Eliminación de cuentas para apps con Supabase y Firebase, mapeada y construida con Codex

# Pasada 1: solo inventario. Codex puede leer, buscar y responder, pero no editar.
cd my-app
codex --sandbox read-only --ask-for-approval on-request

# Pega esto en la sesión:
#   Lee AGENTS.md. Encuentra cada lugar en el que este código guarda o envía datos
#   sobre un usuario: proveedores de autenticación, colecciones y subcolecciones de
#   Firestore (y el campo que vincula cada documento con el usuario), rutas de
#   Cloud Storage, logs del servidor, terceros que reciben datos de usuarios
#   (RevenueCat, Stripe, OneSignal, email, analítica, seguimiento de errores) y lo
#   que la app web guarda en el dispositivo (cookies, localStorage, IndexedDB,
#   valores escritos con writevalue://).
#   Devuelve una sola tabla Markdown: ubicación | vínculo con el usuario | borrar o conservar | motivo.
#   Marca todo aquello de lo que no estés seguro. No propongas código todavía.

# Cuando la tabla esté bien, cambia a acceso de escritura dentro de la sesión con
# /permissions y pide a Codex que la guarde como docs/user-data-map.md. Haz commit.

// server/routes/account.js (Express + firebase-admin)
import express from "express";
import { getAuth } from "firebase-admin/auth";
import { getFirestore } from "firebase-admin/firestore";
import { getStorage } from "firebase-admin/storage";

export const accountRouter = express.Router();
const OWNED = [["projects", "ownerId"], ["comments", "authorId"], ["pushDevices", "uid"]]; // from docs/user-data-map.md

accountRouter.delete("/api/account", async (req, res) => {
  const idToken = (req.get("Authorization") || "").replace(/^Bearer /, "");
  let user;
  try {
    user = await getAuth().verifyIdToken(idToken, true); // true = reject revoked tokens
  } catch {
    return res.status(401).json({ error: "unauthenticated" });
  }
  if (Date.now() / 1000 - user.auth_time > 300) {
    return res.status(403).json({ error: "recent-login-required" });
  }
  const uid = user.uid;
  const db = getFirestore();

  await getStorage().bucket().deleteFiles({ prefix: "users/" + uid + "/" });
  for (const [name, field] of OWNED) {
    const owned = await db.collection(name).where(field, "==", uid).get();
    for (const doc of owned.docs) await db.recursiveDelete(doc.ref);
  }
  await db.recursiveDelete(db.collection("users").doc(uid));
  await getAuth().deleteUser(uid); // last: everything above is safe to re-run
  res.status(204).end();
});

// src/lib/deleteAccount.js (client, Firebase JS SDK)
import { OAuthProvider, reauthenticateWithPopup, revokeAccessToken } from "firebase/auth";
import { isNativeApp } from "./platform";

export async function deleteAccount(auth) {
  const user = auth.currentUser;
  if (user.providerData.some((p) => p.providerId === "apple.com")) {
    const result = await reauthenticateWithPopup(user, new OAuthProvider("apple.com"));
    const credential = OAuthProvider.credentialFromResult(result);
    await revokeAccessToken(auth, credential.accessToken); // Apple 5.1.1(v)
  }
  const res = await fetch("/api/account", {
    method: "DELETE",
    headers: { Authorization: "Bearer " + (await user.getIdToken(true)) }
  });
  if (res.status === 403) throw new Error("recent-login-required");
  if (!res.ok) throw new Error("delete-failed");
  await auth.signOut();
  if (isNativeApp()) window.location.href = "reset://"; // WebViewGold clears cookies and cache
}