ただNext.jsを使う - カミナシ エンジニアブログ

カミナシエンジニアの osuzu です。 私は職能柄、Webフロントエンド技術の選定に関わる機会が多く、これまで React Server Component や Next.js に関する発信なども過去にしていました。 そうした事情から2025年12月の React や Next.jsのセキュリティ問題 に対し心痛めています。 私は現在もプロダクションでNext.jsを運用していますが、選定した事を後悔しているかというとそう単純な話でもありません。 そこであらためて、Next.jsをプロダクションで採用するポイント、何を意識した構成にしているか記載します。 今回の記事では以降、ReactはRSC(React Server Component)を含むものとし、Next.jsは記載のない限りApp Routerを指した話となります。 BFFとして使う まず私はプロダクション運用するプロダクトに

[manaten]

本件に過剰反応するならサーバーサイドJSの利用から疑ったほうがいいと思う。プロパティ代入という基本操作で攻撃が成立してしまうのはプロトタイプベース言語であるJSの欠点なので

[nemoba]

BFFがセッション管理に必要だからこそNext.jsがセキュリティ陥落してるのがまずいのでは。セッション管理こそセキュリティの要でしょう。Backendから見たら乗っ取られたセッションなのか区別つかない

[strawberryhunter]

弊社はReactの資産も知識も無いので、レガシーを引きずるReact自体が選択肢から外れてる。あの脆弱性を作り出した開発者たちに根幹を預けるのはリスキーだと思わないんだろうか。

[snowcrush]

RCE前提だと何やってもダメじゃない？もうその問題は解決済み！と言うなら変に境界線作らなくてもいいと思うし

[renowan]

nuxtはバージョンアップが辛いけど悩むことはあんまりない。

[kompiro]

RSCなんで実行可能なflightweightプロトコルを採用したんだろう。JSONを圧縮したプロトコルだと思い込んでた

[nilab]

「Next.js はApp Router以降、フルスタックフレームワークとしての道を失った」「Page RouterまではServerからClientへのPropsの境界が明確で（いわゆるgetServerSidePropsで境界が分かれてた）」

[rgfx]

Struts2のOGNLみたいなことになってきたBFFについて。AppRouter以降、Vercelが付け足した"独自色"が癌になってきたので厳しい、けどまあSSR考えると現状これが一番こなれてるし、ドメインに時間を使いたいのはそう。

[kazokmr]

書いてある通りバックエンドがマイクロサービスなら使うメリットはあると思う。ところでJSランタイム下でセッション管理する場合はどうやるのが一般的なんだろう

[BOOOOOOOON]

まあこの使い方がデファクトスタンダードでしょ。Cookieから取り出したものをリクエストに載せてどうこうしようしてる時点でどうしたって穴はあるんだから

[sonots]

妥当な落とし所感 > 私が推奨する「Next.jsをBFFとして使う」構成は、あくまで「UIのためのデータ整形」「APIアグリゲーション」「API認可プロキシ」に徹します。

[lifeisadog]

こんなややこしいことをやってる理由がだんだんわからなくなるやつ

[kobago55555]

140MBもあるフレームワークを使うのはもうやめようぜ

[ilyaletre]

たぶんこれが最適解なんだろうなー、という気がしてきている。

[kobito19]

"「ブラウザの延長」と捉え、機密情報を保持しない" この考えもまあまあ危ないと思う。よくある「他人のデータが見えちゃう」をやりがち

[nida3001]

クライアントのセッションハイジャックはどうあがいてもバックエンド側では検知も対処も出来ないのにそこを攻められてもな

[ikkitang1211]

良さそうだった

[toricls]

好き