知らないとあぶない、Next.js セキュリティばなし

ムーザルちゃんねるのムーです。今回は zaru さんと、Next.js のセキュリティについて話しました。 セキュリティについては様々あると思いますが、今回は以下の3点をピックアップして話しました。 Client Components の Props から露出する Server Actions の引数に注意 認証チェックをやってはいけない場所、やって良い場所 これらは、Next.js 入門者がうっかりとやってしまうリスクがあるものです。 このような罠は、アプリケーション自体は正常に動くので、知らないうちにはまってしまいますし、自力で気づくのも難しいものです。もしも知らないものがあれば、ぜひご確認ください。 楽しくて、安全な Next.js 生活をお送りください！ Client Components の Props から露出する これは、シンプルで当たり前といえば当たり前ですが、Client

[manaten]

うっかり系は環境変数のラッパーやBFFとの通信クライアントをしこたまserver-onlyに依存させてしまうのが安心

[mkusaka]

Next.jsのセキュリティリスク3点を解説。Client Componentsへの露出、Server Actionsの引数詐称、layoutでの認証の罠。Prismaのomit等の対策も紹介します。

[rgfx]

「page や server actions で個々にチェックする必要／middleware では不十分で、layout （でのチェック）は危険」