// docs / security guides / v0 checklist

v0 security checklist: 22 items for Next.js

v0 generates React + Tailwind + shadcn/ui components and full Next.js apps for Vercel. This checklist targets v0-specific risks: design iterations that re-add dangerouslySetInnerHTML, exported codebases that lose middleware, Server Actions that skip auth verification, and environment variables that have to be set again once the code lives in your own repo. 22 items across secrets, database, auth, headers, deployment, and v0-specific gotchas.

PRE = pre-deploy (audit your source). DEPLOY = at deploy time. POST = post-deploy verification.

Segreti e chiavi API (4 articoli)

v0 gestisce bene le variabili env nell'editor ma i repository esportati non ereditano quella struttura.

PRE — After exporting, audit all NEXT_PUBLIC_ vars in the exported .env. Tutto ciò che ha il prefisso NEXT_PUBLIC_ viene fornito nel pacchetto client. Conferma che siano sicuri (API endpoint, solo chiavi anon, mai ruoli di servizio).
PRE — Verify .env.local (or .env.*.local) is in .gitignore. Quando esporti da v0, il repository esportato dovrebbe avere .env*.local in .gitignore. Verifica questo.
Il codice esportato di PRE — Check that v0 didn't hardcode Stripe / Anthropic / OpenAI test keys. v0 a volte include le chiavi sk_test_* o pk_test_* codificate nei componenti. Sostituisci con env vars prima della distribuzione in produzione.
POST — Run Secrets in JavaScript Bundles on the deployed Vercel Preview. Se una chiave ha raggiunto il pacchetto, la scansione la trova.

Controllo dell'accesso al database (3 articoli)

Il recupero dei dati di v0 di solito viene instradato attraverso le azioni del server Next.js. La connessione al database stessa è lato server, ma le policy RLS devono essere esplicite.

PRE — If using Supabase, enable RLS on every public table. v0 doesn't generate RLS by default. Add ENABLE ROW LEVEL SECURITY to every CREATE TABLE migration.
PRE — Write explicit RLS policies per table and role. Ogni policy deve convalidare la proprietà dell'utente tramite auth.uid().
POST — Run the Supabase Row-Level Security active check on a verified domain. Il controllo conferma l'applicazione RLS.

Autenticazione e sessioni (4 articoli)

v0 supporta l'autenticazione ma non applica automaticamente la verifica lato server.

PRE — Ensure Server Actions use getUser(), not getSession(). Sostituisci qualsiasi getSession() nelle funzioni Azione server con await supabase.auth.getUser().
PRE — Verify that magic-link tokens have server-enforced expiry. L'impostazione predefinita Supabase è 1 ora. Se il codice generato da v0 lo sovrascrive, ripristina l'impostazione predefinita.
PRE — Check the sign-in redirect guard. Il parametro next deve iniziare con /, mai //. v0 di solito lo include, ma verifica.
POST — Test logout clears the session. Accedi, esci, controlla i cookie (DevTools → Applicazione → Cookie). Il cookie di sessione deve essere cancellato.

HTTP intestazioni e CSP (3 elementi)

Le app esportate da v0 necessitano di middleware per CSP. Il CSP interno dell'editor non viene trasferito.

PRE — Create src/middleware.ts with CSP if it doesn't exist. v0 a volte esporta senza middleware. Se mancante, generalo con un CSP basato su nonce.
PRE — Verify CSP includes 'strict-dynamic' and a per-request nonce. CSP di v0 nell'editor è sicuro ma la versione esportata potrebbe essere incompleta.
POST — Run HTTP Security Headers on a Vercel Preview. La scansione segnala intestazioni mancanti e corregge le indicazioni.

Igiene della distribuzione (5 articoli)

v0 esporta nel tuo repository GitHub e tu lo distribuisci in Vercel. La configurazione dell'ambiente è una tua responsabilità.

DEPLOY — Verify .env.local is in .gitignore in the exported repo. Esegui git ls-files .env* per controllare.
DEPLOY — Set production env vars in Vercel Settings → Environment Variables. Ambito ciascuno solo a Produzione. Non condividere mai sk_live_* con Anteprima.
DEPLOY — Audit Vercel build logs for secret echo. Controlla che nel comando build non sia presente echo $SECRET o equivalente.
DEPLOY — Confirm Vercel Preview redeploys work correctly. Ogni distribuzione di anteprima dovrebbe generare un nuovo CSP nonce.
POST — Rotate any test key that reached production. Anche i tasti sk_test_* devono essere ruotati dopo l'esposizione in produzione.

Trucchi specifici della v0 (3 articoli)

Modelli unici per l'esportazione dall'editor al repository di v0:

dangerouslySetInnerHTML can come back during design iterations. Review each exported version and replace any occurrences with sanitized alternatives (like react-markdown with remark).
L'esportazione src/middleware.ts di Exported middleware is sometimes incomplete. v0 potrebbe mancare di CSP o HSTS. Verificare che sia completo prima della distribuzione.
Server Actions don't automatically verify auth. v0 genera azioni server senza controlli di autenticazione integrati. Aggiungi manualmente const { user } = await supabase.auth.getUser() a ogni azione del server che cambia stato.

Prossimi passi

Controlla general vibe coding security checklist per 51 elementi cross-tool. Quindi rivedi step-by-step hardening per modelli più approfonditi su CSP, RLS e sulla sicurezza di Server Action.