tag
Next.js
該標籤下有 3 篇文章
2026-08-22
Next.js 和 React 的漏洞很多嗎？CVE 資料實際顯示的情況
資料顯示，React 核心幾乎沒有 CVE，而 Next.js 的 CVE 數量很多且持續增加。重要的是它們出現在哪裡：集中在 middleware、快取、圖片最佳化和 Server Actions，CWE 以 SSRF、反序列化和授權繞過為首。本站的結論：不應該只把 Next.js 當成前端框架。它是以伺服器的形式執行的，所以要像防禦伺服器一樣防禦它：在存取資料前再次授權、為對外請求設定允許清單、讓 Server Action 端點受到驗證保護。
2026-07-02
Next.js 資安 — 正式環境的加固參考
Next.js 的預設相當安全，但事故發生在伺服器與用戶端的邊界。這是一份可實作的參考：(1) 依優先順序排列的加固清單（P0–P2），(2) 各面向的指引——邊界與環境變數（NEXT_PUBLIC_）、相依套件 CVE（含核心 RCE）、Server Actions／Route Handlers 授權＋輸入驗證、伺服器端抓取的 SSRF、安全標頭／CSP、驗證／工作階段／cookie、速率限制，以及 (3) 自我驗證清單。純防禦——不含攻擊步驟。
2026-06-07
安全維運 Next.js：建立不在已公開 CVE 上掉隊的機制
框架的最大風險是放任已公開的 CVE。以四項做法防守：以實際執行的版本判定、用 Dependabot/osv-scanner 監控、迅速更新、以最小權限執行。本站的看法：個人開發者通常欠缺的不是知識，而是讓維運持續下去的方法；不漏看 CVE 的機制比速度更重要。