supabase/auth

A JWT based API for managing users and issuing JWT tokens

Estrellas: 2.6k
Forks: 764
Issues abiertos para principiantes: 11
Issues indexados: 200
Merge medio: 4 d 12 h
PR fusionados (30 d): 43

Lenguaje dominante: Go
Licencia: MIT
Último push a GitHub: 18/9/2026
Última indexación: 19/9/2026
Guía de contribución: Guía de contribución
Código de conducta: Código de conducta
Etiquetas para principiantes: good first issue hacktoberfest

Para principiantes Todo

Abierto Todos

OAuth token endpoint returns non-standard error for missing refresh token Abierto

Dificultad 3/5 1-2 días Aptitud para principiantes 68/100

supabase/auth#2829 · Abierto el 23/9/2026
GoTrue rejects valid ES256 tokens after signing-key rotation due to JWKS cache not refreshing at runtime Abierto

Dificultad 4/5 3-5 días Aptitud para principiantes 52/100

supabase/auth#2821 · Abierto el 21/9/2026
OAuth 2.1 Server (beta): GET /oauth/authorizations/{id} returns 400 when `resource`, `offline_access`, or a public client is used — blocks MCP connectors Abierto

Dificultad 4/5 3-5 días Aptitud para principiantes 48/100

supabase/auth#2820 · Abierto el 20/9/2026
Proposal: per-token failed-attempt limit for OTP verification Abierto

bug

Dificultad 5/5 Más de una semana Aptitud para principiantes 35/100

supabase/auth#2819 · Abierto el 18/9/2026
RefreshTokenGrant leaks raw internal error text to API clients in the msg field Abierto

Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100

supabase/auth#2812 · Abierto el 15/9/2026
IsUniqueConstraintViolatedError does not recognize a real Postgres unique violation, identity link race returns 500 instead of 422 Abierto

Dificultad 3/5 1-2 días Aptitud para principiantes 68/100

supabase/auth#2810 · Abierto el 15/9/2026
OAuth 2.1 server: MFA verification deletes OAuth client sessions (InvalidateSessionsWithAALLessThan does not exclude oauth_client_id) Abierto

bug

Dificultad 2/5 1-3 horas Aptitud para principiantes 84/100

supabase/auth#2801 · 1 comentario · Abierto el 12/9/2026
Azure provider: "Error getting user profile from external provider" using the documented /consumers tenant URL for personal accounts REPO: supabase/auth (github.com/supabase/auth/issues) Abierto

bug

Dificultad 4/5 3-5 días Aptitud para principiantes 45/100

supabase/auth#2795 · 1 comentario · Abierto el 9/9/2026
Local mails use Supabase's default templates instead of ours (on SELinux hosts) Abierto

bug

Dificultad 3/5 1-2 días Aptitud para principiantes 68/100

supabase/auth#2783 · 1 comentario · Abierto el 3/9/2026
sessions_timebox rendered with an 'h' suffix: GoTrue fails to boot on 'invalid duration' (and silently x3600 below the overflow threshold) Abierto

Dificultad 5/5 Más de una semana Aptitud para principiantes 35/100

supabase/auth#2770 · 1 comentario · Abierto el 1/9/2026
Passkey login fails with `webauthn_verification_failed` ("Backup Eligible flag inconsistency") for Apple iCloud synced passkeys on subsequent logins Abierto

bug

Dificultad 4/5 3-5 días Aptitud para principiantes 55/100

supabase/auth#2732 · 1 comentario · Abierto el 25/8/2026
Concurrent MFA verify for the same user returns 500 (FK violation / deadlock) instead of a 4xx conflict Abierto

Dificultad 4/5 3-5 días Aptitud para principiantes 52/100

supabase/auth#2727 · 1 comentario · Abierto el 25/8/2026
`after-user-created` hook fires on every external OAuth sign-in, not just on account creation Abierto

bug

Dificultad 2/5 1-3 horas Aptitud para principiantes 84/100

supabase/auth#2726 · 1 comentario · Abierto el 24/8/2026
.ConfirmationURL drops path/query from redirect_to at email-send time, even though /auth/v1/verify honors it correctly when supplied directly Abierto

Dificultad 3/5 1-2 días Aptitud para principiantes 68/100

supabase/auth#2722 · 1 comentario · Abierto el 22/8/2026
OAuth 2.1 server: authorize rejects RFC 8252 loopback ephemeral-port redirect_uri (exact-match, no port exemption) Abierto

