用 Cursor 做的 Next.js 数据可视化面板，Recharts 实战

安全方面做了：密码 bcrypt 哈希、API 限流（认证 5 次/15min，通用 60 次/min）、CORS 只允许主域、禁止 dangerouslySetInnerHTML、环境变量分离 NEXT_PUBLIC_ 和服务端变量。XSS 和 SQL 注入 Prisma 天然防护。

认证系统踩了不少坑。Auth.js 5 beta 的 JWT callback 必须处理 trigger === 'update'，否则用户修改资料后 session 不刷新。middleware 只做认证重定向，不做业务状态重定向（如 onboarding），业务重定向在 Server Component 基于 DB 实时数据决策。

最得意的功能是实时协作，用 Yjs + WebSocket 实现多人同时编辑。Yjs 处理 CRDT 数据同步，WebSocket 做实时通信，离线编辑用 IndexedDB 缓存。Next.js 的 API 路由做 WebSocket 中继服务器，部署在 Vercel 的 Edge Runtime 上。

数据库设计用了 Prisma + PostgreSQL，所有 DateTime 字段都加了 @db.Timestamptz。软删除用 deletedAt 字段，查询时自动过滤。索引方面，所有查询条件字段都加了 @@index，外键关系加了级联删除。迁移用 prisma migrate dev，生产用 prisma migrate deploy。

技术架构上，Server Component 做数据获取和 SEO 输出，Client Component 只负责交互。用 Server Action 处理表单提交，Zod 校验输入，错误消息走 next-intl i18n。认证用 Auth.js 5 JWT 模式，中间件做认证重定向和 API 限流。