認証機能（Authentication）

3つのアプリ共通の、メールアドレス／パスワードによるログイン基盤。ユーザーのロールに応じて利用アプリが分かれる。

横断基盤（3アプリ） NextAuth / Credentials 独自 Session 記録

概要

ユーザー画面・組織管理画面・システム管理画面の3アプリは、いずれも NextAuth の Credentials プロバイダ （メールアドレス＋パスワード）でログインする。ログイン時に独自の Session レコードを作成し、 JWT の sub にそのセッションIDを格納する。

セッションはアプリ種別（applicationType）を持つ（User / OrganizationManager / SystemManager）。
セッションにはIPアドレス・ユーザーエージェントを記録する。
ページ保護は各アプリの AuthPage ラッパー、サーバー処理は auth() でセッション取得（規約: 認証・認可）。
ロール（isOrganizationManager / isSystemManager）で利用できるアプリ・操作が分かれる。
無効化された組織のユーザーは利用不可（組織管理画面でアラート）。

ロールとアプリの対応

ロール	フラグ	利用アプリ	applicationType
一般ユーザー	なし	ユーザー画面（apps/user）	`User`
組織管理者	isOrganizationManager	組織管理画面（apps/organization-manager）	`OrganizationManager`
システム管理者	isSystemManager	システム管理画面（apps/system-manager）	`SystemManager`

ログインの流れ

サインイン画面（/sign-in）でメールアドレス・パスワードを入力。
Credentials プロバイダが認証。成功時、JWT コールバックで Session を作成（applicationType / IP / UA / debugOrganizationId）。
JWT の sub に session.id を格納。Cookie 名は myAuthCookie。
以降、auth() がセッションから user（＋ organization）を解決して提供。

デバッグログイン

特定ユーザー・組織としてログインして動作確認するための経路（/sign-in/debug/users/[userId]/organizations/[organizationId]、ユーザー画面・組織管理画面に存在）。 入口はシステム管理画面の組織詳細（/organizations/[organizationId]）の「ユーザー／組織管理者としてログイン」ボタンで、そこから対象アプリのデバッグ経路へ遷移する。作成されるセッションに debugOrganizationId（一時組織ID）が記録される。

主要な実装（参照）

NextAuth 設定：apps/{user,organization-manager,system-manager}/lib/auth/index.ts
Credentials プロバイダ：apps/{app}/lib/auth/providers/credentials-provider/
ルートハンドラ：apps/{app}/app/api/[...nextauth]/route.ts
サインイン画面：apps/{app}/app/sign-in/（＋ /sign-in/debug/...）
ページ保護：各アプリ components/auth-page.tsx

開発セッション履歴

本ドキュメントは既存実装をもとに遡及作成。今後の改修は sessions/ 配下に追記する。