Next.js构建文件中encryptionKey潜在泄露风险及相关问题问询

背景说明 #

在Next.js构建后的.next/server目录下，存在两个包含encryptionKey的文件：

1. .next/server/server-reference-manifest.json

{"node":{},"edge":{},"encryptionKey":"PhLVgRXgTBFRMVsHasswumD0/xGssj+0lGhP1i8WwlPrRk="}

2. .next/server/server-reference-manifest

self.__RSC_SERVER_MANIFEST="{\"node\":{},\"edge\":{},\"encryptionKey\":\"1uPhLVgRXgTBFMVHawmD0/xGj+lGhxxxP1i8ssWwlPrDRk=\"}"

代码审计团队担忧该密钥泄露会威胁系统安全，以下针对相关问题逐一解答：

1. 该情况是否真的存在安全威胁？ #

不存在实际安全威胁。这个encryptionKey是Next.js构建时自动生成的临时密钥，仅用于服务端组件（RSC）的内部数据加密，作用范围仅限于当前构建实例的服务端运行阶段，不涉及用户敏感数据、API密钥或系统核心加密操作。且密钥为每次构建随机生成，即使泄露，也无法用于攻击其他构建版本或获取敏感信息。

2. 是否需要采取隐藏密钥或其他调整措施？ #

不需要额外处理。Next.js的构建机制默认设计为这些文件仅部署在服务端，不会暴露给前端用户。正常部署流程中，.next/server目录的内容只会在服务器端运行，不会被客户端访问到。

3. 若有解决方案，请提供相关指导？ #

因不存在安全风险，无需特殊解决方案。若审计团队仍有顾虑，可确认两项部署配置：

• 检查Nginx、Apache等反向代理服务器，确保未配置将.next/server目录下的文件暴露给客户端；
• 核查CI/CD流程，避免误将这些文件上传到客户端可访问的静态资源存储区（如CDN静态文件目录）。

4. 若无需处理该问题，应如何回复安全团队？ #

可参考如下回复：

经确认，该encryptionKey是Next.js构建时自动生成的服务端组件内部临时密钥，仅用于当前构建实例的服务端内部数据处理，不涉及敏感数据加密或系统核心密钥。Next.js的部署机制默认保证这些文件仅在服务端运行，不会暴露给客户端。此密钥为构建时随机生成，无复用性，即使意外泄露也不会造成安全威胁，无需额外处理措施。

内容的提问来源于stack exchange，提问作者Rahul