熱點事件持續更新
Next.js API 路由須自行驗證權限
1 篇報道1 個報道來源3 小時前更新
先了解這件事
AI 綜述
2026年10月30日，DEV Community 的 Somnath Khadanga指出，Next.js middleware 不應被視為 API 的安全邊界。每個處理用戶資料的路由處理器，都應自行驗證 session 和角色；若 matcher 未涵蓋新路由、重構時設定錯誤，或有人直接呼叫 API，都可能繞過 middleware。文章亦指出，隱藏管理員介面不等於已實施存取控制；刪除用戶的 session 紀錄後，還可使用舊 cookie 測試 session 撤銷是否生效。報道提出上述安全檢查要點，未提及後續處置。
AI 根據報道生成 · 3 小時前更新
最新進展10月30日 20:23
Somnath Khadanga指出，處理用戶資料的每個路由處理器都應自行驗證 session 和角色。報道時間線
沿着報道，瞭解事件的不同側面。
10月30日
- DEV CommunityNext.js middleware 不是 API 的安全邊界，路由處理器須自行驗證 session 和角色
Somnath Khadanga指出，Next.js middleware 不能作為 API 的安全邊界，處理用戶資料的每個路由處理器都應自行驗證 session 和角色。matcher 未涵蓋新路由、重構時設定錯誤，或直接呼叫 API，都可能繞過 middleware。隱藏管理員介面不等於存取控制；刪除用戶的 session 紀錄後，亦可用舊 cookie 測試 session 撤銷是否生效。
本事件熱度走勢
當前熱度 9·可比範圍峯值 10（10月30日 21:00）·近 24 小時可比範圍變化 –
趨勢僅比較持續完整觀測到的相同主體，範圍可能小於當前熱度統計。移動指針或點擊圖表查看每小時熱度；鍵盤可用左右方向鍵切換。