NextAuth v4 → Auth.js v5 올렸더니 세션이 자꾸 끊깁니다

v4 → v5 마이그레이션에서 가장 흔히 만나는 증상입니다. 원인 후보 4가지:

1) AUTH_SECRET 변경

v4의 NEXTAUTH_SECRET이 v5에서는 AUTH_SECRET으로 바뀌었습니다. 둘 다 설정돼 있어도 다른 값이면 세션 토큰을 디코드 못 합니다.

# .env.local
AUTH_SECRET=your-32-char-random-string
# NEXTAUTH_SECRET은 제거

2) trustHost 누락 (Vercel 외부 호스팅)

// auth.ts
export const { handlers, auth } = NextAuth({
  trustHost: true,  // ← Vercel 외에서 필수
  // ...
})

3) 쿠키 도메인·sameSite

// 다중 서브도메인 사용 시
cookies: {
  sessionToken: {
    name: '__Secure-authjs.session-token',
    options: {
      httpOnly: true,
      sameSite: 'lax',
      domain: '.youngsam.net',  // ← 점 prefix 중요
      secure: true,
    },
  },
}

4) 미들웨어에서 token 갱신 누락

// middleware.ts
import { auth } from '@/auth'

export default auth(async (req) => {
  // v5에서는 session token이 자동으로 sliding window 갱신됨
  // 단, middleware에서 auth()가 호출돼야 함
  return NextResponse.next()
})

export const config = {
  matcher: ['/((?!_next/static|_next/image|favicon.ico).*)'],
}

가장 흔한 원인은 1번(AUTH_SECRET 이름 변경 누락)이에요. printenv | grep -i secret로 확인해보세요.