블로그

Auth.js 세션 골격론: 패스키 이전에 고정해야 하는 발급·검증·만료 계약

WebAuthn·패스키를 붙이기 전에 Next.js 세션이 실제로 증명하는 것은 무엇인가. Auth.js가 묶는 발급·전달·검증 삼층 모델을 중심으로 JWT 세션과 DB 세션의 트레이드오프, 쿠키 속성이 배포 환경에서 깨지는 방식, 보호 경계의 이층 방어와 그 반례를 분석합니다.