graph TB
    subgraph クライアント
        Browser[ブラウザ]
        Bot[AI/Bot]
    end

    subgraph セキュリティレイヤー
        Helmet[Helmet.js<br/>セキュリティヘッダー]
        RateLimit[レート制限<br/>express-rate-limit]
        CORS[CORS<br/>オリジン制限]
        SizeLimit[ペイロード制限<br/>100KB]
    end

    subgraph 認証レイヤー
        CookieAuth[Cookie認証<br/>JWT + セッション検証]
        APIKeyAuth[APIキー認証<br/>SHA-256ハッシュ照合]
        RBAC[RBAC<br/>ロールベースアクセス制御]
    end

    subgraph アプリケーション
        Routes[ルートハンドラ]
        Validation[Zodバリデーション]
        Sanitize[入力サニタイズ]
    end

    subgraph データストア
        DB[(PostgreSQL)]
        AuditLog[監査ログ]
    end

    Browser -->|Cookie| Helmet
    Bot -->|Bearer Token| Helmet
    Helmet --> RateLimit
    RateLimit --> CORS
    CORS --> SizeLimit
    SizeLimit --> CookieAuth
    SizeLimit --> APIKeyAuth
    CookieAuth --> RBAC
    APIKeyAuth --> RBAC
    RBAC --> Routes
    Routes --> Validation
    Validation --> Sanitize
    Sanitize --> DB
    Routes -.->|全操作を記録| AuditLog
    AuditLog --> DB

sequenceDiagram
    participant C as クライアント
    participant S as バックエンド
    participant DB as PostgreSQL

    rect rgb(240, 248, 255)
    Note over C,DB: Web UI ログイン (Cookie認証)
    C->>S: POST /api/auth/login {email, password}
    S->>S: レート制限チェック (10回/分)
    S->>DB: ユーザー検索
    alt アカウントロック中
        S-->>C: 423 Locked (15分間)
    end
    S->>S: bcrypt パスワード検証
    alt 認証失敗
        S->>DB: failedLoginAttempts++
        S->>DB: 監査ログ (LOGIN_FAILED, WARNING)
        S-->>C: 401 Unauthorized
    else 認証成功
        S->>S: JWT生成 (7日間有効)
        S->>DB: セッション作成 (tokenHash)
        S->>DB: failedLoginAttempts = 0
        S->>DB: 監査ログ (LOGIN, INFO)
        S-->>C: Set-Cookie: token=<jwt>
    end
    end

    rect rgb(255, 248, 240)
    Note over C,DB: Bot API (APIキー認証)
    C->>S: GET /api/v1/... + Authorization: Bearer kt_xxx
    S->>S: レート制限チェック (60回/分)
    S->>S: キープレフィックス抽出
    S->>DB: keyHash で検索 (SHA-256)
    S->>S: パーミッションチェック
    S-->>C: レスポンス
    end

sequenceDiagram
    participant U as ユーザー
    participant FE as Frontend
    participant BE as Backend
    participant EV as evex-accounts
    participant DB as PostgreSQL

    U->>FE: 「Evex アカウントでログイン」クリック
    FE->>BE: GET /api/auth/evex
    BE->>BE: PKCE 生成<br/>(code_verifier + code_challenge)
    BE->>BE: state 生成 (CSRF対策)
    BE->>BE: Cookie に保存<br/>(evex_cv, evex_state)
    BE-->>U: 302 Redirect → evex-accounts

    U->>EV: 認可画面でログイン & 同意
    EV-->>U: 302 Redirect → /api/auth/evex/callback?code=...&state=...

