Sentry-Javascript: Umgehung der Middleware bei Verwendung der Tunnel-Route

Auswirkung

Die Option tunnelRoute veranlasst das SDK, Browser-Ereignisse an einen Pfad auf Ihrem eigenen Next.js-Server zu senden (z. B. /monitoring), wo ein Rewrite diese an Sentry weiterleitet, um eine Blockierung durch Ad-Blocker zu verhindern. Damit diese Envelope-Anfragen nicht von Ihrer Middleware abgewiesen werden, überspringt das SDK die Middleware für sie.

Dieses Überspringen der Middleware war weiter gefasst als das Rewrite selbst. Das Rewrite bedient ausschließlich Anfragen an den Tunnel-Pfad selbst, bei denen die Parameter o und p gesetzt sind. Die Ausnahme für die Middleware griff hingegen für alle Pfade unterhalb des Tunnel-Pfads. Anfragen, die in diese Lücke fallen, werden an Ihre Anwendung statt an Sentry weitergeleitet, ohne dass Ihre Middleware ausgeführt wird.

Das Überspringen der Middleware gewährt der Anfrage keine zusätzlichen Berechtigungen. Routen, die Sitzungen serverseitig prüfen, bleiben geschützt.

Sie sind nur betroffen, wenn alle folgenden Bedingungen erfüllt sind:

1. tunnelRoute ist gesetzt (als String-Pfad oder true),
2. Ihre Anwendung wird mit webpack gebaut (Turbopack-Builds sind nicht betroffen),
3. eine Route Ihrer Anwendung löst unterhalb des Tunnel-Pfads auf. Dies kann eine direkte Kollision sein (/monitoring/foo mit tunnelRoute: '/monitoring') oder ein dynamisches Segment an der Routenwurzel (app/[locale]/…), welches auf jedes erste Pfadsegment zutrifft, und
4. Ihre Middleware ist der einzige Ort, der die Autorisierung für diese Routen durchsetzt.

Die eigenen Dienste von Sentry sowie die Daten in Ihrer Sentry-Organisation sind nicht betroffen.

Patches

Behoben in 9.47.2, 10.75.2 und 11.0.0-rc.1. Das Überspringen der Middleware matcht nun nur noch diejenigen Anfragen, die das Tunnel-Rewrite tatsächlich bedient. Es ist keine Konfigurationsänderung erforderlich.

Workarounds

• Setzen Sie tunnelRoute auf einen Pfad, unter dem keine Route Ihrer Anwendung auflösen kann, oder entfernen Sie die Option.
• Bauen Sie mit Turbopack (Standard für next build ab Next.js 16).
• Erzwingen Sie Autorisierungsprüfungen in der Route, im Layout oder im Datenzugriffspfad und nicht ausschließlich in der Middleware.