Dificultad 3/5 1-2 días Aptitud para principiantes 72/100

supabase/auth#2703 · Abierto el 17/8/2026
POST /auth/v1/recover returns email_address_invalid for an existing user and success for a missing user (account enumeration) Abierto

Dificultad 4/5 3-5 días Aptitud para principiantes 52/100

supabase/auth#2702 · 2 comentarios · Abierto el 16/8/2026
Custom OIDC provider discards non-standard claims — CustomClaims passthrough exists only for Keycloak Abierto

Dificultad 3/5 1-2 días Aptitud para principiantes 68/100

supabase/auth#2694 · 4 comentarios · Abierto el 11/8/2026
Audit log entries for identity_unlinked are written with an empty log_type Abierto

Dificultad 1/5 Menos de una hora Aptitud para principiantes 86/100

supabase/auth#2679 · Abierto el 6/8/2026
Concurrent /otp signup race for the same new email: losing request returns raw 500 (users_email_partial_key, aborted transaction) instead of a graceful response Abierto

Dificultad 4/5 3-5 días Aptitud para principiantes 52/100

supabase/auth#2675 · Abierto el 4/8/2026
Password grant leaks account existence via timing: no hash verify on the unknown-user path Abierto

Dificultad 3/5 1-2 días Aptitud para principiantes 68/100

supabase/auth#2674 · 1 comentario · Abierto el 4/8/2026
PUT /user 500s when a customize_access_token hook blanks session_id Abierto

bug

Dificultad 2/5 1-3 horas Aptitud para principiantes 74/100

supabase/auth#2665 · 1 comentario · Abierto el 1/8/2026
Intermittent 403 "unrecognized JWT kid <nil> for algorithm ES256" on Admin API with valid sb_secret key Abierto

Dificultad 4/5 3-5 días Aptitud para principiantes 35/100

supabase/auth#2647 · 1 comentario · Abierto el 25/7/2026
linkIdentity rejects phone-only users when an email-optional OIDC identity has no email Abierto

bug

Dificultad 2/5 1-3 horas Aptitud para principiantes 80/100

supabase/auth#2640 · 3 comentarios · Abierto el 23/7/2026
emailRedirectTo is ignored during signUp() confirmation email, but works correctly for resetPasswordForEmail() Abierto

bug

Dificultad 4/5 3-5 días Aptitud para principiantes 45/100

supabase/auth#2634 · 1 comentario · Abierto el 18/7/2026
Custom OIDC: token exchange url-encodes client secret (RFC 6749 §2.3.1), breaking providers that expect a raw secret (Epic); real error masked by auto-detect fallback Abierto

Dificultad 4/5 3-5 días Aptitud para principiantes 45/100

supabase/auth#2623 · Abierto el 13/7/2026
Proposal: isolated-DB multi-tenant Auth runtime with bounded tenant routing Abierto

Dificultad 5/5 Más de una semana Aptitud para principiantes 20/100

supabase/auth#2622 · 2 comentarios · Abierto el 10/7/2026
Design proposal: multi-tenant Supabase Auth runtime Abierto

Dificultad 5/5 Más de una semana Aptitud para principiantes 25/100

supabase/auth#2621 · 10 comentarios · Abierto el 9/7/2026
Authorization-code replay race (TOCTOU) in the `authorization_code` grant at `POST /oauth/token` Abierto

bug

Dificultad 4/5 3-5 días Aptitud para principiantes 25/100

supabase/auth#2613 · 1 comentario · Abierto el 2/7/2026
OAuth 2.1 server: support RFC 8707 Resource Indicators (resource parameter → aud claim) Abierto

Dificultad 5/5 Más de una semana Aptitud para principiantes 42/100

supabase/auth#2610 · 4 reacciones · Abierto el 2/7/2026
internal/forks/godotenv is not copied to container in Dockerfile.dev Abierto

bug

Dificultad 1/5 Menos de una hora Aptitud para principiantes 86/100

supabase/auth#2606 · Abierto el 2/7/2026
[BUG] double_confirm_changes silently bypassed when mailer_autoconfirm is true. Abierto

Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100

supabase/auth#2600 · 3 comentarios · Abierto el 29/6/2026
Sent Verification email Instead of having configured HTML template file, the email body contains the HTML returned by the application URL configured in GOTRUE_SITE_URL. Abierto

bug

Dificultad 4/5 3-5 días Aptitud para principiantes 48/100

supabase/auth#2589 · 1 comentario · Abierto el 23/6/2026
Feature request: sign up a user without creating a session Abierto

