2025年3月21日，平平无奇的一天
有人向CVE提交了一个平平无奇的安全漏洞
这个漏洞来自Vercel公司开源的著名前端框架：Next.js
漏洞刚发布，就在技术圈里炸开了锅
Next.js作为目前最流行的前端框架之一，NPM上每周被下载1300万次
而这个漏洞存在于Next.js所有还在维护中的版本
可以说只要你在用Next.js，基本上都可以确定中招
这个平平无奇的漏洞，能引起技术圈的轩然大波
因为它的危险程度几乎拉满，CVSS评分9.1
六大核心指标
除了availability impact（可用性）不受影响，其余都是最糟糕的
甚至严谨地说，这个可用性的打分也不太准
因为后面你会了解到
通过这个漏洞进行DDoS攻击是很容易的事情，可以轻松让你的系统岩机
但今天我们不是来讨论这些严肃话题的
这个漏洞事件引起我的关注，是因为它这个bug太菜了
这么低级的错误，就算出现在大学生作业里，也是能被点名批评的程度
那么接下来，就让我们一起深入剖析这个漏洞的技术细节吧
首先复习一下后端系统里“中间件”的定义
一个面向互联网，处理前端请求的后端系统
往往都有一些常见的前置步骤
比如说在刚接到请求的时候
先检查一下缓存里面是不是有结果可以直接返回
又或者对一些需要特定权限的请求，在处理前先核实对方的身份
这些步骤因为处理起来都是同一个套路
一般情况下我们就不会自己重复造轮子了
而是使用封装好的中间件
老牌的后端框架，比如JavaScript的Express、Koa
Python的Flask、Django，都有很丰富的中间件生态，可以开箱即用
作为后起之秀的Next.js，在中间件上自然也有类似的服务
但和那些纯粹的开源框架不同，Vercel公司之所以开源Next.js
是为了给自家的云服务产品抢占市场，尤其是他们的服务器加CDN的套餐
所以在架构设计上，Next.js有一个与众不同的地方
当你用Next.js写的一个后端系统，部署在Vercel的云上
代码中涉及到中间件的部分，就会被自动提取出来
发送到Vercel Edge Network，也就是他们家的CDN
因为用户向你的后端发送请求的时候，会先经过CDN
CDN就能当场执行所有中间件的代码逻辑
然后再把剩下的部分传到服务器
所以我们会看到很多用Next.js的程序员夸Vercel的云服务
说它很快、很丝滑，那是当然的
尤其是在一些中间件就能返回结果的请求，那就是秒答
比如说你要打开个人主页，请求会来到CDN进行身份认证
一旦发现你没有登录，就会当场把请求重定向到登录页
整个过程都不需要服务器的参与
这个就是Vercel打造的护城河，也是他们开源Next.js的根本目的
但这个架构设计有一个隐患
如果你没有在中间件的运行逻辑里面考虑到CDN部署的场景
就可能会陷入死循环
比如前面例子里
中间件把请求重定向之后形成的新请求，会当场回到CDN上
这样就会再走一次中间件的流程
再被身份确认一次，还是没通过，然后再被重定向
然后一直重复下去，直到超时
为了堵住护城河上的这个缺口
Vercel的大聪明想出来一个绝佳的补救方法
那就是在中间件重定向之前，给新请求加上一个特殊的header
就是为了告诉未来的自己：
这个请求不是来自于用户的，而是CDN在自产自销
负责身份认证和重定向的这些中间件，看到请求里有这个header
就知道不需要重复干活了，可以直接放行
好了那么问题来了，这个做法有没有安全漏洞呢？
太有了！
何止是漏洞，简直就是漏了个太平洋出来
因为HTTP请求的header，是谁都可以随便写的
比如我现在要进入你的管理员页面，我不需要管理员账号
只需要在请求里面加上这个header
你的后端就会傻傻地跳过身份认证的中间件，直接放行
至于什么DDoS攻击、XSS攻击、缓存污染，也都是信手来的事
因为这些一般都是由中间件负责守护的
现在一个header就能够把它们全部略过
可以说任何正经学过计算机的人，都应该想不出这么离谱的操作
但偏偏Vercel那些年薪百万的程序员就写出来了
而且整整三年里，整个Vercel公司没有一个人觉得这样做有问题
aureruini 直到2025年的3月1日rnanaec
两个外部的安全专家发现了这个漏洞，告知了Vercel
但如果你以为Vercel的草台到此为止，那就大错特错了
从收到漏洞报告，到发布第一个补丁，Vercel团队花了整整17天
这群大聪明钻研了那么久，想到的补救方案是什么呢？
就是再加一个header
只不过这个新的header的值，是中间件随机生成的
在重定向之前，Next.js会把这个随机数保存在全局对象里
等到新请求回来的时候，检查它的新header是不是同一个随机数
这样就确保了外部用户无法伪造这个新的header
也算是堵上了原来的安全漏洞
这个补丁的抽象之处在于
它解决了一个问题，又反手制造了更多的问题
首先加密随机数的成本不低
尤其是在CDN这种冷启动场景
你还得先收集噪音、形成熵池
这样一搞，直接把Vercel花那么多功夫挤出来的速度优势都搞没了
更重要的问题是，这个随机数做法不一定有用
因为重定向后的新请求，不一定会回到同一个session
甚至按照CDN的分布式设计，它都不一定会回到同一台机器上
所以就算新请求真的是来自于中间件
也有可能因为随机数对不上，而被当做是外部请求
如果说一开始的bug可能还是个意外
那这个补丁就真的让人怀疑Vercel程序员的脑洞了
而头铁的Vercel硬是顶着大家的质疑，又拖了一个星期，才发布新的补丁
这新补丁就更绝了，直接掀桌子
把整一套“通过header绕开中间件”的逻辑全删了
意思就是：死循环问题，爷不管了，你们自已处理

根据文本，生成一个美观的landing page，注意适时的添加图表、思维导图或各种可视化方案来优化呈现效果