social-login

多区域第三方登录 Skill

覆盖中国（微信/QQ）+ 海外（Apple/Google）+ 手机号/邮箱兜底。所有 <PLACEHOLDER> 替换为项目实际值。

铁律先行：

• ★ 一切三方凭证都必须服务端验签——客户端拿到的 token/code 只是"待验证凭据"，绝不能信客户端自报的 userId / openid。
• ★ 登录 ≠ 支付——微信/QQ 的登录和支付是两套 scope / 两套开放平台配置，别混。
• ★ 登录是 user 级、不是 tenant 级——一个账号登录后再按既有规则解析默认租户（~/.claude/skills/_shared/rules.md §4）。

1. ★ Flavor 感知的登录方式矩阵

flavor	提供的登录方式	禁止
cn_android	微信 / QQ / 手机号(短信验证码)	❌ Apple / Google（国内不可用/无意义）
overseas_android	Google / Apple(可选) / 邮箱	❌ 微信 / QQ（海外无生态 + Play 合规）
iOS	★ Apple Sign In（见 §7 合规）+ 微信(国区用户) + Google(海外用户) + 手机号/邮箱	单包按 region/locale 决定展示哪些

代码层：登录方式也走工厂（对应 flutter-coding-conventions §18），按 flavor + region 返回可用 provider 列表：

// lib/core/config/auth_provider_factory.dart
List<LoginMethod> availableLoginMethods() {
  final f = FlavorConfig.current;
  switch (f) {
    case Flavor.cnAndroid:      return [LoginMethod.wechat, LoginMethod.qq, LoginMethod.phone];
    case Flavor.overseasAndroid:return [LoginMethod.google, LoginMethod.apple, LoginMethod.email];
    case Flavor.ios:            return _iosMethodsByRegion();  // 见 §7，含 Apple 兜底
  }
}

★ 顶层禁止直接 import 平台登录包（google_sign_in / tencent_kit），只在工厂内条件构造，否则 cn 包会打入 Google native lib（对应 flutter-testing §6.2 守卫）。

2. 统一后端账号模型（一次设计，四端复用）

一个用户可绑定多个第三方身份；用 SocialIdentity 表把 provider 身份挂到 User：

model SocialIdentity {
  id          String   @id @default(uuid())
  userId      String   @map("user_id")
  provider    String                            // apple | google | wechat | qq
  providerUid String   @map("provider_uid")     // Apple sub / Google sub / 微信 openid / QQ openid
  unionId     String?  @map("union_id")         // ★ 微信/QQ 跨应用聚合（开放平台 unionId）
  email       String?
  nickname    String?
  avatarUrl   String?  @map("avatar_url")
  createdAt   DateTime @default(now()) @map("created_at")

  user        User     @relation(fields: [userId], references: [id], onDelete: Cascade)

  @@unique([provider, providerUid])             // ★ 同 provider 同 uid 唯一
  @@index([unionId])                            // 按 unionId 聚合同一自然人
  @@index([userId])
  @@map("social_identities")
}

铁律：

• ★ SocialIdentity 是 user 级，不带 tenantId（登录发生在选租户之前）
• ★ @@unique([provider, providerUid]) 防同一第三方账号被绑到两个 user
• ★ 微信/QQ 优先用 unionId 认人（同主体旗下多 app 共享），openid 仅单 app 内唯一