# HTTP 认证方案的隔离实验

三个实验共用文章和结果索引，各自有独立 package.json。固定 Node 26.12.0、pnpm 12.11.2；只允许本机验证。

## 运行

进入 copy/postgrest、copy/authjs 或 copy/supabase，先运行 pnpm install --frozen-lockfile --ignore-scripts，再按该目录 README 执行。PostgREST 的两条命令为 pnpm probe:contract、pnpm probe；Auth.js 与 Supabase 还包含 Web 平台 build 及 bundle 检查。

## 数据能证明什么

- PostgREST：真实 Better Auth handler、真实本机 HTTP、SQLite 协议子集；不是实际 Supabase PostgreSQL 或生产适配器。单请求原子消费下，新用户 9、老用户 8 次；数据库限流增加请求。
- Auth.js：原始发布包和官方 Supabase 适配器，真实 handler、本机 HTTP / SQL 替身；默认数据库会话 5 次，JWT 基础登录 4 次，已有会话再登录增加一次。数字码 hook 不包括完整防猜测策略。
- Supabase Auth：原始 SDK 与固定 HTTP 响应，只数客户端网络，不运行认证服务。成功路径各 1 次；刷新遇到四个 503 后实际发送第 5 次。
- pg-runtime.json：先前独立 ESA 函数的加载对照，只保留状态和不支持的模块；未连接 PostgreSQL。

预算保护器是本地反例，不是 ESA 原生第五次报错。所有示例码、邮箱和 secret 均为测试数据；不要部署为登录后端，不要连接真实用户或发信。阿里云 Supabase 的公网、SMTP、计费和生产能力仍需独立验收。

## 许可

PostgREST 修复原型保留 incamax 原作者的 MIT 许可及来源提交。依赖许可证见各发布包，工作区只是研究材料，不替代上游正式适配器。