Next.js源码暴露问题：pages目录文件源码是否会被暴露？

pages/目录下的文件源码是否会被暴露？ #

pages/目录下的原始源码不会直接暴露给客户端，原因如下：

• Next.js在构建阶段会将pages下的文件编译、打包并默认混淆处理。客户端组件会被编译成浏览器可执行的JS/CSS产物，但原始的React组件代码、业务逻辑不会直接对外展示；
• 服务器组件、API路由的代码完全在服务器端运行，客户端根本无法获取到这部分代码的内容，只能拿到它们返回的渲染结果或接口数据。

用Middleware拦截/admin路径的安全性如何？ #

这种方式是可靠的，但需要注意细节避免漏洞：

• Middleware的拦截逻辑运行在请求到达页面之前（边缘节点或服务器端），客户端无法绕过这一层校验，是有效的访问控制手段；
• 核心要点：拦截逻辑必须做服务器端的身份验证，比如验证JWT令牌的有效性、会话的合法性，绝对不能依赖客户端传来的不可信标识（比如localStorage中的用户角色标记）；
• 额外保障：即使有Middleware拦截，/admin页面的组件（尤其是服务器组件）也要单独做权限校验，避免因Middleware配置失误导致未授权访问时泄露敏感内容；
• 避坑提醒：要确保Middleware的路径匹配规则正确（比如不要漏了子路径、斜杠匹配），否则可能出现部分路径被绕过的情况；另外，不要把敏感业务逻辑写在/admin页面的客户端组件里，因为客户端组件的编译产物会被下载到浏览器，只是不会渲染。

内容的提问来源于stack exchange，提问作者GOOGLEKING