Alles in einer NEXT_PUBLIC_-Variablen wird in das JavaScript kopiert, das jeder Besucher herunterlädt, daher ist ein geheimer Schlüssel dort ab dem Deployment öffentlich. Dieser Skill findet diesen und acht weitere Next.js-Konfigurationsfehler vor dem Deployment und erklärt, wie Sie jeden beheben.

Ihr Agent führt einen Scanner über Ihre next.config (js, mjs, ts), Ihre .env-Dateien und Ihre NextAuth- oder Auth.js-Konfiguration (auth.ts, [...nextauth]-Routen) aus. Er liest JavaScript und TypeScript ohne Kommentare, behält Strings bei und weiß, welche öffentlichen Schlüssel öffentlich sein sollen (Stripe Publishable Keys, Supabase-Anon-Keys, Firebase- und Maps-Schlüssel). Er führt nie Node oder Next.js aus. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Grund und einem sichereren Ansatz. Secrets werden nie ausgegeben.

Was geprüft wird

BLOCK (vor dem Release beheben)

• N01: ein Secret in einer NEXT_PUBLIC_- (oder VITE_-, REACT_APP_-, EXPO_PUBLIC_-) Variablen

• N02: ein Secret unter env oder publicRuntimeConfig in next.config

• N03: ein Beispiel- oder zu kurzes NEXTAUTH_SECRET oder AUTH_SECRET

REVIEW (vor dem Release prüfen)

• N11: productionBrowserSourceMaps aktiviert

• N12: TypeScript- oder ESLint-Fehler werden beim Build ignoriert

• N13: images.remotePatterns offen für jeden Host

• N14: dangerouslyAllowSVG ohne CSP

• N15: Server Actions allowedOrigins '*'

• N16: NextAuth debug oder allowDangerousEmailAccountLinking aktiviert

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Grund und sichererem Ansatz für jede Regel

• Ein riskantes und ein sicheres Beispielprojekt (next.config, .env und auth.ts) sowie der echte Bericht des Scanners zum riskanten

Grenzen

Er liest Dateien so, wie sie geschrieben sind: Variablen, die beim Hosting-Anbieter gesetzt sind, Middleware, Route-Handler und Komponentencode werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 12 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Grund und sichererem Ansatz) und examples/ (7 Beispieldateien plus report.md, die echte Scanner-Ausgabe zum riskanten Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne Installation. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, nichts wird irgendwohin gesendet.