미들웨어 사용

// ... (기존 코드) ...

const authOptions = {
  // ... (기존 설정: providers, session, callbacks 등) ...
};

const handler = NextAuth(authOptions);

// GET 및 POST 핸들러와 함께 authOptions도 export
export { handler as GET, handler as POST, authOptions };

// src/middleware.ts
import { withAuth } from 'next-auth/middleware';
import { NextResponse } from 'next/server';

// withAuth는 NextAuth.js 세션을 요청 객체에 추가하고,
// 인증되지 않은 사용자를 signIn 페이지로 리다이렉트하는 기능을 제공합니다.
export default withAuth(
  // 이 함수는 인증된 요청에 대해서만 실행됩니다.
  // 토큰(`req.nextauth.token`)에 사용자의 역할 정보가 포함되어 있습니다.
  async function middleware(req) {
    const token = req.nextauth.token; // 토큰에 접근
    const pathname = req.nextUrl.pathname;

    console.log('미들웨어 (인증 후):', pathname, '토큰:', token?.email, '역할:', token?.role);

    // 예시: /api/admin 경로에 대해 'admin' 역할만 허용
    if (pathname.startsWith('/api/admin')) {
      if (token?.role !== 'admin') {
        console.log('미들웨어: admin 권한 없음 -> 403 Forbidden');
        // 'Forbidden' 응답 (클라이언트에게 권한 없음을 명시)
        return new NextResponse(JSON.stringify({ message: '접근 권한이 없습니다.' }), {
          status: 403,
          headers: { 'Content-Type': 'application/json' },
        });
      }
    }

    // 예시: /api/editor 경로에 대해 'admin' 또는 'editor' 역할만 허용
    if (pathname.startsWith('/api/editor')) {
      if (token?.role !== 'admin' && token?.role !== 'editor') {
        console.log('미들웨어: editor 권한 없음 -> 403 Forbidden');
        return new NextResponse(JSON.stringify({ message: '접근 권한이 없습니다.' }), {
          status: 403,
          headers: { 'Content-Type': 'application/json' },
        });
      }
    }

    // 그 외의 경우, 요청을 계속 처리합니다.
    return NextResponse.next();
  },
  {
    // 인증되지 않은 사용자를 위한 설정
    pages: {
      signIn: '/api/auth/signin', // NextAuth.js가 제공하는 로그인 페이지로 리다이렉트
    },
    // `authorized` 콜백은 요청을 계속 진행할지 여부만 결정합니다.
    // 여기서는 토큰이 존재하면(즉, 인증되면) 요청을 진행하도록 설정합니다.
    // 실제 역할 검사는 위의 `middleware` 함수에서 수행됩니다.
    callbacks: {
      authorized: ({ token }) => !!token, // 토큰이 있으면 true (인증됨)
    },
  }
);

// 미들웨어가 적용될 경로를 정의합니다.
export const config = {
  matcher: [
    '/api/admin/:path*',  // '/api/admin'으로 시작하는 모든 API 경로
    '/api/editor/:path*', // '/api/editor'로 시작하는 모든 API 경로
    // 여기에 보호할 다른 API 라우트 경로를 추가합니다.
    // 미들웨어로 페이지 라우트도 보호할 수 있습니다 (예: '/dashboard/:path*')
  ],
};

import { NextRequest, NextResponse } from 'next/server';

// 이 API는 미들웨어에 의해 'admin' 역할만 접근 가능하도록 보호됩니다.
export async function GET(request: NextRequest) {
  // 미들웨어를 통과했다면, 요청자는 'admin' 권한을 가진 것으로 간주합니다.
  const adminData = {
    message: '환영합니다, 관리자님! 중요한 관리자 데이터입니다.',
    usersCount: 100,
    pendingApprovals: 5,
  };

  return NextResponse.json(adminData, { status: 200 });
}

export async function POST(request: NextRequest) {
  const body = await request.json();
  console.log('관리자 데이터 생성 요청:', body);
  return NextResponse.json({ message: '관리자 데이터 생성 성공', data: body }, { status: 201 });
}

import { NextRequest, NextResponse } from 'next/server';

// 이 API는 미들웨어에 의해 'admin' 또는 'editor' 역할만 접근 가능하도록 보호됩니다.
export async function GET(request: NextRequest) {
  const editorData = {
    message: '환영합니다, 편집자님! 편집 가능한 데이터입니다.',
    articlesCount: 50,
    drafts: 10,
  };

  return NextResponse.json(editorData, { status: 200 });
}