सर्विस वर्कर जान-बूझकर सीमित रखा गया है। यह अनुमति-सूची है, सब कुछ पकड़ने वाला जाल नहीं: नेविगेशन पहले नेटवर्क से होते हैं और विफल होने पर ऑफ़लाइन पेज दिखता है, हैश वाले स्थिर संसाधन stale-while-revalidate से आते हैं, और बाक़ी सब कुछ — डेटाबेस, गेम सर्वर, रीयलटाइम, प्रमाणीकरण, सर्वर-रेंडर पेलोड — पूरी तरह बायपास होता है, इसलिए यह न तो पुराना बोर्ड परोस सकता है और न ही चल रहे मैच को तोड़ सकता है।

// public/sw.js — allow-list, not catch-all
self.addEventListener('fetch', (event) => {
  const url = new URL(event.request.url);
  if (url.origin !== self.location.origin) return; // Supabase, daemon: untouched
  if (BYPASS.some((p) => url.pathname.startsWith(p))) return; // /auth, /api, RSC
  if (event.request.mode === 'navigate') return event.respondWith(networkFirst(event));
  if (HASHED.test(url.pathname)) return event.respondWith(staleWhileRevalidate(event));
});

सबसे दिलचस्प हिस्सा रैप किया गया iOS बिल्ड था, जहाँ साइन इन का कोई भी तरीक़ा पूरा नहीं होता था, जबकि हर ब्राउज़र में सब ठीक चलता था। कारण था WebKit की एक सेटिंग जिसे पैकेजिंग टूल आपकी ओर से लिख देता है: ऐप-बाउंड डोमेन चालू होने पर WebKit सूची से बाहर के किसी भी होस्ट पर होने वाले टॉप-लेवल नेविगेशन को चुपचाप रद्द कर देता है — और OAuth प्रवाह की पहली छलाँग ठीक ऐसा ही नेविगेशन है। इसके अलावा Google नीति के तहत एम्बेडेड वेबव्यू को अस्वीकार करता है, जिसे कोई कॉन्फ़िगरेशन ठीक नहीं कर सकता।

मैजिक लिंक वहाँ कभी काम कर ही नहीं सकता था: वह सिस्टम ब्राउज़र में खुलता है, जिसकी कुकी जार को ऐप का वेबव्यू देख नहीं सकता। इसीलिए टाइप किया जाने वाला कोड ही एकमात्र समान-मूल वाला ईमेल रास्ता है — यह उसी वेबव्यू में पूरा होता है जिसने इसे माँगा था।

Google के लिए स्वीकृत रास्ता यह है कि प्रवाह सिस्टम ब्राउज़र में चलाया जाए और सत्र वापस सौंप दिया जाए। यह ब्रिज प्राधिकरण URL जान-बूझकर PKCE के बिना बनाता है, ताकि प्रवाह टोकन कॉलबैक फ़्रैगमेंट में लौटाए जिसे शेल पढ़ सके — प्राधिकरण कोड को केवल वही ब्राउज़र भुना सकता जिसके पास वेरिफ़ायर है, और वह ग़लत ब्राउज़र होता।