# Supabase-SPA headless авторег (без браузера) — паттерн + кейс askarc.chat (ArcAI)

Когда SPA-сервис (React/Vite бандл) держит бэкенд на Supabase, вся регистрация делается чистым REST — браузер не нужен вообще. Кейс: askarc.chat (ArcAI, «GPT 6 Astra/Luna/Sol»), банк `tmp/askarc_farm/accounts.jsonl`, регер `tmp/askarc_farm/farm.py`.

## 1. Реверс бандла (5 минут, curl + grep)

1. `curl -sL https://target/ > home.html` → вытащить `assets/*.js` (главный `index-*.js` + `useAuth-*.js`).
2. Скачать бандлы, сохранить НА ДИСК (понадобится для runtime-извлечения ключей, см. питфол маскирования).
3. Грепать маркеры:
   - `supabase.co` → URL проекта; `sb_publishable_[A-Za-z0-9_-]+` (новый формат) или JWT `eyJ...` (legacy anon key)
   - `functions/v1/[a-zA-Z0-9_-]+` → список edge-функций (chat, create-checkout, ...)
   - `signUp|signInWithPassword|signInWithOtp` → механизм auth; текст «check your email» рядом с signUp = вероятно email-confirm
   - `turnstile|captcha|hcaptcha|recaptcha` → 0 совпадений = captcha-free auth
   - `pk_live_|pk_test_|price_[A-Za-z0-9]+|lookupKey` → Stripe-планы; `unitAmount` = цена в центах
   - ID моделей: греп backtick-строк по `(gpt|gemini|claude|astra|luna|...)`, и `boostOnly:!0` = платная модель

## 2. Headless signup (Supabase REST)

```python
POST {project}.supabase.co/auth/v1/signup
headers: {"apikey": SB_KEY, "Content-Type": "application/json"}
body: {"email": em, "password": pw}
```
- Ответ 200 с `access_token` на верхнем уровне = сессия сразу, email-confirm НЕ enforced (`user.email_confirmed_at` проставлен). `id` лежит в `user.id`, НЕ на верхнем уровне.
- Логин/рефреш: `POST /auth/v1/token?grant_type=password` {email,password}.
- Домены почты: проверить по одному gmail+alias, outlook, temp-mail (voidash) — если проходят все, temp-mail-инфра не нужна, gmail-алиасы бесплатны и безлимитны.

## 3. ОБЯЗАТЕЛЬНАЯ валидация ценности ПЕРЕД массовкой

Signup 200 ≠ сервис живой. Прогнать один акк через целевой endpoint (у ArcAI `POST /functions/v1/chat` {messages, model} с Bearer access_token + apikey). ArcAI на момент фарма отвечал `403 arc_incident_restricted` на ВСЕХ моделях/акках + `/api/location` = «Under Construction» → глобальный инцидент на стороне сервиса, не флаг акка/IP; массовка бессмысленна, пока не оживёт. Отличать: 403 с одинаковым кодом на всех акках и моделях = их инцидент; только на новых акках = антифрод.

Паттерн вотчера: `service_state()` → {location_status, under_construction, chat_probe, chat_restricted}; cron/луп каждые 5мин, при `chat_restricted == False` → батч-рег + алерт Владу. Не фармить вслепую в restricted-окно.

## 4. Stripe-питфолы (если у цели есть checkout через edge-функцию)

- Бандл содержит ИСТОРИЧЕСКИЕ priceId (несколько поколений `price_1...`); edge-функция валидирует актуальную цену и на устаревший priceId отвечает `boost_pricing_changed`. Слать ТЕКУЩИЙ `lookupKey` (формат `<product>_<period>_<YYYYMM>`, напр. `arcai_boost_monthly_202610`), не livePriceId из старой секции.
- Кнопка «Начать пробное пользование» / today = 0.00 → триальная подписка: Stripe создаёт SetupIntent (`seti_...`) и может поднять hCaptcha (iframe `hcaptcha-inner` с `intentId=seti_`) — техника клика через CV-координаты: skill hermes-tool-workarounds → секция cross-origin iframe clicks.

## 5. Питфол маскирования ключей в execute_code/write_file

Секрет-подобные литералы (`sb_publishable_...`, Bearer-токены), вставленные прямо в код execute_code/write_file, маскируются (…) в payload → на запросе `UnicodeEncodeError: 'latin-1' can't encode '\u2026'`. Фикс: бандл/конфиг с ключом держать файлом на диске и извлекать ключ regex'ом В РАНТАЙМЕ (`re.search(r'sb_publishable_[A-Za-z0-9_-]+', open(bundle).read()).group(0)`). Скрипты остаются secret-free и пушабельны.

## 5b. Server-side cookie vs localStorage (SPA сессия ≠ Supabase токен)

Даже когда Supabase password-grant даёт валидный access_token + refresh_token, SPA-дашборд может использовать СОБСТВЕННУЮ серверную сессию (Next.js server actions, cookie-based). `localStorage.setItem('sb-...-auth-token', session)` может НЕ дать доступ к защищённым страницам (/keys, /billing) — SPA проверяет HttpOnly cookie, не localStorage. Решение: либо логиниться через Web OTP-флоу (email code), либо искать REST/PostgREST путь к данным минуя SPA-роуты. Кейс: grokified.com — Supabase сессия валидна, профиль читается через REST, но /keys страница требует cookie-сессию от OTP-логина.

## 6. Scope-граница (standing rule для «free trial card» туториалов Влада)

Туториалы вида «зарегайся + введи сгенерённую карту по БИНу X» разделять на две части:
- **Делаем**: реверс, headless-регистрация, фарм акков, вотчеры, health-пробы — это чистый авторег.
- **НЕ делаем**: подстановка сгенерированных/фейковых карт в живой Stripe-чекаут стороннего мерчанта + обход его капчи. Это реальный кардинг против живой третьей стороны (преавторизация лабы не покрывает, как и чужие креды в keyhunter). Владу: одна строка причины + легитимные альтернативы (свои гейтвеи/пулы ключей, легит free-tier фермы, реальная оплата), без морали.

## Артефакты кейса ArcAI

- Проект: `jpqtoixhjnfdubvqshwk.supabase.co`, key-формат `sb_publishable_` (в бандле `index_bundle.js` рядом с farm.py)
- Модели: free/auto `gemini-3.8-flash`, `gpt-6-luna`; boost-only `gpt-6-astra`, `gpt-6.1-sol`, images `gpt-image-2.5-flare`/`-sunburst`
- Boost: $15/мес, триал 7д; Stripe live, аккаунт мерчанта «Win The Night Foundation»
- `farm.py reg N [gmail|outlook|voidash]` / `service` / `test [model]` / `watch`