Fluxo atual
Acesso simples, sem senha e com sessao protegida
O assinante recebe o magic link por email, o callback troca o codigo por sessao e o middleware protege as rotas internas sem exigir senha local nem navegacao manual.
- Envio de link magico por email.
- Callback `/auth/callback` trocando o codigo por sessao valida.
- JWT do Supabase preparado para trafegar no cliente HTTP.
- Rotas autenticadas protegidas por middleware na camada visual.