Muchas aplicaciones Next.js fallan en proteger adecuadamente las acciones de servidor, exponiéndose a vulnerabilidades de seguridad.

El truco

// ANTES: Código vulnerable
// pages/api/my-action.js

export default async function handler(req, res) {
  const { data } = req.body;
  // Procesar datos sin ninguna verificación
  res.status(200).json({ success: true, data });
}

// DESPUÉS: Código seguro
// pages/api/my-action.js

import { verifyToken } from '../../utils/auth';

export default async function handler(req, res) {
  const token = req.headers.authorization;

  if (!token || !verifyToken(token)) {
    return res.status(401).json({ error: 'Unauthorized' });
  }

  const { data } = req.body;
  // Ahora los datos se procesan de forma segura
  res.status(200).json({ success: true, data });
}

// utils/auth.js

export function verifyToken(token) {
  // Implementa tu lógica de verificación del token
  return token === 'secreto';
}

Incorporar una verificación de token en las acciones de servidor asegura que solo usuarios autenticados puedan acceder a ellas. En el ejemplo anterior, el código inicial permite procesar datos sin ninguna comprobación, lo que es un fallo de seguridad importante. Al introducir una verificación de token, protegemos nuestra aplicación validando que el cliente está autorizado antes de procesar cualquier petición. La función verifyToken es un placeholder para tu lógica de autenticación.

Asegúrate siempre de que tus puntos de acceso a la API están protegidos con mecanismos de autenticación apropiados para prevenir accesos no autorizados.