Trzymaj sesję w cookie httpOnly i waliduj ją po stronie serwera (Server Components i Route Handlers). Middleware używaj głównie do routingu/redirectów, ale autoryzację i tak egzekwuj w kodzie serwera. Nie polegaj tylko na checkach po stronie klienta i uważaj na renderowanie statyczne, gdy treść zależy od użytkownika.