Pular para o conteúdo principal
A autenticação é nova: @didit-protocol/auth-nextjs e o verificador de servidor principal dependem da versão. Nenhum caminho de importação de middleware, nome de cookie ou formato de retorno de auth() são definidos antes do lançamento do pacote. Os tokens de acesso são JWTs ES256: verifique-os com o JWKS da sua aplicação e chame GET session/ quando precisar saber se a sessão ainda está ativa.

​
Mantenha a sessão no seu servidor

Use o fluxo hospedado descrito no guia de início rápido de JavaScript, com as seguintes alterações para uma aplicação renderizada no servidor. Os nomes das suas rotas são rotas da aplicação que você implementa, não endpoints da API da Didit. Envie apenas uma referência aleatória da sessão da aplicação em um cookie Secure, HttpOnly, SameSite=Lax com um caminho de escopo restrito. Use uma expiração adequada e troque a referência após o login. Não exponha o refresh token da Didit em props renderizadas, componentes de cliente ou armazenamento do navegador. Use Cache-Control: no-store nas respostas de token e de callback. Não dependa apenas de uma verificação no layout ou no middleware: autorize em cada acesso a dados e em cada mutação. Proteja contra CSRF as mutações autenticadas por cookie. Permita apenas destinos pós-login configurados, nunca uma URL returnTo arbitrária vinda da query string.

​
Prévia do lançamento do pacote

O pacote planejado adiciona middleware, auth() no servidor, uma rota de callback e suporte a cookies HttpOnly para renderização no servidor. A entrada /server principal deve fornecer verifyToken() com JWKS em cache. Aguarde as exportações confirmadas da versão antes de usar esses símbolos. Até lá, verifique os tokens você mesmo com qualquer biblioteca JOSE, conforme descrito em tokens e JWKS.

​
Conecte os outros produtos

Crie sessões de verificação e emita tokens de monitoramento com escopo no servidor. Gere vendor_data do mapeamento de pessoa validado. Retorne ao navegador apenas a URL de uma sessão de verificação ou um token de SDK de curta duração. Mantenha DIDIT_API_KEY fora das variáveis de ambiente públicas. Use o SDK de verificação web existente para a verificação e o guia de envio de transações para o monitoramento. Nenhum dos dois é um gerenciador de sessões do Authentication. Teste a repetição de callback, state incorreto, state expirado, condições de corrida na renovação, sessões revogadas, rejeição de CSRF e logout antes do lançamento. Consulte tokens e JWKS para o contrato de validação.
Última modificação em 1 de novembro de 2026