React Server Components：DoS 与源码暴露修复检查
梳理 RSC 的 DoS 与源码暴露公告，区分最初补丁和后续修复，说明依赖检查、回归测试与线上观察的重点。
React 对 RSC 的安全修复经历了多次补充。只确认已经修复 React2Shell，并不代表同时解决后续的拒绝服务和源码暴露问题。
两类风险要分开判断
DoS 可能造成服务器卡死、内存耗尽或过高 CPU；源码暴露涉及符合特定条件的 Server Function，不应描述成任意服务端源码全部泄漏。是否受影响仍取决于 RSC 包、版本、框架以及应用代码。
检查后续补丁
React 2026 年 1 月 26 日更新的公告说明，早期的 19.0.3、19.1.4、19.2.3 修复不完整，并列出了后续修复版本 19.0.4、19.1.5、19.2.4。这是该次公告的修复范围，不是永久有效的安全版本清单；实际升级应继续核对当前受支持版本与框架公告。
验证升级结果
更新锁文件后重新构建，验证服务端渲染、表单提交、错误边界和核心业务，再检查部署实例实际使用的镜像。保留升级前后相同流量窗口的错误率、内存与响应延迟，避免将正常流量变化误判为补丁回归。
观测云中的 APM、应用日志和资源指标可辅助这个对照，但需要分别完成采集配置；告警是症状检测，不是漏洞扫描或补丁证明。
接入文档：Node.js APM · 监控器。
