tag
Next.js
该标签下有 3 篇文章
2026-08-22
Next.js 和 React 的漏洞多吗？CVE 数据实际显示了什么
数据显示，React 核心几乎没有 CVE，而 Next.js 的 CVE 数量多且在增加。重要的是它们出现在哪里：集中在中间件、缓存、图片优化和 Server Actions 上，排名靠前的 CWE 是 SSRF、反序列化和授权绕过。本站的结论：不应把 Next.js 只当作前端框架。它是作为服务器运行的，所以要像防御服务器一样防御它：在访问数据处再次授权，对外部请求使用允许列表，把 Server Action 端点放在认证之后。
2026-07-02
Next.js 安全 — 生产环境加固实务参考
Next.js 的默认配置相当安全，但事故发生在服务端/客户端的边界上。本页是一份可上手的实务参考：(1) 按优先级排序的加固检查清单（P0–P2）；(2) 分领域指南——边界与环境变量（NEXT_PUBLIC_）、依赖 CVE（含核心 RCE）、Server Actions / Route Handlers 的授权 + 输入校验、服务端 fetch 的 SSRF、安全响应头/CSP、认证/会话/Cookie、速率限制；(3) 一份自我验证清单。仅限防御——不含攻击步骤。
2026-06-07
安全运维 Next.js：建立不在已公开CVE上掉队的机制
框架的最大风险是放任已公开的CVE。以实际运行的版本判定，用 Dependabot/osv-scanner 自动监控，尽快更新，并以最小权限运行，这四项做法是防守的关键。本站的看法：个人开发者通常缺的不是知识，而是让运维持续下去的方法；不漏看CVE的机制比速度更重要。