// docs / security guides / v0 checklist

v0 security checklist: 22 items for Next.js

v0 generates React + Tailwind + shadcn/ui components and full Next.js apps for Vercel. This checklist targets v0-specific risks: design iterations that re-add dangerouslySetInnerHTML, exported codebases that lose middleware, Server Actions that skip auth verification, and environment variables that have to be set again once the code lives in your own repo. 22 items across secrets, database, auth, headers, deployment, and v0-specific gotchas.

PRE = pre-deploy (audit your source). DEPLOY = at deploy time. POST = post-deploy verification.

Geheimnisse und API Schlüssel (4 Artikel)

v0 verarbeitet Umgebungsvariablen im Editor gut, exportierte Repos erben diese Struktur jedoch nicht.

PRE — After exporting, audit all NEXT_PUBLIC_ vars in the exported .env. Alles mit dem Präfix NEXT_PUBLIC_ ist im Client-Paket enthalten. Bestätigen Sie, dass sie sicher sind (API Endpunkte, nur anonyme Schlüssel, niemals Servicerollen).
PRE — Verify .env.local (or .env.*.local) is in .gitignore. Wenn Sie von v0 exportieren, sollte das exportierte Repo .env*.local in .gitignore haben. Überprüfen Sie dies.
Der exportierte Code von PRE — Check that v0 didn't hardcode Stripe / Anthropic / OpenAI test keys. v0 enthält manchmal sk_test_* oder pk_test_* Schlüssel, die in Komponenten fest codiert sind. Vor der Bereitstellung in der Produktion durch Umgebungsvariablen ersetzen.
POST — Run Secrets in JavaScript Bundles on the deployed Vercel Preview. Wenn ein Schlüssel das Bundle erreicht hat, wird er beim Scan gefunden.

Datenbankzugriffskontrolle (3 Artikel)

Der Datenabruf von v0 erfolgt normalerweise über Next.js Serveraktionen. Die Datenbankverbindung selbst ist serverseitig, RLS-Richtlinien müssen jedoch explizit sein.

PRE — If using Supabase, enable RLS on every public table. v0 doesn't generate RLS by default. Add ENABLE ROW LEVEL SECURITY to every CREATE TABLE migration.
PRE — Write explicit RLS policies per table and role. Jede Richtlinie muss den Benutzerbesitz über auth.uid() validieren.
POST — Run the Supabase Row-Level Security active check on a verified domain. Die Prüfung bestätigt die Durchsetzung von RLS.

Authentifizierung und Sitzungen (4 Elemente)

v0 unterstützt die Authentifizierung, erzwingt jedoch nicht automatisch die serverseitige Überprüfung.

PRE — Ensure Server Actions use getUser(), not getSession(). Ersetzen Sie alle getSession() in Serveraktionsfunktionen durch await supabase.auth.getUser().
PRE — Verify that magic-link tokens have server-enforced expiry. Standardmäßig ist Supabase 1 Stunde. Wenn der generierte Code von v0 ihn überschreibt, kehren Sie zur Standardeinstellung zurück.
PRE — Check the sign-in redirect guard. Der Parameter next muss mit / beginnen, niemals mit //. v0 enthält dies normalerweise, aber überprüfen Sie es.
POST — Test logout clears the session. Anmelden, abmelden, Cookies überprüfen (DevTools → Anwendung → Cookies). Das Sitzungscookie muss gelöscht werden.

HTTP Header und CSP (3 Elemente)

Die exportierten Apps von v0 benötigen Middleware für CSP. Das interne CSP des Herausgebers wird nicht übernommen.

PRE — Create src/middleware.ts with CSP if it doesn't exist. v0 exportiert manchmal ohne Middleware. Wenn es fehlt, generieren Sie es mit einem Nonce-basierten CSP.
PRE — Verify CSP includes 'strict-dynamic' and a per-request nonce. v0s CSP im Editor ist sicher, aber die exportierte Version ist möglicherweise unvollständig.
POST — Run HTTP Security Headers on a Vercel Preview. Der Scan meldet fehlende Header und Korrekturanleitungen.

Einsatzhygiene (5 Artikel)

v0 wird in Ihr GitHub-Repository exportiert und Sie stellen es auf Vercel bereit. Die Einrichtung der Umgebung liegt in Ihrer Verantwortung.

DEPLOY — Verify .env.local is in .gitignore in the exported repo. Führen Sie zur Überprüfung git ls-files .env* aus.
DEPLOY — Set production env vars in Vercel Settings → Environment Variables. Bereich jeweils nur auf ProReduzierung. Teilen Sie sk_live_* niemals mit der Vorschau.
DEPLOY — Audit Vercel build logs for secret echo. Stellen Sie sicher, dass Ihr Build-Befehl kein echo $SECRET oder ein gleichwertiges Element enthält.
DEPLOY — Confirm Vercel Preview redeploys work correctly. Jede Vorschaubereitstellung sollte eine neue CSP Nonce generieren.
POST — Rotate any test key that reached production. Sogar sk_test_* Schlüssel sollten nach der Produktionsbelichtung gedreht werden.

v0-spezifische Fallstricke (3 Artikel)

Einzigartige Muster für den Editor-zu-Repo-Export von v0:

dangerouslySetInnerHTML can come back during design iterations. Review each exported version and replace any occurrences with sanitized alternatives (like react-markdown with remark).
Im src/middleware.ts-Export von Exported middleware is sometimes incomplete. v0 fehlen möglicherweise CSP oder HSTS. Stellen Sie vor der Bereitstellung sicher, dass es vollständig ist.
Server Actions don't automatically verify auth. v0 generiert Serveraktionen ohne integrierte Authentifizierungsprüfungen. Fügen Sie const { user } = await supabase.auth.getUser() manuell zu jeder zustandsändernden Serveraktion hinzu.

Nächste Schritte

Überprüfen Sie das general vibe coding security checklist auf 51 werkzeugübergreifende Elemente. Sehen Sie sich dann step-by-step hardening an, um tiefergehende Muster zu CSP, RLS und der Serveraktionssicherheit zu finden.