Next.js 中间件风险：你可能忽视的安全漏洞

2025年的Web开发以惊人的速度演进。我们从笨重的单体应用发展到由Next.js等框架驱动的 sleek、可扩展的应用程序，数百万开发者现在依赖它来构建现代化的服务器端渲染React应用。

但随着我们的工具变得更先进，威胁也在升级。

2025年初，发现了一个中间件绕过漏洞，动摇了多位依赖Next.js中间件保护其应用最敏感路由的开发者的信心。这个漏洞阴险、容易忽略，且极易受到攻击。

以下是发生的事情——更重要的是，你需要从中学习什么。

漏洞的来龙去脉

要理解这个问题，我们需要看一下Next.js中中间件的工作原理。

Next.js中的中间件旨在请求到达特定路由之前执行。它通常用于诸如认证验证、日志记录、重定向以及其他必须全局或有条件执行的逻辑操作。

漏洞出现在重写与中间件结合使用时。例如：

1
2
3
4
5
6

// middleware.ts
export function middleware(req) {
  if (!req.cookies.token) {
    return NextResponse.redirect('/login');
  }
}

而在你的配置中：

1
2
3
4

// next.config.js
rewrites: [
  { source: '/dashboard', destination: '/api/internal/dashboard' }
]

关键点在于：如果重写的目标路径不匹配中间件定义的条件，中间件永远不会运行。因此，在某些情况下，用户可能完全绕过预期的认证检查，直接访问内部API路由。

为什么这应该引起你的关注

问题不在于某个晦涩、过时的依赖——它出现在我们许多人每天都在生产环境中使用的框架中。这就是为什么这如此令人震惊。

虽然该漏洞在Next.js的最新版本中已修复，但其影响更深：

• 安全假设容易破裂。中间件逻辑假设路由将始终通过它。这并不总是正确的。
• 现代框架抽象了很多复杂性。这使得开发者容易忽略细微的行为，特别是在重写和边缘函数方面。
• 无服务器和边缘计算使调试更加困难。代码的行为可能因部署到Vercel、AWS Lambda还是传统服务器而异。

当我们依赖框架“正常工作”时，我们有时忘记了问它们是如何在幕后工作的——以及安全检查是否按预期运行。

并非孤例

这不是我们第一次看到路径重写或中间件逻辑导致安全漏洞。让我们看几个最近的类似案例：

• 2025年2月，一个流行的基于Nginx的Docker镜像中配置错误的反向代理使攻击者能够通过修改GET请求中的路径完全绕过认证头。
• 2024年12月发现的这个漏洞允许顶级路由（例如/admin）绕过授权，即使更深的路由（/admin/users）受到保护。根本原因是中间件匹配配置中的路径匹配逻辑错误。
• 更引人注目的例子之一是：2023年的Okta漏洞，部分源于身份和访问系统中中间件层的令牌验证流程的错误假设。

这里的教训？中间件很强大——但并非万无一失。

如何保护自己（和你的应用）

如果你正在使用Next.js，特别是与重写或API路由代理结合使用，以下是一些你可以立即做的事情，以确保你不会受到相同问题的困扰：

1. 更新Next.js
   确保你的应用运行最新的稳定版本。中间件绕过漏洞已修复，但过时的依赖在实时应用中仍然惊人地常见。

2. 重新评估你的中间件覆盖范围
   检查你的中间件是否在重写路由上运行。在中间件文件中使用日志记录，并使用curl或Postman进行测试，以验证请求没有静默跳过检查。

3. 避免过度依赖重写
   虽然重写对于代理或隐藏内部端点很方便，但考虑重定向或服务器端逻辑是否会提供更可预测的安全行为。

4. 添加冗余安全层
   即使中间件失败，你的实际API路由也应该有认证检查。不要仅依赖中间件来控制访问。

5. 记录和监控边缘请求
   如果你在Vercel、Netlify或Cloudflare等边缘平台上部署，确保在边缘级别进行日志记录。通常，漏洞只在特定请求模式下显现。

更大的图景：我们是否以安全为代价追求便利？

像Next.js这样的框架的核心吸引力在于它们抽象复杂性的能力。开发者不再需要管理路由、缓存甚至渲染逻辑。但当这种抽象隐藏了你的安全层如何以及何时运行时，事情可能会迅速出错。

这是我们在2025年软件领域看到的更广泛问题：

• 便利优先的开发比默认安全的编码实践增长更快。
• DevSecOps在较小团队或快速移动的初创公司中仍未成为主流。
• 边缘计算和微服务创造了数千个微小的攻击面，而且谁拥有管道的哪一部分并不总是清晰的。

最后思考

这个Next.js漏洞可能已修复，但它留下了一个重要问题：我们是否真正控制了我们所依赖的工具？还是我们在盲目信任我们尚未完全审计的框架行为？

如果从这个问题的收获有一个，那就是：

始终验证你的安全假设是否成立——不仅在理论上，而且在实践中。

网络在演进，威胁也在演进。作为开发者和安全专业人员，我们有责任保持领先一步——不是通过制造恐惧，而是通过理解我们喜爱的框架的机制。