test: add supabase jwks auth regression

docs/refactor/multitenant-auth-security-contract.md

@@ -21,7 +21,7 @@
 
 - `Authorization: Bearer <tk_session>` 会优先解析 `app_private.auth_sessions`，并作为用户身份来源。
 - `Authorization: Bearer <supabase_access_token>` 已支持服务端验签，后端通过 `auth.users.id -> platform_users.auth_user_id -> tenant_memberships` 映射到业务用户和租户成员。
-- Supabase JWT 支持 `AUTH_JWT_SECRET` 或 `AUTH_JWT_JWKS_URL`；生产推荐优先配置 Supabase Auth JWKS，或在自托管兼容模式下配置强随机 JWT secret。
+- Supabase JWT 支持 `AUTH_JWT_SECRET` 或 `AUTH_JWT_JWKS_URL`；生产推荐优先配置 Supabase Auth JWKS 和 `AUTH_JWT_ISSUER`，或在自托管兼容模式下配置强随机 JWT secret。配置 JWKS 但缺少 issuer 会被生产 fail-fast 阻断。
 - JWT 可以在 `app_metadata.tenant_id` 或请求租户上下文中确定当前租户；如果两者冲突，后端拒绝，不允许前端覆盖 token 中的租户声明。
 - 登录后如果请求中的 `x-user-id`、query/body `userId` 与 session 用户不一致，后端返回 `AUTH_USER_MISMATCH`。
 - 登录后如果请求中的 `x-tenant-id` 与 session 租户不一致，后端返回 `AUTH_TENANT_MISMATCH`。
@@ -42,6 +42,13 @@ Supabase 官方允许前端用 Data API 访问数据，但前提是 RLS、最小
 1. 正式用户鉴权
    - 已支持服务端 session 和 Supabase Auth JWT 解析可信 userId。
    - 生产前必须用真实 Supabase Auth 项目或自托管 Auth 实例跑一轮云端 JWT 回归。
+   - 生产推荐配置：
+     ```text
+     AUTH_JWT_JWKS_URL=https://<project-ref>.supabase.co/auth/v1/.well-known/jwks.json
+     AUTH_JWT_ISSUER=https://<project-ref>.supabase.co/auth/v1
+     AUTH_JWT_AUDIENCE=authenticated
+     ```
+   - `npm run test:api` 已覆盖本地 HS256 JWT 和本地 JWKS/RS256 验签路径；真实云端仍需用线上 Supabase access token 调 `GET /api/auth/me`、`GET /api/profile/me`、租户后台和平台后台各一条接口。
    - 前端禁止通过 query/body/header 指定 userId。
    - `GET /api/auth/me` 已支持 Supabase JWT；后续要补租户成员、角色、权限返回。
 
@@ -60,6 +67,7 @@ Supabase 官方允许前端用 Data API 访问数据，但前提是 RLS、最小
    - `NODE_ENV=production` 时禁止默认 `AUTH_CODE_PEPPER`。
    - 禁止默认 `AUTH_SESSION_SECRET`。
    - 禁止默认 `AUTH_JWT_SECRET`，除非配置了 `AUTH_JWT_JWKS_URL`。
+   - 配置 `AUTH_JWT_JWKS_URL` 时必须同时配置 `AUTH_JWT_ISSUER`。
    - 禁止默认 `PLATFORM_ADMIN_API_KEY`。
    - 禁止 `CORS_ORIGIN=*`。
    - 禁止 `AUTH_SMS_PROVIDER=mock`。