Авторизація та автентифікація в Next.js

Вхідний HTTP-запит клієнта
         │
         ▼
[Рівень 1: Edge Middleware] ────────────────────► Відмова: HTTP 307 Redirect (/login)
(Швидка перевірка наявності JWT-куки в Edge)
         │ Сесія валідна
         ▼
[Рівень 2: Server Layout / Page] ───────────────► Відмова: redirect('/unauthorized')
(Перевірка ролі користувача: session.user.role)
         │ Рендеринг захищеного UI
         ▼
[Рівень 3: Server Action Guard] ────────────────► Відмова: throw new Error('Forbidden')
(Ізольована валідація session всередині мутації)
         │ Доступ дозволено
         ▼
Виконання транзакції в базі даних

import { type DefaultSession } from 'next-auth';
import { type JWT } from 'next-auth/jwt';

export type UserRole = 'USER' | 'ADMIN' | 'EDITOR';

declare module 'next-auth' {
  interface Session {
    user: {
      id: string;
      role: UserRole;
    } & DefaultSession['user'];
  }

  interface User {
    role?: UserRole;
  }
}

declare module 'next-auth/jwt' {
  interface JWT {
    id?: string;
    role?: UserRole;
  }
}

import { handlers } from '@/auth';

export const { GET, POST } = handlers;

import NextAuth from 'next-auth';
import { authConfig } from '@/auth.config';
import { NextResponse } from 'next/server';

const { auth } = NextAuth(authConfig);

export default auth((req) => {
  const { nextUrl } = req;
  const isLoggedIn = !!req.auth;
  const isDashboardRoute = nextUrl.pathname.startsWith('/dashboard');
  const isAuthRoute = nextUrl.pathname.startsWith('/login') || nextUrl.pathname.startsWith('/register');

  if (isAuthRoute && isLoggedIn) {
    return NextResponse.redirect(new URL('/dashboard', nextUrl));
  }

  if (isDashboardRoute && !isLoggedIn) {
    let callbackUrl = nextUrl.pathname;
    if (nextUrl.search) {
      callbackUrl += nextUrl.search;
    }
    const encodedCallbackUrl = encodeURIComponent(callbackUrl);

    return NextResponse.redirect(
      new URL(`/login?callbackUrl=${encodedCallbackUrl}`, nextUrl)
    );
  }

  return NextResponse.next();
});

export const config = {
  matcher: ['/((?!api|_next/static|_next/image|favicon.ico).*)'],
};

import { auth } from '@/auth';
import { redirect } from 'next/navigation';

export default async function AdminManagementPage() {
  const session = await auth();

  if (!session?.user) {
    redirect('/login?callbackUrl=/admin');
  }

  if (session.user.role !== 'ADMIN') {
    // Користувач автентифікований, але його рівень привілеїв недостатній
    redirect('/unauthorized');
  }

  return (
    <main className="p-8 max-w-6xl mx-auto">
      <h1 className="text-3xl font-bold tracking-tight text-text-primary mb-4">
        Консоль системного адміністратора
      </h1>
      <p className="text-text-secondary">
        Ласкаво просимо, {session.user.name} ({session.user.email}). Доступ підтверджено.
      </p>
    </main>
  );
}

'use server';

import { auth } from '@/auth';
import { db } from '@/shared/lib/db';
import { revalidatePath } from 'next/cache';
import { z } from 'zod';

const DeleteUserSchema = z.object({
  userId: z.string().uuid(),
});

export type DeleteUserState =
  | { status: 'idle' }
  | { status: 'success'; message: string }
  | { status: 'error'; message: string };

export async function deleteUserAction(
  _prevState: DeleteUserState,
  formData: FormData
): Promise<DeleteUserState> {
  // 1. Обов'язкова перевірка автентичності суб'єкта виклику
  const session = await auth();

  if (!session?.user) {
    return { status: 'error', message: 'Помилка авторизації: виконайте вхід' };
  }

  // 2. Перевірка рольових привілеїв (RBAC)
  if (session.user.role !== 'ADMIN') {
    return { status: 'error', message: 'Відмова в доступі: потрібні права адміністратора' };
  }

  // 3. Валідація вхідних даних
  const parsed = DeleteUserSchema.safeParse({
    userId: formData.get('userId'),
  });

  if (!parsed.success) {
    return { status: 'error', message: 'Некоректний ідентифікатор користувача' };
  }

  try {
    await db.user.delete({
      where: { id: parsed.data.userId },
    });

    revalidatePath('/admin/users');
    return { status: 'success', message: 'Користувача успішно видалено' };
  } catch (err: unknown) {
    const errorMsg = err instanceof Error ? err.message : 'Невідома помилка БД';
    console.error('[DeleteUserAction Failed]:', errorMsg);
    return { status: 'error', message: 'Не вдалося виконати видалення' };
  }
}

'use client';

import { useSession, signOut } from 'next-auth/react';

export function UserMenu() {
  const { data: session, status } = useSession();

  if (status === 'loading') {
    return <div className="h-9 w-9 rounded-full bg-bg-surface animate-pulse" />;
  }

  if (!session?.user) {
    return (
      <a href="/login" className="text-sm font-medium text-text-primary hover:text-accent-violet">
        Увійти
      </a>
    );
  }

  return (
    <div className="flex items-center gap-3">
      <span className="text-sm text-text-secondary">{session.user.name}</span>
      <button
        onClick={() => signOut({ callbackUrl: '/' })}
        className="px-3 py-1.5 text-xs font-medium rounded-lg bg-bg-surface border border-border hover:bg-bg-subtle transition-colors"
      >
        Вийти
      </button>
    </div>
  );
}