Auth — Google OAuth + JWT (+ Telegram login)

Поле	Значення
Провайдер	Власна (NestJS) — без Auth0/Clerk/Supabase Auth (ADR-0010)
Стратегії	Google OAuth · Telegram login (через бот) · JWT access + refresh
Бібліотеки	`@nestjs/jwt` · `@nestjs/passport` · `passport-google-oauth20` (`TODO:` підтвердити)
Хто використовує	frontends + backends обох продуктів
Хто видає JWT	Abitly API (single source of truth)

Токени

Токен	TTL (SSM)	Призначення
Access JWT	`ACCESS_JWT_TTL`	основний (cookies / Authorization header)
Refresh JWT	`REFRESH_JWT_TTL`	оновлення access
Temp JWT	`JWT_TEMP_TTL`	пере-авторизація, OTP-сценарії

Секрети: ACCESS_JWT_SECRET, REFRESH_JWT_SECRET, JWT_TEMP_SECRET — SSM SecureString.

Google OAuth

Ключ	Значення
`GOOGLE_CLIENT_ID`	OAuth Client ID (з Google Cloud Console)
`GOOGLE_CLIENT_SECRET`	OAuth Client Secret
`GOOGLE_REDIRECT_URI`	callback URL (per environment)

Sequence → data-flows.

Telegram bot (aiogram 3) є entry-point для auth з месенджера. Прив’язка акаунта йде через deep-link з одноразовим Redis-токеном (мінтить backend); сценарій ще не наскрізний — деталі в картці Telegram bot. Перевірка initData для Mini App робиться в API: HMAC-SHA256(data_check_string, secret), де secret = HMAC-SHA256(key="WebAppData", msg=bot_token).

Cross-product

Studsearch backend має своє JWT (SSM /studsearch/prod/session/ttl) — для UGC-користувачів (студенти-інсайдери). Окремий identity-domain від Abitly. Якщо в майбутньому буде SSO — потребує окремого рішення.

Типові проблеми

Користувача розлогінює → перевір TTL та зсув часу серверу.
Google OAuth callback падає → redirect_uri_mismatch — звір GOOGLE_REDIRECT_URI у SSM і Google Console.
Mini App init data invalid → TELEGRAM_BOT_TOKEN різниться між ботом і API (token rotation?).
CORS на frontend → перевірити ALLOWED_METHODS SSM в API.