最近在盘点手头前端项目的依赖，顺手做了一波安全审计，惊出一身冷汗。发出来给各位尝鲜 Next 15 的老哥提个醒。

省流（ TL;DR ）：

如果你项目 package.json 里的依赖刚好卡在以下版本组合：

• next: "15.0.3"
• react: "19.0.0"
• react-dom: "19.0.0"

建议立刻、马上安排升级。

隐患背景

前阵子开新坑，为了吃 React 19 的红利，项目初期直接把依赖锁在了上面的版本。

但实际上这个特定版本的组合存在非常严重的安全漏洞。在特定的服务端渲染（ SSR ）或 Server Actions 场景下，恶意攻击者可以通过构造 payload ，直接绕过编译期检查向运行环境植入恶意程序。在如今满大街自动化扫描器的环境下，用这个版本组合上线无异于在公网裸奔。

解决办法

直接把版本推到最新的 Patch 版：

npm install next@latest react@latest react-dom@latest
(注：升级后切记把 node_modules 和 .next 缓存删干净重新 build ，我这边实测推上去基本是无痛兼容的，没有遇到恶心的 Breaking change 。)