Next.js и Node.js: защита SSR, API-маршрутов и серверных действий

Где Next.js тратит ресурсы

Оптимизатор изображений принимает параметры url, w и q. Ограничьте в next.config список разрешённых источников (images.remotePatterns) и размеров (deviceSizes, imageSizes): тогда запросы с произвольными значениями получают ошибку, а не запускают обработку.

ISR и revalidate

Страницы с revalidate отдаются из кэша и перегенерируются в фоне, поэтому они устойчивее к флуду. Но маршрут, который вызывает revalidatePath или revalidateTag по запросу CMS, нужно защитить секретом и лимитом: иначе его можно дёргать, чтобы постоянно сбрасывать кэш.

Middleware

Файл middleware.ts (в Next.js 16 — proxy.ts) выполняется на каждый подходящий запрос. Ограничьте его через config.matcher, исключив /_next/static, /_next/image и файлы статики, — иначе даже запросы картинок проходят через лишний код.

Реальный IP в Node.js

У next start нет настройки доверенных прокси: приложение видит X-Forwarded-For в том виде, в каком его передал предыдущий узел. Поэтому адрес нужно восстановить на nginx модулем real_ip по адресам фильтра и перезаписать заголовки, а не дописывать к ним. В Express и Fastify для этого есть настройка trust proxy со списком доверенных адресов.

# nginx перед Next.js; $remote_addr уже восстановлен модулем real_ip
location / {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $remote_addr;
    proxy_set_header X-Forwarded-Proto $scheme;
}

// Express: доверять только локальному nginx и узлам фильтрации (адреса условные)
app.set('trust proxy', ['loopback', '203.0.113.0/24']);

Что исключить из проверки браузера

• Вебхуки в /api/webhooks/* и подобных маршрутах — их подлинность проверяет подпись отправителя.
• Маршрут on-demand revalidation, который вызывает CMS.
• Запросы мобильного приложения к API: для них — лимиты и подпись запросов.
• Задачи по расписанию, запускаемые HTTP-запросом, — по адресу источника и секрету.

Типичные ошибки

• Жёсткий лимит частоты на /_next/static: при первой загрузке страница запрашивает десятки файлов, и настоящие посетители получают 429.
• Страница стала динамической из-за чтения cookies или headers там, где её можно было отдать из кэша.
• Порт 3000 открыт наружу — атаку можно направить на приложение в обход nginx и фильтра. Закройте его и скройте IP сервера.