Next.js セキュリティ：まずはここから

更新を「事故」にしないためのルーチン。確認点、段階投入、ロールバックまで。

実際のエコシステム脆弱性に対して、何を確認しどう動くかの最短チェック。

「UIで見えないからOK」を捨てて、オブジェクト単位の認可をサーバで強制する。

各アクションを公開POSTとして扱い、認可・所有者確認・入力検証・allowedOriginsを固める。

本番で表示されるdigestから、instrumentation.tsで元のサーバーエラーをたどる。Cookieやトークンを漏らさないログ設計つき。

Route HandlersやServer Actionsで外部URLをfetchする際の必須防御。プライベートIP遮断、DNS Rebinding対策、リダイレクト追従制御。

古いタブ、ローリングデプロイ、ビルド・暗号化キー不一致を切り分け、deploymentIdとNEXT_SERVER_ACTIONS_ENCRYPTION_KEYで直す。

依存差分とinstallスクリプトをCIゲートにして、侵害の入口を潰す。

最小権限、SHA pin、PRイベントの落とし穴。CIを攻撃面にしない。

週次バッチ＋グルーピングで更新を「運用」にして、PR地獄を終わらせる。