Next.js: Middleware — типичные gotcha на собеседовании

Интервьюеры проверяют, понимаете ли вы ограничения Edge: нет БД, matcher статичен, redirect loops, prefetch и разницу между rewrite и redirect.

Разбор

• «Можно проверить роль в middleware?» Только если роль в токене. БД нет. Фраза «запрошу users table» — мгновенный red flag.
• Matcher — литерал. Сборка из переменной молча не работает — компилируется на build time, не на каждый запрос.
• Redirect loops. Matcher ловит /login, сессии нет → снова /login. Исключайте auth-маршруты из matcher или явно проверяйте pathname.
• Middleware на prefetch тоже. <Link prefetch> шлёт реальные запросы — rate limit, analytics, «last seen» срабатывают для страниц, куда пользователь не заходил.
• Cookies на NextResponse.next() vs request cookies. Cookie на response не видна в cookies() того же запроса в route. Request и response — разные каналы.
• Rewrite ≠ redirect. Rewrite сохраняет URL и может повторно войти в middleware. Redirect — честный round-trip с новым URL.
• Edge близок к пользователю, не к данным. Запрос с Edge + БД в us-east-1 — лишний hop, а не экономия.

Что сказать

Покажите, что middleware — routing/UX, а не authorization boundary и не место для тяжёлой логики.

Итог

Знайте Edge-ограничения, статический matcher и побочные эффекты prefetch — это типичные ловушки на собеседовании по Next.js middleware.