zenn.dev/reyalka/articl… React Server Functions (RSF)の脆弱性react2shellの原因と対策について解説されています。 Astro Server Actionsを例に、より安全な実装方法を提示しています。 JSONベースの通信、スキーマ検証、コード分離がポイントです。

RSCっつうかreact routerやってるとserver functionは欲しくなるんよなあ、loaderだけじゃ足りずどっかでfetchすることになるけどresource routeだと結局jsonこねくり回すことになるし、じゃあreact routerに全部乗っかるかってfetcherこねくり回してるとこれぜってえ違えだろになる

React Server Componentsの便利さに頼らず、セキュリティと将来の自由度を守るために、標準的なREST APIとJSONを使え＞＞＞Lessons from React2Shell - DEV Community dev.to/cheetah100/les…

Next.js で React2Shell 全部やばいというのが出回ってるけど、Server Actionsやクエリパラメータ直、dynamic とかがヤバい。 基本的なJSONパーサーだと、React2Shellの復元機能は動かないので、攻撃コード送信してもただの文字列として扱われて終了 とはいえ、パッチは当てた方がいい

React Server Componentの脆弱性の一件、個人的には古の「サーバーがHTML返す」じゃなく「サーバーがJSON返す」時代になってせっかく明確な分離が進んだのにReact/Next.jsでそのへんがコードレイヤーでは曖昧になってきたのが再検証されると良いなと思ってる 思想は分かるんだけどねえ

React Server Components全然知らなかったけど サーバー側でReactをコンパイルしてJSONにしてフロントに渡してフロントがそれをレンダリングする仕組みなのか 素人的にはいつ導入するんだろうという気持ちになった

返信先:@okd61807313react-dom入れてても依存関係にreact-serverが含まれているのでそこが注意かな。 見落としがちなのが、package.jsonには含まれていないが、依存関係に含まれているのが危ないです。 lockファイルを見る必要がある。

Reactのブログで脆弱性があるのはReact本体ではなくreact-server-dom系の3パッケージだとされているのにNext.jsもアップデートするように書かれていて何でだろうと思ってたら、Next.jsではpackage.jsonとは別で内部でreact-server-dom-turbopackなどを利用しているからだった github.com/vercel/next.js…