用 Cursor 做的 Next.js 文档站点，全文搜索 + 暗色模式

安全方面做了：密码 bcrypt 哈希、API 限流（认证 5 次/15min，通用 60 次/min）、CORS 只允许主域、禁止 dangerouslySetInnerHTML、环境变量分离 NEXT_PUBLIC_ 和服务端变量。XSS 和 SQL 注入 Prisma 天然防护。

认证系统踩了不少坑。Auth.js 5 beta 的 JWT callback 必须处理 trigger === 'update'，否则用户修改资料后 session 不刷新。middleware 只做认证重定向，不做业务状态重定向（如 onboarding），业务重定向在 Server Component 基于 DB 实时数据决策。

数据可视化用 Recharts 做图表，折线图/柱状图/饼图都有。关键：图表组件用 next/dynamic 懒加载（ssr:false），因为 Recharts 依赖浏览器 API。数据获取在 Server Component 完成，通过 props 传给 Client Component 的图表组件。

最有成就感的是 Core Web Vitals 全绿。LCP 优化用了 next/image + priority + next/font，INP 优化拆分了长任务用 requestIdleCallback，CLS 优化给所有图片设了 width/height。移动端测试用 PageSpeed Insights，持续监控用 Vercel Speed Insights。

数据库设计用了 Prisma + PostgreSQL，所有 DateTime 字段都加了 @db.Timestamptz。软删除用 deletedAt 字段，查询时自动过滤。索引方面，所有查询条件字段都加了 @@index，外键关系加了级联删除。迁移用 prisma migrate dev，生产用 prisma migrate deploy。