Авторизация и аутентификация в Next.js

Входящий HTTP-запрос клиента
         │
         ▼
[Уровень 1: Edge Middleware] ───────────────────► Отказ: HTTP 307 Redirect (/login)
(Быстрая проверка наличия JWT-куки в Edge)
         │ Сессия валидна
         ▼
[Уровень 2: Server Layout / Page] ─────────────► Отказ: redirect('/unauthorized')
(Проверка роли пользователя session.user.role)
         │ Рендеринг защищенного UI
         ▼
[Уровень 3: Server Action Guard] ──────────────► Отказ: throw new Error('Forbidden')
(Изолированная валидация session внутри мутации)
         │ Доступ разрешен
         ▼
Выполнение транзакции в базе данных

import { type DefaultSession } from 'next-auth';
import { type JWT } from 'next-auth/jwt';

export type UserRole = 'USER' | 'ADMIN' | 'EDITOR';

declare module 'next-auth' {
  interface Session {
    user: {
      id: string;
      role: UserRole;
    } & DefaultSession['user'];
  }

  interface User {
    role?: UserRole;
  }
}

declare module 'next-auth/jwt' {
  interface JWT {
    id?: string;
    role?: UserRole;
  }
}

import { handlers } from '@/auth';

export const { GET, POST } = handlers;

import NextAuth from 'next-auth';
import { authConfig } from '@/auth.config';
import { NextResponse } from 'next/server';

const { auth } = NextAuth(authConfig);

export default auth((req) => {
  const { nextUrl } = req;
  const isLoggedIn = !!req.auth;
  const isDashboardRoute = nextUrl.pathname.startsWith('/dashboard');
  const isAuthRoute = nextUrl.pathname.startsWith('/login') || nextUrl.pathname.startsWith('/register');

  if (isAuthRoute && isLoggedIn) {
    return NextResponse.redirect(new URL('/dashboard', nextUrl));
  }

  if (isDashboardRoute && !isLoggedIn) {
    let callbackUrl = nextUrl.pathname;
    if (nextUrl.search) {
      callbackUrl += nextUrl.search;
    }
    const encodedCallbackUrl = encodeURIComponent(callbackUrl);

    return NextResponse.redirect(
      new URL(`/login?callbackUrl=${encodedCallbackUrl}`, nextUrl)
    );
  }

  return NextResponse.next();
});

export const config = {
  matcher: ['/((?!api|_next/static|_next/image|favicon.ico).*)'],
};

import { auth } from '@/auth';
import { redirect } from 'next/navigation';

export default async function AdminManagementPage() {
  const session = await auth();

  if (!session?.user) {
    redirect('/login?callbackUrl=/admin');
  }

  if (session.user.role !== 'ADMIN') {
    // Пользователь авторизован, но его уровень привилегий недостаточен
    redirect('/unauthorized');
  }

  return (
    <main className="p-8 max-w-6xl mx-auto">
      <h1 className="text-3xl font-bold tracking-tight text-text-primary mb-4">
        Консоль системного администратора
      </h1>
      <p className="text-text-secondary">
        Добро пожаловать, {session.user.name} ({session.user.email}). Доступ подтвержден.
      </p>
    </main>
  );
}

'use server';

import { auth } from '@/auth';
import { db } from '@/shared/lib/db';
import { revalidatePath } from 'next/cache';
import { z } from 'zod';

const DeleteUserSchema = z.object({
  userId: z.string().uuid(),
});

export type DeleteUserState =
  | { status: 'idle' }
  | { status: 'success'; message: string }
  | { status: 'error'; message: string };

export async function deleteUserAction(
  _prevState: DeleteUserState,
  formData: FormData
): Promise<DeleteUserState> {
  // 1. Обязательная проверка подлинности вызывающего субъекта
  const session = await auth();

  if (!session?.user) {
    return { status: 'error', message: 'Ошибка авторизации: выполните вход' };
  }

  // 2. Проверка ролевых привилегий (RBAC)
  if (session.user.role !== 'ADMIN') {
    return { status: 'error', message: 'Отказ в доступе: требуются права администратора' };
  }

  // 3. Валидация входных данных
  const parsed = DeleteUserSchema.safeParse({
    userId: formData.get('userId'),
  });

  if (!parsed.success) {
    return { status: 'error', message: 'Некорректный идентификатор пользователя' };
  }

  try {
    await db.user.delete({
      where: { id: parsed.data.userId },
    });

    revalidatePath('/admin/users');
    return { status: 'success', message: 'Пользователь успешно удален' };
  } catch (err: unknown) {
    const errorMsg = err instanceof Error ? err.message : 'Неизвестная ошибка БД';
    console.error('[DeleteUserAction Failed]:', errorMsg);
    return { status: 'error', message: 'Не удалось выполнить удаление' };
  }
}

'use client';

import { useSession, signOut } from 'next-auth/react';

export function UserMenu() {
  const { data: session, status } = useSession();

  if (status === 'loading') {
    return <div className="h-9 w-9 rounded-full bg-bg-surface animate-pulse" />;
  }

  if (!session?.user) {
    return (
      <a href="/login" className="text-sm font-medium text-text-primary hover:text-accent-violet">
        Войти
      </a>
    );
  }

  return (
    <div className="flex items-center gap-3">
      <span className="text-sm text-text-secondary">{session.user.name}</span>
      <button
        onClick={() => signOut({ callbackUrl: '/' })}
        className="px-3 py-1.5 text-xs font-medium rounded-lg bg-bg-surface border border-border hover:bg-bg-subtle transition-colors"
      >
        Выйти
      </button>
    </div>
  );
}