单仓库混合渲染工程方案 v1.0

export default defineEventHandler((event) => {
  const host = getHeader(event, 'host') || ''
  const path = event.path
  // 跳过静态资源与内部 Nuxt 路由
  if (path.startsWith('/_nuxt/') || path.startsWith('/api/')) return

  const ROOT_DOMAIN = useRuntimeConfig().rootDomain

  // 1. 官网：主域名或 www
  if (host === ROOT_DOMAIN || host === `www.${ROOT_DOMAIN}`) {
    if (!path.startsWith('/client'))
      event.node.req.url = `/client${path === '/' ? '' : path}`
    return
  }

  // 2. 管理后台
  if (host.startsWith('admin.')) {
    if (!path.startsWith('/admin'))
      event.node.req.url = `/admin${path}`
    return
  }

  // 3. API 引擎（禁止前台路由越界）
  if (host.startsWith('api.')) {
    if (!path.startsWith('/api/v1/'))
      throw createError({ statusCode: 404, statusMessage: 'API Not Found' })
    return
  }

  // 4. 动态营销 H5 子域名 *.yourdomain.com
  const parts = host.split('.')
  if (parts.length >= 3) {
    const subdomain = parts[0]
    if (!path.startsWith(`/h5/${subdomain}`))
      event.node.req.url = `/h5/${subdomain}${path === '/' ? '' : path}`
  }
})

// assertUser: 验证用户身份（支持 Cookie + Bearer 双模式）
export async function assertUser(event: any) {
  const user = event.context.user
  if (!user) throw createError({ statusCode: 401, statusMessage: 'Unauthorized' })
  return user
}

// assertAdmin: 在 assertUser 基础上额外验证管理员角色
export async function assertAdmin(event: any) {
  const user = await assertUser(event)
  const { data: profile } = await client.from('profiles')
    .select('role').eq('id', user.id).single()

  if (profile?.role !== 'admin')
    throw createError({ statusCode: 403, statusMessage: 'Admin Access Forbidden' })
  return user
}

-- 用户档案表（与 auth.users 关联）
CREATE TABLE profiles (
  id                 UUID PRIMARY KEY REFERENCES auth.users(id) ON DELETE CASCADE,
  username           TEXT UNIQUE NOT NULL,
  role               TEXT NOT NULL DEFAULT 'user' CHECK (role IN ('user', 'admin')),
  plan_status        TEXT NOT NULL DEFAULT 'free' CHECK (plan_status IN ('free', 'pro', 'enterprise')),
  created_at         TIMESTAMP WITH TIME ZONE DEFAULT NOW()
);

-- 营销活动配置表（驱动动态 H5 渲染）
CREATE TABLE marketing_campaigns (
  id          UUID PRIMARY KEY DEFAULT gen_random_uuid(),
  subdomain   TEXT UNIQUE NOT NULL,
  title       TEXT NOT NULL,
  config      JSONB NOT NULL DEFAULT '{}',
  is_active   BOOLEAN NOT NULL DEFAULT TRUE,
  created_at  TIMESTAMP WITH TIME ZONE DEFAULT NOW()
);

-- 必须开启 RLS（CI 门禁自动检查）
ALTER TABLE profiles ENABLE ROW LEVEL SECURITY;
ALTER TABLE marketing_campaigns ENABLE ROW LEVEL SECURITY;
ALTER TABLE activity_logs ENABLE ROW LEVEL SECURITY;

## 目录规范
- 严禁在根目录创建非规范的顶层目录
- 官网/H5 组件必须放在 app/components/client/ 或 shared/
- 管理端组件必须放在 app/components/admin/ 并使用局部导入

## 安全规范
- 严禁将 SUPABASE_SERVICE_ROLE_KEY 出现在任何前端代码中
- APM 告警阈值必须配置多级梯度，防止误报干扰

## 平台职责边界规范
- 严禁开通或使用 Vercel Postgres：数据库统一使用 Supabase PG
- 严禁将 HTTP API 路由写入 Supabase Edge Functions
- 限流计数器必须使用 Vercel KV，不得用 Supabase DB 表模拟

## 数据库规范
- 严禁在 Node.js 中对 >1000 条数据做内存级 reduce/map 聚合
- 统计类 API 必须命中 Materialized View 或预聚合表
- 所有列表查询必须限制 pageSize ≤ 100

## 审计规范
- 管理端所有写入/删除操作，必须在返回前调用 writeAuditLog()

## IP 规范
- 必须使用 getClientRealIP(event)，禁止使用 getRequestIP()

{
  "scripts": {
    "supabase:start":  "supabase start",
    "apm:monitor":     "node scripts/test-supabase-connection.mjs",
    "dev":             "nuxt dev",
    "dev:all":         "concurrently \"npm:supabase:start\" \"npm:dev\"",
    "gen:types":       "supabase gen types typescript --local > app/types/database.types.ts",
    "check":           "vue-tsc --noEmit && eslint 'app/**/*.vue' 'server/**/*.ts'",
    "test:api-safety": "vitest run server/tests/security"
  }
}

127.0.0.1  yourdomain.localhost
127.0.0.1  www.yourdomain.localhost
127.0.0.1  admin.yourdomain.localhost
127.0.0.1  api.yourdomain.localhost
127.0.0.1  promo-test.yourdomain.localhost  # 测试营销 H5 子域名

// Stripe Webhook 签名验证（策略层自动从 DB 读取密钥）
const strategy = getPaymentStrategy('stripe')
const result = await strategy.verifyWebhook(rawBody, signature)
// 支持事件类型：checkout.session.completed / charge.refunded