来源：https://github.com/datawhalechina/vibe-vibe
本节目标：理解为什么前端隐藏入口不等于安全，学会用 Middleware 和权限控制守住每一个路由。
💡 本节核心要点
- 前端隐藏入口不是安全措施，真正的保护在服务端
- Middleware 是 Next.js 的统一拦截层，用
matcher 指定保护范围
- 页面保护和接口保护缺一不可
- CORS 是浏览器的安全机制，同项目内通常不需要配置
- 角色权限从简单的 admin/user 开始，需要时再扩展
ℹ️ 下一步
路由守住了，接下来去 安全检查与问题排查——一份开发各阶段的安全清单，以及遇到问题时的快速排查手册。
