含大量敏感数据的Next.js应用：是否适用getStaticProps及SSR？

1. 绝对不建议使用getStaticProps处理敏感数据 #

getStaticProps是在构建阶段预生成静态页面或JSON数据，这些资源会被部署到CDN上公开缓存。不管你在客户端做多少权限控制，静态生成的敏感数据都会直接暴露在CDN节点上——任何人都能通过查看页面源码、直接请求静态JSON文件的方式获取这些数据，完全没有安全性可言。

2. 服务端渲染（SSR，即getServerSideProps）是更安全的选择，但需注意实现细节 #

SSR的核心逻辑是每次用户请求时在服务器端实时处理数据并渲染页面，不会提前把敏感数据打包到静态资源中：

• 必须在getServerSideProps内部先完成严格的用户身份验证与权限校验，确保只有授权用户能获取对应敏感数据，绝不能跳过校验直接渲染内容。
• 渲染后的页面内容会发送到客户端，但这是基于用户权限的定向传输，相比静态生成的无差别暴露，安全性提升显著。

3. CDN上的静态JSON完全不安全 #

CDN的核心作用是缓存静态资源以提升访问速度，这类缓存资源默认是公开可访问的。即便你尝试配置CDN访问控制，静态生成的页面/JSON通常是面向全量用户的，无法实现细粒度的权限管控。只要是通过getStaticProps生成的资源，里面的敏感数据等同于直接放在公开节点上，毫无安全性可言。

额外补充：如果敏感数据需要在客户端交互中动态使用，推荐通过Next.js的API路由（pages/api目录下的接口）提供数据——在接口内完成权限校验，客户端通过授权请求获取数据，这种方式比SSR更灵活，也能更精准地控制数据访问权限。

内容的提问来源于stack exchange，提问作者importTurtle