Conas a dhéileálann tú le fíordheimhniú i aip Next.js App Router?

Question

Accepted Answer

Síneann an fíordheimhniú san App Router ar feadh roinnt sraitheanna — seisiúin, middleware, seiceanna ar an taobh freastalaí, agus cosaint ar Server Actions. An cur chuige nua-aimseartha is fearr **fíordhheimhniú seisiúin ar an taobh freastalaí** os cionn seiceanna ar an taobh cliant amháin. ## Straitéis seisiúin ```text Cookie-based sessions (httpOnly cookie): ✓ Store a signed session id or encrypted JWT in an httpOnly, secure cookie ✓ httpOnly = not readable by JavaScript → protects against XSS token theft ✓ Use a library: Auth.js (NextAuth), Clerk, Lucia, or a custom solution ``` ## 1. Gealadh tirim sa middleware (tapa, ach ní an scéal ar fad é) ```ts // middleware.ts — quick check: does a session cookie exist? export function middleware(req: NextRequest) { const session = req.cookies.get("session")?.value; if (req.nextUrl.pathname.startsWith("/dashboard") && !session) { return NextResponse.redirect(new URL("/login", req.url)); } return NextResponse.next(); } ``` Ritheannn middleware ar an Edge roimh gach iarratas meaitseáilte — idéalach do atreoraithe saor in aisce. Ach níor cheart dó ach seiceanna *éadrom* a bheith ann; ná bíodh i gcrích aige mar an t-aon údarú (d'fhéadfadh an fianán a bheith neamhbhailí). ## 2. Deimhnigh an seisiún áit a bhfuil tú á úsáid na sonraí (an fíor-ghealadh) ```tsx // app/dashboard/page.tsx — verify on the server, in the page itself import { redirect } from "next/navigation"; export default async function Dashboard() { const user = await getCurrentUser(); // validates the session cookie server-side if (!user) redirect("/login"); // authoritative check return

Welcome {user.name}

; } ``` Is é an fíordheimhniú ar an taobh freastalaí seo (sa Server Component) an seiceanna **údarásacha** — bailíonn sé go fíor an seisiún agus lódálann sé an t-úsáideoir. ## 3. Cosain Server Actions agus Route Handlers freisin ```tsx "use server"; export async function deletePost(id: string) { const user = await getCurrentUser(); if (!user) throw new Error("Unauthorized"); // never trust the caller if (post.authorId !== user.id) throw new Error("Forbidden"); // authorization await db.post.delete({ where: { id } }); } ``` Is pointe deireanais poiblí iad na Server Actions — **athseiceáil an auth agus an údarú taobh istigh i gcónaí**, beag beann ar sheiceanna ar leibhéal an UI. ## Cén fáth a bhíonn seiceanna sraitheanna ann ```text Middleware → fast redirect for the common case (better UX, not security-critical) Server Component/Action → real verification (security boundary) Never rely on hiding UI in the client as a security measure ``` ## Cén fáth a bhí sé tábhachtach Is cosaint dhoimhain é auth san App Router: fianáin httpOnly (seisiúin XSS-shábháilte), middleware do atreoraithe tapa, agus — go cinnte — **fíordheimhniú ar an taobh freastalaí ag gach pointe rochtain sonraí agus socrú**. An earráid choitianta agus dhainséarach is ea gealadh middleware nó UI fholuain a thairbhiú go leor; tagann an fíor-chosaint ó dhíolúint an tseisiúin agus an údaraithe ar an bhfreastalaí áit ar léigh nó ar thréigeadh sonraí íogair.