Dificultad 4/5 3-5 días Aptitud para principiantes 48/100

supabase/auth#2586 · Abierto el 22/6/2026
Make PKCE optional for confidential clients in the OAuth server Abierto

bug

Dificultad 4/5 3-5 días Aptitud para principiantes 50/100

supabase/auth#2585 · 1 comentario · 2 reacciones · Abierto el 22/6/2026
External provider with no email returns generic 500 (unexpected_failure) instead of email_address_not_provided Abierto

Dificultad 2/5 1-3 horas Aptitud para principiantes 20/100

supabase/auth#2583 · Abierto el 18/6/2026
email_verified is set to true during OTP email sign up before verifying the OTP code. Abierto

bug

Dificultad 4/5 3-5 días Aptitud para principiantes 52/100

supabase/auth#2580 · 3 comentarios · Abierto el 17/6/2026
[BUG] Kakao provider hardcodes account_email scope, blocking non-Biz Korean developers Abierto

bug

Dificultad 4/5 3-5 días Aptitud para principiantes 52/100

supabase/auth#2574 · 6 reacciones · Abierto el 12/6/2026
auth.identities.last_sign_in_at not updated after subsequent sign-ins (contradicts docs) Abierto

bug

Dificultad 3/5 1-2 días Aptitud para principiantes 50/100

supabase/auth#2563 · Abierto el 4/6/2026
send_email hook payload site_url uses API_EXTERNAL_URL instead of GOTRUE_SITE_URL Abierto

Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100

supabase/auth#2558 · Abierto el 1/6/2026
Cannot update or delete custom OAuth provider in the UI Abierto

bug

Dificultad 3/5 1-2 días Aptitud para principiantes 72/100

supabase/auth#2541 · 6 comentarios · 1 reacción · Abierto el 26/5/2026
admin.generateLink(email_change_new): properties.hashed_token diverges from stored email_change_token_new Abierto

Dificultad 3/5 1-2 días Aptitud para principiantes 48/100

supabase/auth#2538 · 1 comentario · Abierto el 25/5/2026
Magic link doesn't support PKCE + opens up PKCE bypass for OTP Abierto

bug

Dificultad 4/5 3-5 días Aptitud para principiantes 48/100

supabase/auth#2536 · 3 comentarios · Abierto el 18/5/2026
Custom OAuth (oauth2) returns "missing provider id" after successful login Abierto

bug

Dificultad 4/5 3-5 días Aptitud para principiantes 48/100

supabase/auth#2519 · 2 comentarios · Abierto el 5/5/2026
Mailer drops path component of API_EXTERNAL_URL when building confirmation URLs Abierto

Dificultad 3/5 1-2 días Aptitud para principiantes 55/100

supabase/auth#2518 · 3 comentarios · 2 reacciones · Abierto el 4/5/2026
send_email Auth Hook does not attach Authorization header despite signing secret being configured Abierto

bug

Dificultad 3/5 1-2 días Aptitud para principiantes 55/100

supabase/auth#2499 · Abierto el 22/4/2026
Roles in ID token from Zitadel is removed Abierto

bug

Dificultad 3/5 1-2 días Aptitud para principiantes 55/100

supabase/auth#2494 · Abierto el 21/4/2026
Custom Hostname active but /.well-known/oauth-authorization-server still returns issuer: <project-ref>.supabase.co (RFC 8414 violation) Abierto

Dificultad 5/5 Más de una semana Aptitud para principiantes 32/100

supabase/auth#2486 · 2 comentarios · 4 reacciones · Abierto el 19/4/2026
`signInWithOAuth` custom provider incorrect `redirect_uri` Abierto

bug

Dificultad 2/5 1-3 horas Aptitud para principiantes 20/100

supabase/auth#2477 · 2 comentarios · Abierto el 11/4/2026
Mix-Up Attacks Defense via Distinct Redirect URIs Abierto

Dificultad 4/5 3-5 días Aptitud para principiantes 48/100

supabase/auth#2474 · Abierto el 10/4/2026
Issue with automatic identity linking Abierto

bug

Dificultad 4/5 3-5 días Aptitud para principiantes 45/100

supabase/auth#2472 · 2 comentarios · Abierto el 9/4/2026

Mostrando los 100 más recientes

Esta página solo lista lo indexado más recientemente. El filtro avanzado tiene el inventario completo, acotado por lenguaje, dificultad y duración.

Abrir el filtro avanzado

supabase/auth

Mostrando los 100 más recientes

Recibe los nuevos issues en tu correo