Smashing Magazine· hello@smashingmagazine.com (Durgesh Pawar)·· 2026-07-21AI 评分62
React Flight 协议的反序列化风险与防御：从 React2Shell 到 Server Components 加固
Weaponizing And Defending The React Flight Protocol: Deserialization Sinks In RSCs
AI 导读
文章剖析 React Server Components 使用的 Flight 流式协议，指出它本质是一个反序列化系统，会从文本流中重建可执行引用、模块指针和 RPC 端点。
价值洞察
✦ 价值点
React Flight协议把可执行引用与属性遍历暴露在网络层，一次未授权请求即可RCE，框架安全边界从'可信服务端'转向需自行加固
⚡ 转化点
立即核查lockfile中react-server-dom版本，升级到19.0.4+/19.1.5+/19.2.4+，并在每个Server Action首行加schema校验
来源：Smashing Magazine · smashingmagazine.com