nextjs-secure-bff

Next.js Secure BFF

Next.js が単なるレンダリングレイヤーではなく、公開バックエンドの境界として機能する場合にこのスキルを使用します。Route Handlers、Proxy、Server Actions は外部から到達可能なエントリーポイントとして扱い、通常のバックエンドと同様にセキュリティレビューを実施してください。

適用するタイミング

次の場合にこのスキルを使用します。

• app/**/route.ts、proxy.ts、Webhook ハンドラー、コールバック URL、BFF プロキシエンドポイントを作成またはレビューする場合
• データを変更する、または認証済みユーザーに依存する Server Actions を設計する場合
• データベース、シークレット、内部 API へのアクセスを Next.js アプリに移す場合
• Client Components に渡すデータが最小限かつ安全かどうかを監査する場合
• ヘッダー、シリアライズされたアクション結果、ログ、または広範な DTO を介した漏えいを調査する場合

必要に応じて読み込む

まずこのファイルを確認してください。タスクで必要な場合にのみ、詳細ファイルを読み込みます。

references/_sections.md
references/api-route-boundaries.md
references/security-server-action-authz.md
references/security-dal-dto.md
references/security-env-server-only.md
references/api-webhook-validation.md
references/api-proxy-headers.md
dataset/security/server-action-authz/correct.ts
sources/inventory.json

各ルールファイルには次の内容が含まれています。

• このパターンが重要な理由
• 不適切な例と適切な例
• より大きな TypeScript/TSX の例があるデータセットのパス
• 公式ソースへの参照

優先度別のルールカテゴリ

優先度の数値が小さいものを先に適用して、競合を解決します。同じ優先度では、Security、API、Operations の順に優先します。

Priority	Category	Impact	Prefix
1	セキュリティと認可	CRITICAL	security-
2	公開 API の境界	CRITICAL	api-
3	運用とランタイム制御	HIGH	ops-

ソースポリシー

フレームワークの仕様については、Next.js の公式ドキュメントを優先してください。認証ライブラリについては、このスキルで Next.js のセキュリティ境界を確認したうえで、ライブラリの公式アダプターのドキュメントに従ってください。入力を検証し、呼び出し元を再認可し、出力をフィルタリングしていないコミュニティ製の Webhook、プロキシ、Server Action のスニペットはコピーしないでください。