"use server";を勘違いして使うと危ない

ムーザルちゃんねるのzaruです、こんにちは。今回はNext.js AppRouterのServer Actionsで "use server"; を勘違いして使うと危ないケースがあるよというのを紹介します。 以前書いた"use server"; でexportした関数が意図せず？公開されるとはまた違うケースだったので改めて書きます。 今回のケースが発生することは稀だと思いますが、Server Actionsの仕組みを勘違いしてしまっていたり雰囲気で使っているとセキュリティリスクをはらむコードになってしまいます。 例として、以下のようなフォームのデータフローを実装したとします。3つのファイルに分かれています。 <form> のデータを submitForm() 関数で受け取り、バリデーションを実行します。バリデーションに問題がなければ insertRecord() 関数でデータを保存します

[shingo-sasaki-0529]

『「サーバ側で処理するファイルに付けるもの」と勘違い』 は嘘は？って思ったけど、サーバーで処理する境界の設定をミスったって話で、正確には「サーバー側で処理する境界に付けるもの」だよって主張なのかな。

[Wacky]

“submitForm.ts と insertRecord.ts 両方に "use server"; を付けた場合はどうなるかというと、insertRecord() 関数がクライアントコンポーネントから呼び出されない限りは外部公開はされません。”

[lli]

やらかしそうなポイントだな

[wata88]

これ絶対やらかす自信があるので怖い

[kvx]

これはやりそう