L'authentification dans une app Next.js

// poser un cookie de session sur (presque) inviolable
cookies().set("session", token, {
  httpOnly: true,   // invisible au JS -> pas de vol par XSS
  secure: true,     // HTTPS uniquement
  sameSite: "lax",  // bloque l'essentiel du CSRF
  maxAge: 60 * 60 * 24 * 7,
  path: "/",
});

// middleware.ts — protege un groupe de routes d'un coup
import { NextResponse } from "next/server";
export function middleware(req) {
  const session = req.cookies.get("session");
  if (!session) return NextResponse.redirect(new URL("/login", req.url));
  return NextResponse.next();
}
export const config = { matcher: ["/dashboard/:path*", "/settings/:path*"] };