NextJs+Clerk中间件已校验登录，受保护页面还需重复检查吗？

背景 #

我正在使用Next.js和Clerk构建一个简单应用，已配置中间件保护除部分公开路由外的所有路由，代码示例如下：

import { clerkMiddleware, createRouteMatcher } from '@clerk/nextjs/server';

const isPublicRoute = createRouteMatcher(['/sign-in(.*)', '/sign-up(.*)']);

export default clerkMiddleware((auth, request) => {
  if (!isPublicRoute(request)) {
    auth().protect();
  }
});

export const config = {
  matcher: [
    // Skip Next.js internals and all static files, unless found in search params
    '/((?!_next|[^?]*\\.(?:html?|css|js(?!on)|jpe?g|webp|png|gif|svg|ttf|woff2?|ico|csv|docx?|xlsx?|zip|webmanifest)).*)',
    // Always run for API routes
    '/(api|trpc)(.*)',
  ],
};

疑问 #

使用过程中我产生了疑问：在受保护页面中，是否仍需使用useUser钩子检查用户登录状态？既然中间件已完成校验，是否还有必要重复检查以防被绕过？

答案 #

不需要在受保护页面里重复做基础的登录状态校验，但以下几种场景可以考虑补充使用useUser：

• 会话过期的实时处理：中间件仅在请求进入页面时校验，若用户长时间停留在页面，会话可能在前端过期，此时页面内的交互（如调用API）会失败。useUser可以实时感知会话状态，及时引导用户重新登录。
• 组件级权限控制：如果页面内有部分内容需要根据用户角色、邮箱等信息展示/隐藏，useUser能获取用户的详细数据，实现更细粒度的权限控制——这是中间件无法处理的场景。
• 开发阶段的安全兜底：开发过程中可能误改中间件规则或出现路由匹配bug，页面内的检查可以作为额外安全层，避免意外暴露敏感内容。

但如果只是单纯校验用户是否登录，Clerk的中间件已经足够可靠：它会在请求层面直接拦截未授权访问，跳转至登录页，用户根本无法进入受保护页面。因此常规情况下，无需重复做基础的登录校验。

内容的提问来源于stack exchange，提问作者Matthieu