Next.js中next/image组件的安全问题及配置防护作用解析

这个配置主要是为了防范以下几类安全风险：

• 阻止服务器资源耗尽攻击
  如果不对外部图片来源做限制，恶意用户可以通过构造大量请求，让Next.js的图片优化服务拉取体积超大的外部图片，或者发起海量图片优化请求，直接耗尽服务器的带宽、CPU、内存资源，导致服务无法正常响应合法用户的请求。

• 避免恶意内容通过你的服务分发
  未做限制的情况下，攻击者可能利用你的图片优化API分发包含恶意代码（比如隐写术嵌入的恶意脚本）、违法违规内容的图片。你的服务会成为这些恶意内容的分发渠道，不仅可能违反法律法规，还会给访问用户带来安全威胁。

• 防止缓存资源被恶意占用
  图片优化服务会缓存处理后的图片，如果允许任意外部图片，攻击者可以不断请求不同的恶意或无关图片，塞满你的缓存存储空间，导致合法用户的图片无法被有效缓存，拖慢站点加载速度，同时浪费缓存资源。

• 降低站点信誉受损风险
  攻击者可能诱导你的服务加载来自钓鱼网站、恶意站点的图片，用户在你的站点看到这些图片后，可能会误以为是你的站点提供的内容，从而被诱导进行诈骗操作，直接损害你的站点信誉。

内容的提问来源于stack exchange，提问作者Mohammad Miras