ডকুমেন্টেশন/কনভেনশন এবং ধারণা

নিরাপত্তা

কিভাবে Nexy তার নিজস্ব আক্রমণের পৃষ্ঠকে ছোট রাখে, কোন সংস্করণগুলির প্রয়োজন হয় এবং কীভাবে একটি প্রকল্প পরীক্ষা করা যায়।

সংস্করণ মেঝে

নেক্সি নির্ভর করে FastAPI, Starlette, Jinja2, Vite এবং React এর উপর। একটি মেঝে সর্বনিম্ন সংস্করণ Nexy অনুমতি দেয়; প্রত্যেকে একটি প্রকাশিত পরামর্শের উত্তর দেয়।

আপনার সমাধান করা সংস্করণ পরীক্ষা করুন:

uv pip list | grep -i -E "starlette|fastapi|jinja2"npm ls vite

নিয়ম Nexy অনুসরণ করে

• এর জন্য হোস্ট হেডারকে কখনই বিশ্বাস করবেন না পথ নেক্সি তার নিজস্ব মিডলওয়্যারে (ডিরেক্টরি মিডলওয়্যার) পড়ে scope["path"], request.url.path নয়। আপনার মধ্যে একই কাজ.
• যা পৌঁছায় তা এড়িয়ে যান এইচটিএমএল ক্লায়েন্ট উপাদান, Link অ্যাট্রিবিউট, Image, Audio এবং Video অ্যাট্রিবিউট, টেবিল-অফ-কন্টেন্ট অ্যাঙ্কর এবং HTTPException বিশদ বিবরণগুলি সবই HTML-এস্কেপড। একটি .nexy টেমপ্লেট নিজে থেকে এড়িয়ে যায় না: ভিজিটর বা ডাটাবেস থেকে আসা যেকোনো মানের জন্য {{ value | e }} লিখুন এবং ব্যবহারকারীর ইনপুটে কখনোই | safe লিখুন না।
• ডেভেলপার এন্ডপয়েন্ট শুধুমাত্র লুপব্যাক এবং সংকীর্ণ ডেভ রেন্ডার এন্ডপয়েন্ট (/__nexy__/render) শুধুমাত্র src/routes/ এর অধীনে একটি .tsx বা .jsx এক্সটেনশন সহ ফাইল গ্রহণ করে এবং শুধুমাত্র ডেভ সার্ভারের মাধ্যমেই পৌঁছানো যায়, যা বিদেশী Host শিরোনামগুলিকে প্রত্যাখ্যান করে।
• ত্রুটি বিবরণ না ফুটো একটি ত্রুটি পৃষ্ঠা যা নিজেই ব্যর্থ হয় শুধুমাত্র স্থিতি কোড দেখায়।
• উত্পাদন উত্তর নিরাপদ বহন হেডার X-Content-Type-Options: nosniff এবং Referrer-Policy: strict-origin-when-cross-origin, যদি না আপনার কোড তার নিজস্ব সেট করে। Server হেডার পাঠানো হয় না। আপনার প্রক্সি বা মিডলওয়্যারে Strict-Transport-Security এবং একটি Content-Security-Policy যোগ করুন: তারা আপনার ডোমেনের উপর নির্ভর করে।
• একটি ক্র্যাশ একটি রেফারেন্স দেখায়, ত্রুটি নয়। দেখুন ত্রুটি পৃষ্ঠাগুলি
• Nexy's Python এ না eval এবং না shell=True কোড বহিরাগত প্রোগ্রাম একটি আর্গুমেন্ট তালিকার সাথে সঞ্চালিত হয়.

অডিট চলমান

python scripts/audit_dependencies.py        # Python dependencies against the locknpm audit                                    # in a scaffolded projectuv run bandit -r nexy -c .bandit             # static analysis of Nexy itself

Nexy এর নিজস্ব সংগ্রহস্থল তার চেকগুলিতে প্রথম এবং তৃতীয়টি চালায়। উপরে একটি মেঝেতে একটি নতুন উপদেশ pyproject.toml বা স্ক্যাফোল্ডে package.json মেঝে উত্থাপনের মাধ্যমে পরিচালনা করা হয়, তারপর তালাটি পুনরুত্পাদন করা হয়।

নিরাপদে মোতায়েন করা হচ্ছে

• আপনার ডোমেনে useTrustedHost সেট করুন: এটি যেকোনো রুটের আগে অপ্রত্যাশিত Host শিরোনাম প্রত্যাখ্যান করে।
• Vite dev সার্ভারটি প্রকাশ করবেন না: nx dev এটিকে নেক্সি মূলের পিছনে লুপব্যাকে রাখে।
• API স্কিমা সর্বজনীন না হলে useDocs = False সেট করুন।

মিডলওয়্যার এবং নিরাপত্তা দেখুন।

সূত্র

• CVE-2026-48710 (BadHost) Starlette এ
• Vite উপদেষ্টা GHSA-fx2h-pf6j-xcff এবং GHSA-v2wj-q39q-566r
• Jinja2 CVE-2025-27516
• React সার্ভার প্যাকেজ CVE-2026-44907

পরবর্তী পদক্ষেপ

• মিডলওয়্যার এবং নিরাপত্তা
• স্থাপন
• কনফিগারেশন

পাতাটি Markdown হিসেবে কপি করুন GitHub-এ সম্পাদনা করুন