better-auth 落地清单

better-auth 的默认配置能跑通，但上线前有几项必须显式确认。

基础三项

AUTH_SECRET 必须稳定且足够长，轮换会让现有会话全部失效；trusted origins 要包含实际域名，否则回调会被拒绝；baseURL 必须与访问地址一致。

邮箱验证

保持 requireLocalEmailVerified 开启，不要因为转化率就允许未验证邮箱登录。未验证邮箱是账号接管和滥用注册的入口。

账号绑定

不要自动把同邮箱的不同 OAuth 身份合并，必须由用户主动确认。自动合并会让攻击者用可控邮箱接管账号。

客户端与服务端

服务端用 getAuth() 读取会话，客户端用 useSession。组件不要直接读 cookie，也不要信任前端传入的 userId。