Аутентификацию и права проверяют на сервере у каждой защищённой операции. HttpOnly-cookie не доступна JavaScript, но автоматически передаётся браузером по своим правилам.
Как бы ты организовал безопасность и корректную аутентификацию в Next.js? Что такое HttpOnly-кука?
Аутентификацию и права проверяют на сервере у каждой защищённой операции. HttpOnly-cookie не доступна JavaScript, но автоматически передаётся браузером по своим правилам.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Аутентификацию и права проверяют на сервере у каждой защищённой операции. HttpOnly-cookie не доступна JavaScript, но автоматически передаётся браузером по своим правилам.
Используйте проверенное управление сессиями, Secure, подходящий SameSite и CSRF-защиту. Скрытая кнопка или проверка только в layout не защищает Server Action либо endpoint. Секреты остаются на сервере, а доступ к конкретной записи проверяется рядом с чтением или изменением данных.
Источник: nextjs.org.