Всё, что лежит в переменной NEXT_PUBLIC_, копируется в JavaScript, который скачивает каждый посетитель, поэтому секретный ключ там становится публичным в момент деплоя. Этот навык находит такую ошибку и ещё восемь ошибок конфигурации Next.js до деплоя и объясняет, как исправить каждую.

Ваш агент запускает сканер по вашему next.config (js, mjs, ts), файлам .env и конфигурации NextAuth или Auth.js (auth.ts, маршруты [...nextauth]). Он читает JavaScript и TypeScript без комментариев с сохранением строк и знает, какие публичные ключи и должны быть публичными (публикуемые ключи Stripe, anon-ключи Supabase, ключи Firebase и Maps). Он никогда не запускает Node или Next.js. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• N01: секрет в переменной NEXT_PUBLIC_ (или VITE_, REACT_APP_, EXPO_PUBLIC_)

• N02: секрет в env или publicRuntimeConfig в next.config

• N03: примерный или короткий NEXTAUTH_SECRET или AUTH_SECRET

REVIEW (проверить перед релизом)

• N11: включён productionBrowserSourceMaps

• N12: ошибки TypeScript или ESLint игнорируются при сборке

• N13: images.remotePatterns открыт для любого хоста

• N14: dangerouslyAllowSVG без CSP

• N15: allowedOrigins '*' у Server Actions

• N16: включены debug или allowDangerousEmailAccountLinking в NextAuth

Что входит

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с причиной и более безопасным подходом для каждого правила

• Рискованный и безопасный пример проекта (next.config, .env и auth.ts) и настоящий отчёт сканера по рискованному

Ограничения

Сканер читает файлы в том виде, в каком они написаны: переменные, заданные у хостинг-провайдера, middleware, обработчики маршрутов и код компонентов не проверяются. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл с 12 файлами: SKILL.md, сканер в scripts/ (2 файла Python), references/rules.md (каждое правило с причиной и более безопасным подходом) и examples/ (7 файлов примеров и report.md, настоящий вывод сканера по рискованному примеру).

Как использовать: это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/) и попросите агента проверить проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, ничего никуда не отправляется.