Next.js-এ Server-Side Request Forgery (SSRF) প্রতিরোধের সম...
Next.js অ্যাপ্লিকেশনে Server-Side Request Forgery (SSRF) দুর্বলতার কারণ, আক্রমণের ধরন এবং কোড লেভেলে কার্যকর প্রতিরোধের বিস্তারিত গাইড।
আধুনিক ওয়েব অ্যাপ্লিকেশন ডেভেলপমেন্টে সফটওয়্যার সিকিউরিটি নিশ্চিত করা অত্যন্ত গুরুত্বপূর্ণ। Next.js ফ্রেমওয়ার্কে কাজ করার সময় ক্লায়েন্টের ইনপুট যথাযথভাবে ফিল্টার না করলে অথবা ফ্রেমওয়ার্কের বিল্ট-ইন নিরাপত্তা সুবিধাগুলো এড়িয়ে গেলে Server-Side Request Forgery (SSRF) দুর্বলতা তৈরি হতে পারে।
যেকোনো সফটওয়্যার ইঞ্জিনিয়ার ও সিকিউরিটি প্রফেশনালের জন্য এই ধরনের আক্রমণের পেছনের কৌশল এবং কোড লেভেলে এর কার্যকর সমাধান জানা অপরিহার্য।
টোকেন সিকিউরিটি এবং এপিআই বাউন্ডারি সুরক্ষার বিশদ জানতে আমাদের JWT সিকিউরিটির ভুলসমূহ এবং CORS কনফিগারেশন গাইড পড়ে নিতে পারেন।
Next.js-এ Server-Side Request Forgery (SSRF) কীভাবে আক্রমণ করে
Next.js-এ ক্লায়েন্টের রিকোয়েস্ট যখন কন্ট্রোলার বা রাউট হ্যান্ডলারে আসে, তখন যথাযথ অথরাইজেশন বা প্যারামিটারাইজেশন না থাকলে আক্রমণকারীরা অ্যাপ্লিকেশনের অভ্যন্তরীণ ডাটা কারসাজি করতে পারে:
| নিরাপত্তা ক্ষেত্র | ঝুঁকিপূর্ণ কোডিং পদ্ধতি | নিরাপদ সমাধান |
|---|---|---|
| ডাটাবেস লেয়ার | কোয়েরি স্ট্রিংয়ে সরাসরি ইনপুট জোড়া দেওয়া | প্যারামিটারাইজড কুয়েরি ও ওআরএম ব্যবহার |
| আউটপুট রেন্ডারিং | এইচটিএমএল বডিতে আন-এস্কেপড ভ্যালু দেখানো | কনটেক্সট-অ্যাওয়ার এইচটিএমএল এনকোডিং |
| রিকোয়েস্ট ভেরিফিকেশন | স্টেট পরিবর্তনকারী রিকোয়েস্টে টোকেন যাচাই না করা | সিএসআরএফ টোকেন ও SameSite কুকি নীতি |
| অ্যাক্সেস কন্ট্রোল | শুধুমাত্র ক্লায়েন্টের পাঠানো আইডিতে বিশ্বাস করা | সার্ভার-সাইডে সেশনের সাথে মালিকানা যাচাই |
Next.js-এ কার্যকর ডিফেন্সিভ কোডিং
Next.js অ্যাপ্লিকেশনে Server-Side Request Forgery (SSRF) প্রতিরোধ করার মূল কৌশলসমূহ:
১. নিরাপদ কোয়েরি ও প্যারামিটার বাইন্ডিং
// ঝুঁকিপূর্ণ কোড (পরিহার করুন):
db.execute(sql.raw(`SELECT * FROM users WHERE id = '${id}'`)) or prisma.$queryRawUnsafe()
// নিরাপদ কোড (অনুসরণ করুন):
db.execute(sql`SELECT * FROM users WHERE id = ${id}`) or Prisma type-safe finders
প্যারামিটারাইজড পদ্ধতির মাধ্যমে কোডের স্ট্রাকচার এবং ডেটা আলাদা থাকে, ফলে কোনো ইনপুটকে এক্সিকিউটেবল কোড হিসেবে রান করা সম্ভব হয় না।
২. ফ্রেমওয়ার্কের বিল্ট-ইন সিকিউরিটি ফিচার
Next.js-এ রয়েছে শক্তিশালী বিল্ট-ইন মেকানিজম:
- নিরাপত্তা সুবিধা: React JSX contextual escaping, Server Actions origin validation, Zod boundary schema enforcement।
- ইনপুট ভ্যালিডেশন: কন্ট্রোলারে ডেটা প্রসেস করার আগেই টাইপ ভ্যালিডেশন নিশ্চিত করুন।
- সেন্ট্রালাইজড এরর হ্যান্ডলিং: ডাটাবেসের অভ্যন্তরীণ এরর বা স্ট্যাক ট্রেস কখনোই ক্লায়েন্টে পাঠাবেন না।
টিমের কোডবেসের মান বজায় রাখতে আমাদের ক্লিন কোড ও কোড রিভিউ নীতিমালা দেখুন।
কোড রিভিউ ও অডিট চেকলিস্ট
প্রোডাকশনে কোড পুশ করার আগে নিচের বিষয়গুলো মিলিয়ে নিন:
- সকল ডাটাবেস কলে প্যারামিটারাইজড কুয়েরি বা অনুমোদিত ওআরএম মেথড ব্যবহৃত হয়েছে।
- টেমপ্লেটে প্রদর্শিত ক্লায়েন্ট ডেটা স্বয়ংক্রিয়ভাবে এনকোড হচ্ছে।
- স্টেট পরিবর্তনকারী রিকোয়েস্টে অথেনটিকেশন ও টোকেন ভ্যালিডেশন কার্যকর।
- আউটবাউন্ড নেটওয়ার্ক রিকোয়েস্টে প্রাইভেট আইপি বা মেটাডাটা এক্সেস ব্লক করা রয়েছে।
- প্রোডাকশনে ডিবাগ মোড বন্ধ এবং জেনেরিক এরর রেসপন্স প্রদান করা হচ্ছে।
সারসংক্ষেপ
Next.js-এ Server-Side Request Forgery (SSRF) প্রতিরোধ করা একটি নিয়মতান্ত্রিক অভ্যাস। ফ্রেমওয়ার্কের নিজস্ব সিকিউরিটি টুলস ব্যবহার করা, কড়া প্যারামিটারাইজেশন মেনে চলা এবং কোড রিভিউ নিশ্চিত করলে অ্যাপ্লিকেশনের নিরাপত্তা চিরতরে নিশ্চিত করা সম্ভব।
তথ্যসূত্র: Next.js App Router Security Architecture & React Security Model (evaluated November 2026), OWASP Web Security Testing Guide, CWE Database Specifications (মূল্যায়ন নভেম্বর ২০২৬)।
