Next.js 13 路由处理器（Route Handler）的安全实践指南-js教程-PHP中文网

next.js 13 的 route handler 本身不提供额外加密能力，其安全性取决于是否启用 https、服务端密码哈希处理、请求验证及传输层防护——敏感数据（如密码）绝不可明文传输或存储，必须在服务端使用强哈希（如 argon2 或 bcrypt）加盐处理。

next.js 13 的 route handler 本身不提供额外加密能力，其安全性取决于是否启用 https、服务端密码哈希处理、请求验证及传输层防护——敏感数据（如密码）绝不可明文传输或存储，必须在服务端使用强哈希（如 argon2 或 bcrypt）加盐处理。

Next.js 13 引入的 Route Handler（位于 app/ 目录下的 route.ts/route.js）本质是运行在服务端的 Edge 或 Node.js 函数，它不自动加密请求内容，也不替代基础安全机制。因此，将用户密码等敏感信息通过 JSON POST 请求发送至 Route Handler 是否“安全”，答案取决于你是否构建了完整安全链路：

✅ 必须保障的底层安全前提：

强制 HTTPS：确保客户端与服务器间全程使用 TLS 加密（生产环境禁用 HTTP），防止中间人窃取明文密码；
前端仅传递原始密码（不自行加密）：避免在浏览器端做简单 Base64、MD5 或弱 AES 加密——这既无实质保护（密钥易暴露），又干扰服务端合规哈希流程；
服务端立即哈希 + 加盐（Salt）+ 加椒（Pepper，可选）：收到密码后，绝不存储明文，应使用抗暴力破解的现代算法（推荐 argon2id 或 bcrypt），例如：

// app/api/auth/signup/route.ts
import { hash } from 'argon2';

export async function POST(req: Request) {
  const { email, password } = await req.json();

  // ✅ 关键步骤：服务端生成随机 salt 并哈希密码
  const hashedPassword = await hash(password, {
    type: argon2.Argon2id,
    memoryCost: 19 * 1024, // ~19MB
    timeCost: 2,
    parallelism: 1
  });

  // 存储 hashedPassword（及 salt，argon2 自动嵌入）到数据库
  await db.user.create({ data: { email, password: hashedPassword } });
  return Response.json({ success: true });
}

⚠️ 常见误区与风险提醒：