┌─────────────────────────────────────────────────────────────┐
│                    איפה לשמור Secrets?                      │
├─────────────────────────────────────────────────────────────┤
│  ✅ Environment Variables (.env)                            │
│  ✅ Secret Manager (Supabase Vault, Railway Variables)      │
│  ✅ .env.local (לא נכנס ל-Git)                              │
│                                                             │
│  ❌ בקוד עצמו                                               │
│  ❌ ב-Git repository                                        │
│  ❌ בצד הלקוח (Frontend)                                    │
└─────────────────────────────────────────────────────────────┘

# Secrets - לעולם לא ל-Git!
.env
.env.local
.env.production
*.pem
*.key
secrets/

# Supabase
supabase/.env

# .env.example (זה כן נכנס ל-Git - בלי ערכים אמיתיים!)
SUPABASE_URL=your_supabase_url_here
SUPABASE_ANON_KEY=your_anon_key_here
SUPABASE_SERVICE_ROLE_KEY=your_service_role_key_here
OPENAI_API_KEY=your_openai_key_here

-- שלב 1: הפעלת RLS על טבלה
ALTER TABLE profiles ENABLE ROW LEVEL SECURITY;

-- שלב 2: יצירת Policy - מי יכול לראות מה
CREATE POLICY "Users can view own profile" 
ON profiles FOR SELECT 
USING (auth.uid() = user_id);

-- שלב 3: Policy לעדכון
CREATE POLICY "Users can update own profile" 
ON profiles FOR UPDATE 
USING (auth.uid() = user_id);

┌─────────────────────────────────────────────────────────────┐
│                    Supabase Auth                            │
├─────────────────────────────────────────────────────────────┤
│  ✅ הרשמה עם Email/Password                                 │
│  ✅ OAuth (Google, GitHub, etc.)                            │
│  ✅ אימות Email                                             │
│  ✅ שחזור סיסמה                                             │
│  ✅ JWT Tokens אוטומטי                                      │
│  ✅ MFA (Two-Factor Authentication)                         │
└─────────────────────────────────────────────────────────────┘

// Frontend - React
import { useEffect, useState } from 'react'
import { supabase } from './supabaseClient'

function ProtectedPage() {
  const [user, setUser] = useState(null)
  const [loading, setLoading] = useState(true)

  useEffect(() => {
    // בדיקת משתמש נוכחי
    supabase.auth.getUser().then(({ data: { user } }) => {
      setUser(user)
      setLoading(false)
    })

    // האזנה לשינויים
    const { data: { subscription } } = supabase.auth.onAuthStateChange(
      (_event, session) => {
        setUser(session?.user ?? null)
      }
    )

    return () => subscription.unsubscribe()
  }, [])

  if (loading) return <div>Loading...</div>
  if (!user) return <div>Please log in</div>
  
  return <div>Welcome, {user.email}!</div>
}

✅ תמיד לאמת בצד השרת (Backend)
✅ לעולם לא לסמוך על קלט מהמשתמש
✅ להשתמש ב-Parameterized Queries
✅ לסנן תווים מיוחדים
✅ להגביל אורך קלט

from pydantic import BaseModel, EmailStr, validator
from fastapi import FastAPI, HTTPException

app = FastAPI()

class UserCreate(BaseModel):
    email: EmailStr  # מאמת אוטומטית פורמט email
    name: str
    
    @validator('name')
    def name_must_be_valid(cls, v):
        if len(v) < 2 or len(v) > 50:
            raise ValueError('Name must be 2-50 characters')
        if not v.replace(' ', '').isalpha():
            raise ValueError('Name must contain only letters')
        return v.strip()

@app.post("/users")
async def create_user(user: UserCreate):
    # הקלט כבר מאומת בזכות Pydantic!
    # ... יצירת משתמש
    return {"message": "User created"}

┌─────────────────────────────────────────────────────────────┐
│           מה להצפין?                                        │
├─────────────────────────────────────────────────────────────┤
│  ✅ סיסמאות (bcrypt - Supabase עושה אוטומטית)              │
│  ✅ מידע רפואי / פיננסי                                     │
│  ✅ מספרי כרטיס אשראי (או השתמש ב-Stripe!)                  │
│  ✅ מידע אישי רגיש (PII)                                    │
│                                                             │
│  ℹ️ Supabase מצפין אוטומטית את כל ה-DB ב-AES-256           │
└─────────────────────────────────────────────────────────────┘

# ב-CLAUDE.md שלך, הוסף:

## Security Rules - DO NOT BYPASS
- Never disable RLS on any table
- Never expose service_role key in frontend
- Always validate user input
- Never remove authentication checks
- Always use parameterized queries

בצע את המשימה הבאה תוך שמירה על כל מנגנוני האבטחה הקיימים:
- אל תסיר RLS policies
- אל תחשוף API keys
- שמור על validation קיים
- הוסף הערות על שינויים הקשורים לאבטחה

המשימה: [תיאור המשימה]