Cursor rule

1---
2globs: "buero-backend-api/src/**/auth/**/*,buero-backend-api/src/**/guards/**/*,buero-backend-api/src/**/strategies/**/*,buero-backend-api/src/**/*.ts"
3description: "Auth та ролі — JWT, cookie, student/teacher"
4---
5 
6# Auth та ролі — buero.de
7 
8## Джерела
9 
10- **docs/auth-spec.md** — повна специфікація (реєстрація = логін, cookie, refresh у Postgres, logout).
11- **docs/auth-config.md** — конфігурація (TTL, назви cookie).
12 
13## Ключові правила
14 
15- **Токени в cookie**, не в тілі JSON: `access_token`, `refresh_token`. Опційно приймати access з заголовка `Authorization: Bearer` для клієнтів, які не відправляють cookie.
16- **Refresh** зберігається в БД (таблиця **refresh_tokens**); при logout — **revoke** (revoked_at або видалення). Ротація refresh при виклику /refresh.
17- **Ролі:** тільки **student** та **teacher**. Немає ролі admin; для адміністративних дій використовувати окремий механізм поза MVP якщо знадобиться.
18- **Guards:** JwtAuthGuard для захищених ендпоінтів; RolesGuard з **@Roles('student' | 'teacher')** де потрібна перевірка ролі (наприклад тільки teacher може POST /api/courses).
19- **Студент:** доступ до **матеріалів курсу** — лише за умови наявності запису в **user_course_access** для цього курсу (trial з trial_ends_at > now(), купівля або активна підписка на курс). Каталог курсів — всі опубліковані; перевірка user_course_access — при GET матеріалів та прогресу.
20- **Вчитель:** будь-який вчитель може створювати/редагувати/видаляти **будь-який** курс і матеріали (не обмежувати за teacher_id для доступу).
21 
22## Реєстрація та логін
23 
24- Реєстрація: створення user + відповідного профілю (student_profiles або teacher_profiles); після успішної реєстрації одразу видавати пару токенів у cookie (не вимагати окремий login).
25- Логін: перевірка email + password (bcrypt); видача access + refresh у cookie.
26