登录与 API

你将学到

移动端如何通过公开地址连接 01MVP 后端，复用整套上层系统
环境变量该放什么、不该放什么
服务端和客户端分别要配哪些东西才能跑通登录和 API 请求
用 health、login、profile 三步验证整条链路

整体架构

移动端不单独维护后端。它通过一个公开的 URL 直接访问 01MVP Web/API，账号、数据库、会员、邮件、存储全部复用上层系统。

请求流向：

EXPO_PUBLIC_SERVER_URL → Hono / oRPC → 后端系统（数据库 / 邮件 / 存储 / 支付）

移动端只需要知道后端的公开地址，不需要也不应该持有任何服务端密钥。

环境变量

移动端只放公开变量。只要一个变量会进入 App 安装包，就默认当公开信息处理。

可以放进移动端	不应该放进移动端
`EXPO_PUBLIC_SERVER_URL` — API 公开地址	数据库连接字符串
`EXPO_PUBLIC_APP_SCHEME` — App scheme	邮件服务密钥
`EXPO_PUBLIC_AUTH_COOKIE_PREFIX` — cookie 前缀	对象存储 secret key
RevenueCat public key	支付服务端密钥
环境名称（dev / staging / prod）	任何签名用的私钥

服务端密钥放在 products/01mvp/packages/config/.env 或部署平台的环境变量里。

EXPO_PUBLIC_SERVER_URL 应该指向设备能访问到的地址。本地开发时，真机和模拟器通常不能用 localhost，需要用本机局域网 IP 或隧道工具。

服务端配置

Better Auth 配置在 products/01mvp/packages/auth/src/index.ts。移动端要求服务端具备三项配置：

createExpoAuthPlugin — 来自 @01mvp/auth/expo-server，注册到 Better Auth 的插件列表中。它负责处理移动端的 cookie 和回跳逻辑。

NATIVE_APP_SCHEME — 加入 Better Auth 的 trusted origins，让服务端认可来自 yourapp:// 的请求。

AUTH_COOKIE_PREFIX — 和移动端的 EXPO_PUBLIC_AUTH_COOKIE_PREFIX 对应，确保两边读写的是同一个 cookie。

import { createExpoAuthPlugin } from "@01mvp/auth/expo-server";
import { createAuth } from "@01mvp/auth/index";

const auth = createAuth({
  cacheKey: "expo",
  plugins: [createExpoAuthPlugin()],
});

Auth 客户端

移动端 auth client 在 products/01mvp/apps/mobile/src/lib/auth-client.ts。

它依赖三个东西：

@better-auth/expo/client — Better Auth 的 Expo 集成
expo-secure-store — 原生安全存储，登录后把 session cookie 存在这里
EXPO_PUBLIC_APP_SCHEME 和 EXPO_PUBLIC_AUTH_COOKIE_PREFIX — 用于回跳和 cookie 匹配

登录成功后，Better Auth 自动把 session cookie 写入 SecureStore。后续请求会自动携带这个 cookie。

API 客户端

移动端 oRPC client 在 products/01mvp/packages/api/src/client/mobile/orpc.ts。

这个入口和 Web 的 TanStack Start client 是分开的，避免 Expo 打包进 Start 的 server request forwarding 逻辑。在组件里这样用：

import { orpc } from "@/lib/mobile-api";

const healthQuery = useQuery(orpc.health.live.queryOptions());
const profileQuery = useQuery(orpc.account.profile.queryOptions());

模板里已经包含三个 API 调用示例：

调用	类型	用途
`health.live`	公开 API	验证 server 是不是通的
`billing.plans`	公开 API	获取可购买的计划列表
`account.profile`	受保护 API	验证登录 cookie 能被 oRPC 正确读取