test: add remote auth jwt smoke

README.md

@@ -249,6 +249,8 @@ npm run check:worker
 npm run check:importer
 npm run check:taro
 npm run test:readiness
+npm run test:auth:remote-smoke
+npm run smoke:auth:remote
 npm run audit:runtime
 npm run pb:import:dry-run
 npm run pb:import:validate
@@ -279,6 +281,21 @@ npm run readiness:production:db
 
 这个检查会阻断默认弱密钥、`CORS=*`、mock 短信、legacy 身份头、local_dev 存储、对象存储未配置、CRM insecure localhost 等生产风险；带 `:db` 的版本还会检查租户 provider 公开配置是否混入密钥、活跃短信/OAuth/支付 provider 是否缺少 `app_private.tenant_secrets`、域名是否未验证。
 
+Supabase Auth/JWKS 上云后需要用真实 access token 跑远程验收：
+
+```bash
+AUTH_SMOKE_API_BASE_URL=https://api.example.com \
+AUTH_SMOKE_TENANT_ID=<tenant-uuid> \
+AUTH_SMOKE_STUDENT_ACCESS_TOKEN=<student-supabase-access-token> \
+AUTH_SMOKE_TENANT_ADMIN_ACCESS_TOKEN=<tenant-admin-supabase-access-token> \
+AUTH_SMOKE_PLATFORM_ADMIN_ACCESS_TOKEN=<platform-admin-supabase-access-token> \
+AUTH_SMOKE_WRONG_TENANT_ID=<another-tenant-uuid> \
+AUTH_SMOKE_REQUIRE_ADMIN_TOKENS=true \
+npm run smoke:auth:remote
+```
+
+这个命令会验证真实 Supabase JWT 能访问 `/api/auth/me`、`/api/profile/me`，学生不能访问租户后台/平台后台，租户管理员不能访问平台后台，平台管理员能访问平台后台，坏 token 和错租户上下文会被拒绝。真实 access token 只允许在验收命令行临时提供，不要写入仓库、前端 `runtime-config.json` 或长期 `.env`。
+
 RLS 需要同时跑动态隔离验收：
 
 ```bash
@@ -376,6 +393,7 @@ npm run check:worker
 npm run test:worker:commerce
 npm run test:worker:assets
 npm run test:worker:exports
+npm run test:auth:remote-smoke
 npm run test:rls
 npm run test:api
 npm run check:refactor
@@ -383,7 +401,7 @@ npm run audit:runtime
 git diff --check
 ```
 
-结果：通过。`npm run test:rls` 覆盖 75 条运行时 RLS 断言，包含主租户、合作商租户、无租户 claim、平台管理员旁路和跨租户写入拒绝。`npm run test:api` 覆盖资源访问事件、锁定 CDN 资源拒绝、provider-managed CDN 显式放行、学生短 TTL 下载/预览、访问记录查询、安全扫描门禁、官方账单下载任务权限和脱敏响应、异常订单运营台、人工调整凭证提交/复核/事件/报表、租户隔离，以及凭证审批不修改订单/支付/权益。`npm run test:worker:commerce` 覆盖支付/退款补偿、微信/支付宝官方账单下载、账单 hash 校验、导入 `provider_download` 对账批次和密钥不泄露。`npm run test:worker:assets` 覆盖托管资源复检、内置安全扫描、外部 HTTP scanner 通过/失败/不可用 fail-closed、扫描失败/跳过事件和异常资源自动下架。`npm run test:worker:exports` 覆盖导出 worker 生成可信资源并标记 `securityScanStatus=passed`。`npm run audit:runtime` 无 high/critical 漏洞；当前运行时依赖树仍有 `exceljs -> uuid` 的 moderate 级提示，修复需要破坏性降级 `exceljs`，后续应在导入 Excel 回归充分后单独处理。
+结果：通过。`npm run test:auth:remote-smoke` 覆盖远程 Auth/JWKS 验收脚本自身。`npm run test:rls` 覆盖 75 条运行时 RLS 断言，包含主租户、合作商租户、无租户 claim、平台管理员旁路和跨租户写入拒绝。`npm run test:api` 覆盖资源访问事件、锁定 CDN 资源拒绝、provider-managed CDN 显式放行、学生短 TTL 下载/预览、访问记录查询、安全扫描门禁、官方账单下载任务权限和脱敏响应、异常订单运营台、人工调整凭证提交/复核/事件/报表、租户隔离，以及凭证审批不修改订单/支付/权益。`npm run test:worker:commerce` 覆盖支付/退款补偿、微信/支付宝官方账单下载、账单 hash 校验、导入 `provider_download` 对账批次和密钥不泄露。`npm run test:worker:assets` 覆盖托管资源复检、内置安全扫描、外部 HTTP scanner 通过/失败/不可用 fail-closed、扫描失败/跳过事件和异常资源自动下架。`npm run test:worker:exports` 覆盖导出 worker 生成可信资源并标记 `securityScanStatus=passed`。`npm run audit:runtime` 无 high/critical 漏洞；当前运行时依赖树仍有 `exceljs -> uuid` 的 moderate 级提示，修复需要破坏性降级 `exceljs`，后续应在导入 Excel 回归充分后单独处理。
 
 注意：`apps/taro` 是静态构建工程，线上发布 `apps/taro/dist/**`，不发布 `node_modules`。Taro 4.2.0 当前构建工具链仍会触发 `npm run audit:taro:toolchain` 的上游 high/critical 提示，不能用 `npm audit fix --force` 降级到 Taro 3 破坏构建；上线验收时以 `audit:runtime`、构建产物、前端密钥检查和静态服务器配置为准，并持续跟进 Taro 官方修复。