미들웨어 실행 기준

미들웨어 요청 신뢰 판단

matcher로 보호 대상만 고르고 토큰, 쿠키, 헤더를 확인해 통과 또는 차단 응답을 정합니다.

matcher

보호 경로 선별

/api/admin/:path*처럼 관리 API만 대상으로 잡아 불필요한 실행을 줄입니다.

점검

토큰과 권한 확인

요청이 서버 로직에 닿기 전에 인증 상태와 필요한 역할을 빠르게 비교합니다.

response

통과 또는 차단

허용하면 NextResponse.next(), 거부하면 401 또는 403 응답을 반환합니다.

미들웨어 작업 경계

미들웨어 작업 범위

데이터베이스 조회나 긴 외부 호출은 Route Handler 내부 검증으로 넘기는 편이 안정적입니다.

미들웨어 matcher 검증

경로 누락보호해야 할 API가 matcher 밖에 남지 않았는지 확인합니다.
오탐공개 API가 인증 요구로 막히지 않는지 테스트합니다.
응답 형식클라이언트가 401, 403, redirect를 구분해 처리할 수 있어야 합니다.