Допустим, нужно сделать защищённую страницу с авторизацией через middleware. Как вы это будете реализовывать?

Middleware проверяет подлинность и срок сессии, но права на данные и операции нужно проверять также на серверных обработчиках.

При отсутствии входа сохраните безопасный относительный адрес возврата и направьте на авторизацию. Для API верните соответствующую ошибку вместо HTML. Не доверяйте только наличию cookie или клиентскому redirect и не отдавайте персональный HTML через общий кеш.