От middleware.ts к proxy.ts: сетевой периметр vs Data Access Layer в Next.js 16

Входящий HTTP-запрос (Edge / Network Boundary)
        │
        ▼
┌────────────────────────────────────────────────────────┐
│ proxy.ts (Сетевой периметр)                            │
│  - Проверка структуры JWT / Session Cookie            │
│  - Установка заголовков x-user-id, x-nonce             │
│  - Оптимизация роутинга / Перенаправление на /login    │
└────────────────────────────────┬───────────────────────┘
                                 │
                   (Запрос передан в Node.js Core)
                                 │
                                 ▼
┌────────────────────────────────────────────────────────┐
│ Server Component / Server Action                       │
│  - НЕ выполняет прямых SQL-запросов                   │
│  - НЕ доверяет данным из searchParams или headers      │
└────────────────────────────────┬───────────────────────┘
                                 │
                                 ▼
┌────────────────────────────────────────────────────────┐
│ Data Access Layer (DAL)                                │
│  - verifySession() через React cache()                 │
│  - Проверка ролей (RBAC) и прав на запись (ABAC)       │
│  - Выборка из БД + фильтрация по tenantId/userId       │
│  - Преобразование в DTO (очистка хэшей, токенов)       │
└────────────────────────────────┬───────────────────────┘
                                 │
                                 ▼
┌────────────────────────────────────────────────────────┐
│ База данных (PostgreSQL / Redis / Prisma / Drizzle)    │
└────────────────────────────────────────────────────────┘

import { NextRequest, NextResponse } from 'next/server';

// Публичные маршруты, не требующие наличия сессии
const PUBLIC_ROUTES = new Set(['/login', '/register', '/api/health']);

export default async function proxy(request: NextRequest) {
  const { pathname } = request.nextUrl;

  // 1. Пропускаем статические ассеты и внутренние системные вызовы
  if (
    pathname.startsWith('/_next') ||
    pathname.startsWith('/favicon.ico') ||
    PUBLIC_ROUTES.has(pathname)
  ) {
    return NextResponse.next();
  }

  // 2. Быстрая проверка наличия сессионного токена на периметре
  const sessionToken = request.cookies.get('app_session')?.value;

  if (!sessionToken) {
    const loginUrl = new URL('/login', request.url);
    loginUrl.searchParams.set('redirect', pathname);
    return NextResponse.redirect(loginUrl);
  }

  // 3. Формирование безопасных заголовков для внутренних сервисов
  const requestHeaders = new Headers(request.headers);
  requestHeaders.set('x-forwarded-perimeter', 'verified');

  return NextResponse.next({
    request: {
      headers: requestHeaders,
    },
  });
}

export const config = {
  matcher: ['/((?!_next/static|_next/image|favicon.ico).*)'],
};

import 'server-only';
import { cache } from 'react';
import { cookies } from 'next/headers';
import { redirect } from 'next/navigation';
import { db } from '@/lib/db';

export interface UserSession {
  userId: string;
  role: 'admin' | 'manager' | 'viewer';
  tenantId: string;
  email: string;
}

/**
 * verifySession мемоизируется на уровне одного HTTP-запроса через React cache().
 * Независимо от количества вызовов в 10 компонентах одного поддерева,
 * валидация и запрос сессии происходят строго один раз.
 */
export const verifySession = cache(async (): Promise<UserSession> => {
  const cookieStore = await cookies();
  const sessionToken = cookieStore.get('app_session')?.value;

  if (!sessionToken) {
    redirect('/login');
  }

  // Декодирование и верификация криптографического токена
  const sessionRecord = await db.sessions.findUnique({
    where: { token: sessionToken },
    include: {
      user: {
        select: {
          id: true,
          role: true,
          tenantId: true,
          email: true,
          isBlocked: true,
        },
      },
    },
  });

  if (!sessionRecord || !sessionRecord.user || sessionRecord.user.isBlocked) {
    redirect('/login');
  }

  return {
    userId: sessionRecord.user.id,
    role: sessionRecord.user.role as UserSession['role'],
    tenantId: sessionRecord.user.tenantId,
    email: sessionRecord.user.email,
  };
});

import 'server-only';
import { verifySession } from '@/lib/dal/auth';
import { db } from '@/lib/db';

// Безопасный контракт данных (DTO): не содержит приватных ключей провайдера
export interface InvoiceDTO {
  id: string;
  amountCents: number;
  status: 'pending' | 'paid' | 'void';
  createdAt: string;
  customerEmail: string;
}

export async function getInvoicesForCurrentTenant(): Promise<InvoiceDTO[]> {
  // 1. Авторизационный барьер: получаем гарантированно проверенную сессию
  const session = await verifySession();

  // 2. Изоляция данных: tenantId берется ИСКЛЮЧИТЕЛЬНО из сессии, а не из аргументов
  const rawInvoices = await db.invoices.findMany({
    where: {
      tenantId: session.tenantId,
    },
    orderBy: {
      createdAt: 'desc',
    },
    select: {
      id: true,
      amountCents: true,
      status: true,
      createdAt: true,
      customerEmail: true,
      // paymentGatewaySecretKey: НЕ запрашивается из базы данных
    },
  });

  // 3. Формирование DTO
  return rawInvoices.map((inv) => ({
    id: inv.id,
    amountCents: inv.amountCents,
    status: inv.status as InvoiceDTO['status'],
    createdAt: inv.createdAt.toISOString(),
    customerEmail: inv.customerEmail,
  }));
}

import { Suspense } from 'react';
import { getInvoicesForCurrentTenant, InvoiceDTO } from '@/lib/dal/repositories/billing';

export default async function InvoicesPage() {
  // Компонент просто запрашивает репозиторий. Если прав нет — DAL выбросит redirect или ошибку
  const invoices = await getInvoicesForCurrentTenant();

  return (
    <main className="p-6">
      <h1 className="text-xl font-bold mb-4">Журнал финансовых счетов</h1>
      <Suspense fallback={<div>Загрузка реестра...</div>}>
        <InvoiceList invoices={invoices} />
      </Suspense>
    </main>
  );
}

function InvoiceList({ invoices }: { invoices: InvoiceDTO[] }) {
  if (invoices.length === 0) {
    return <p className="text-slate-400">Счета отсутствуют</p>;
  }

  return (
    <ul className="divide-y divide-slate-800">
      {invoices.map((inv) => (
        <li key={inv.id} className="py-3 flex justify-between">
          <span>{inv.customerEmail}</span>
          <span className="font-mono font-bold">
            {(inv.amountCents / 100).toFixed(2)} USD
          </span>
        </li>
      ))}
    </ul>
  );
}