React

Next.js 和 React 的漏洞多吗？CVE 数据实际显示了什么

数据显示，React 核心几乎没有 CVE，而 Next.js 的 CVE 数量多且在增加。重要的是它们出现在哪里：集中在中间件、缓存、图片优化和 Server Actions 上，排名靠前的 CWE 是 SSRF、反序列化和授权绕过。本站的结论：不应把 Next.js 只当作前端框架。它是作为服务器运行的，所以要像防御服务器一样防御它：在访问数据处再次授权，对外部请求使用允许列表，把 Server Action 端点放在认证之后。