    U->>BE: GET /api/auth/evex/callback
    BE->>BE: state 検証 (Cookie と比較)
    BE->>EV: POST /api/oauth/token<br/>(code + code_verifier)
    EV-->>BE: access_token (evex_at_...)
    BE->>EV: GET /api/oauth/userinfo<br/>(Bearer access_token)
    EV-->>BE: {sub, email, name,<br/>discord_id, discord_roles}

    BE->>DB: ユーザー検索/作成<br/>(externalId = sub)<br/>authProvider, discordId, discordRoles 保存
    BE->>DB: セッション作成
    BE->>DB: 監査ログ (LOGIN, evex-oauth)
    BE-->>U: Set-Cookie: token=<jwt><br/>302 Redirect → /trade

graph LR
    subgraph ロール
        USER[USER]
        ADMIN[ADMIN]
    end

    subgraph エンドポイント
        Auth[認証 API]
        Trade[取引 API]
        Stocks[株価 API]
        Account[アカウント API]
        APIKeys[APIキー管理]
        AdminAPI[管理 API]
    end

    USER --> Auth
    USER --> Trade
    USER --> Stocks
    USER --> Account
    USER --> APIKeys
    ADMIN --> Auth
    ADMIN --> Trade
    ADMIN --> Stocks
    ADMIN --> Account
    ADMIN --> APIKeys
    ADMIN --> AdminAPI

    style AdminAPI fill:#ff6b6b,color:#fff

graph LR
    subgraph 入力
        PW[パスワード]
        JWT[JWTトークン]
        AK[APIキー]
    end

    subgraph ハッシュ処理
        BCrypt[bcryptjs<br/>salt rounds: 12]
        SHA1[SHA-256]
        SHA2[SHA-256]
    end

    subgraph DB保存
        PWH[passwordHash]
        TH[tokenHash]
        KH[keyHash + keyPrefix]
    end

    PW --> BCrypt --> PWH
    JWT --> SHA1 --> TH
    AK --> SHA2 --> KH

    style PW fill:#ff6b6b,color:#fff
    style JWT fill:#ff6b6b,color:#fff
    style AK fill:#ff6b6b,color:#fff
    style PWH fill:#51cf66,color:#fff
    style TH fill:#51cf66,color:#fff
    style KH fill:#51cf66,color:#fff

graph TD
    subgraph "INFO (通常操作)"
        LOGIN[LOGIN]
        LOGOUT[LOGOUT]
        ORDER[ORDER]
        MARGIN_CLOSE[MARGIN_CLOSE]
        API_KEY_CREATED[API_KEY_CREATED]
        API_KEY_DELETED[API_KEY_DELETED]
        API_KEY_UPDATED[API_KEY_UPDATED]
    end

    subgraph "WARNING (注意)"
        LOGIN_FAILED[LOGIN_FAILED]
        PASSWORD_CHANGE[PASSWORD_CHANGE]
        ADMIN_BALANCE[ADMIN_BALANCE_ADJUST]
        ADMIN_ACTIVATE[ADMIN_ACTIVATE_USER]
    end

    subgraph "CRITICAL (重大)"
        ACCOUNT_LOCKED[ACCOUNT_LOCKED]
        ADMIN_ROLE[ADMIN_ROLE_CHANGE]
    end

    style LOGIN fill:#51cf66,color:#fff
    style LOGOUT fill:#51cf66,color:#fff
    style ORDER fill:#51cf66,color:#fff
    style MARGIN_CLOSE fill:#51cf66,color:#fff
    style API_KEY_CREATED fill:#51cf66,color:#fff
    style API_KEY_DELETED fill:#51cf66,color:#fff
    style API_KEY_UPDATED fill:#51cf66,color:#fff
    style LOGIN_FAILED fill:#ffd43b,color:#333
    style PASSWORD_CHANGE fill:#ffd43b,color:#333
    style ADMIN_BALANCE fill:#ffd43b,color:#333
    style ADMIN_ACTIVATE fill:#ffd43b,color:#333
    style ACCOUNT_LOCKED fill:#ff6b6b,color:#fff
    style ADMIN_ROLE fill:#ff6b6b,color:#fff

stateDiagram-v2
    [*] --> 通常
    通常 --> 通常: ログイン成功<br/>(failedAttempts = 0)
    通常 --> 失敗カウント中: ログイン失敗<br/>(failedAttempts++)
    失敗カウント中 --> 失敗カウント中: ログイン失敗<br/>(failedAttempts++)
    失敗カウント中 --> 通常: ログイン成功<br/>(failedAttempts = 0)
    失敗カウント中 --> ロック: failedAttempts >= 5<br/>(CRITICAL ログ記録)
    ロック --> 通常: 15分経過
    ロック --> ロック: ログイン試行<br/>(423 Locked)