Sentry-Javascript: Omisión de middleware al utilizar la ruta de túnel

Impacto

La opción tunnelRoute hace que el SDK envíe eventos del navegador a una ruta en su propio servidor Next.js (por ejemplo /monitoring), donde una reescritura los reenvía a Sentry para evitar que los bloqueadores de anuncios los bloqueen. Para evitar que el middleware rechace estas solicitudes de envelopes, el SDK omite el middleware para ellas.

La omisión del middleware era más amplia que la reescritura. La reescritura solo atiende solicitudes a la ruta de túnel en sí con los parámetros o y p establecidos. La omisión se aplicaba a cualquier elemento bajo la ruta de túnel. Las solicitudes en ese espacio intermedio se dirigen a su aplicación en lugar de a Sentry, y el middleware nunca se ejecuta sobre ellas.

Omitir el middleware no otorga privilegios adicionales a la solicitud. Las rutas que verifican la sesión en el lado del servidor siguen estando protegidas.

Usted solo se ve afectado si se cumplen todas las siguientes condiciones:

1. tunnelRoute está configurado (una ruta de cadena o true),
2. su aplicación se compila con webpack (las compilaciones con Turbopack no se ven afectadas),
3. alguna ruta de su aplicación se resuelve bajo la ruta de túnel. Esto podría ser una colisión directa (/monitoring/foo con tunnelRoute: '/monitoring') o un segmento dinámico en la raíz de la ruta (app/[locale]/…), que coincide con cualquier primer segmento de ruta, y
4. su middleware es el único lugar donde se aplica la autorización para esas rutas.

Los servicios propios de Sentry y los datos en su organización de Sentry no se ven afectados.

Parches

Corregido en 9.47.2, 10.75.2 y 11.0.0-rc.1. La omisión ahora solo coincide con las solicitudes que la reescritura de túnel realmente atiende. No se requiere ningún cambio de configuración.

Mitigaciones alternativas

• Establezca tunnelRoute en una ruta bajo la cual ninguna ruta de su aplicación pueda resolverse, o elimine la opción.
• Compile con Turbopack (predeterminado para next build a partir de Next.js 16).
• Aplique la autorización en la ruta, en el diseño (layout) o en la vía de acceso a datos, además de en el middleware.