#secrets の記事

Next.jsの環境変数がクライアントに漏れる3つの経路と対策｜NEXT_PUBLIC_以外も要注意（2026）

NEXT_PUBLIC_を付けていないのに、Next.js App Routerのビルドでサーバー用シークレットが漏れる経路を実機で検証しました。Client Componentへのprops、Client Component内のprocess.env、ビルド時に固定される公開値の3パターンと、server-only・DTO・taint・CI用スキャナーでの防ぎ方を解説します。