Request1
Matcher2
Auth Check3
Route Handler4
토큰 확인
쿠키나 헤더에서 세션 토큰을 읽고 유효성을 검사합니다.
분기 처리
허용 요청은 next로 넘기고 실패 요청은 redirect나 401 응답으로 끊습니다.
핸들러 단 검증
미들웨어만 믿지 말고 중요한 API는 핸들러에서도 권한을 재확인합니다.
보호 기준
- 미들웨어는 빠르게 끝나야 하므로 무거운 DB 조회를 남발하지 않습니다.
- 공개 경로와 정적 파일까지 막지 않도록 matcher 범위를 명확히 둡니다.
- 권한 검사는 미들웨어와 서버 핸들러 중 어디에서 책임질지 나눕니다.
응답 선택
NextResponse.next통과
redirect로그인 이동
json 401API 차단