better-auth

Better Auth 程序选择

使用 template-ts 应用中的 Better Auth + TRPC 模式选择授权边界。

程序选择表

程序	访问级别	提供的上下文
publicProcedure	无需认证	{ db, session?, headers }
protectedProcedure	已认证	{ db, session, userId, headers }
adminProcedure	管理员角色	{ db, session, headers }
protectedOrganizationMemberProcedure	组织成员	{ ..., member, organizationId }
protectedOrganizationAdminProcedure	组织管理员/所有者	{ ..., member, organizationId }
protectedProjectMemberProcedure	项目访问权限	{ ..., project, projectRole, orgRole }
protectedProjectAdminProcedure	项目管理员	{ ..., project, projectRole, orgRole }
protectedProjectEditorProcedure	项目编辑者及以上	{ ..., project, projectRole, orgRole }

在编写路由逻辑前，请将此表作为首要选择依据。

适用场景

• 为组织/项目/成员/管理员访问选择正确的受保护程序。
• 在 TRPC 程序中实现 Better Auth 授权检查。
• 审查现有路由中的授权边界。

按照此工作流操作

1. 根据程序选择表确定所需的访问级别。
2. 从匹配的基础程序开始实现。
3. 仅当表中的程序无法完全满足访问规则时，才链接更严格的中间件。
4. 加载 references/better-auth-examples.md，查看详细示例和可直接复制的代码片段。
5. 保持上下文结构稳定；只添加特定于路由的字段。

关键规则

1. 选择符合所需权限的最严格程序。
2. 复用继承的上下文（userId、organizationId、project、角色），不要重新计算。
3. 赋予组织管理员自动的项目管理员权限；避免重复检查。
4. 将 ctx.headers 传递给 auth.api.* 服务端调用。
5. 在每个中间件中添加业务逻辑前，验证可变来源（opts.ctx、opts.input）。

参考资料

• references/better-auth-examples.md — 身份验证配置、上下文设置、中间件示例、客户端身份验证用法和管理员 API 模式。