунт
  await supabase.auth.admin.deleteUser(userId)
}

// ✅ Хорошо: Используйте только на сервере
// lib/supabase/server.ts
const supabase = createServerClient()
await supabase.auth.admin.createUser(...)  // Service role key

// ❌ Плохо: В Client Components
'use client'
const serviceKey = process.env.SUPABASE_SERVICE_ROLE_KEY  // ⚠️ Утечет в браузер!

// middleware.ts
import rateLimit from '@/lib/rate-limit'

const limiter = rateLimit({
  interval: 60 * 1000,  // 1 minute
  uniqueTokenPerInterval: 500
})

export async function middleware(request: NextRequest) {
  try {
    await limiter.check(request, 10)  // 10 requests per minute
  } catch {
    return new NextResponse('Too Many Requests', { status: 429 })
  }

  // Continue...
}

import { z } from 'zod'

// Схема валидации
const gameSchema = z.object({
  players: z.array(z.object({
    name: z.string().min(1).max(50),
    avatar: z.string().emoji().or(z.string().url())
  })).min(2).max(8)
})

// Валидация
function createGame(input: unknown) {
  // Throws error если invalid
  const validated = gameSchema.parse(input)

  // Безопасно использовать
  return validated
}

// ✅ Безопасно: Parameterized query
await supabase
  .from('games')
  .select('*')
  .eq('id', userInput)  // Автоматически экранируется

// ❌ НЕ используйте raw SQL с пользовательским вводом
await supabase.rpc('raw_query', {
  query: `SELECT * FROM games WHERE id = '${userInput}'`  // ⚠️ SQL injection!
})

// ✅ Безопасно: React escapes HTML
<div>{userInput}</div>

// ❌ Опасно: dangerouslySetInnerHTML
<div dangerouslySetInnerHTML={{ __html: userInput }} />  // ⚠️ XSS risk!

import DOMPurify from 'dompurify'

const sanitized = DOMPurify.sanitize(userInput)
<div dangerouslySetInnerHTML={{ __html: sanitized }} />  // ✅ Safe

// Server Action (защищен CSRF token)
'use server'

export async function deleteGame(gameId: string) {
  // Next.js проверяет CSRF token автоматически
  const supabase = createServerClient()
  await supabase.from('games').delete().eq('id', gameId)
}

// Supabase SSR автоматически использует secure cookies
const supabase = createServerClient(cookieStore, {
  cookies: {
    set(name, value, options) {
      cookieStore.set({
        name,
        value,
        ...options,
        httpOnly: true,    // ✅ Не доступны для JavaScript
        secure: true,      // ✅ Только HTTPS
        sameSite: 'lax'    // ✅ CSRF защита
      })
    }
  }
})

// Требования к паролю
const passwordSchema = z.string()
  .min(8, 'Минимум 8 символов')
  .regex(/[A-Z]/, 'Минимум 1 заглавная буква')
  .regex(/[a-z]/, 'Минимум 1 строчная буква')
  .regex(/[0-9]/, 'Минимум 1 цифра')
  .regex(/[^A-Za-z0-9]/, 'Минимум 1 спецсимвол')

// Enable TOTP
await supabase.auth.mfa.enroll({
  factorType: 'totp'
})