React2Shell：受影响范围、补丁与排查顺序
说明 React2Shell（CVE-2025-55182）的 RSC 影响范围，如何核对依赖、升级受支持补丁线，以及用运行日志辅助事件排查。
React2Shell 是 React Server Components 中的未认证远程代码执行漏洞。风险判断要看是否使用受影响的 RSC 包与版本，而不是只看项目里有没有 React。
先核对实际依赖
检查框架、锁文件和部署产物中的 react-server-dom-webpack、react-server-dom-parcel 或 react-server-dom-turbopack，并按 React 与框架官方公告判断。只运行客户端 React、没有支持 RSC 的服务端组件链路时，不属于同一影响范围。
npm ls react next react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack
这条命令帮助盘点显式依赖，不能证明框架内嵌依赖或已经部署的旧镜像安全。
升级与重新部署
在当前受支持的框架版本线上选择已修复的补丁，更新锁文件、重建镜像并确认所有实例已经替换。不要无条件执行大版本升级来代替兼容性验证。后续还出现了 DoS 与源码暴露修复，不能停留在最初的 RCE 补丁。
用观测数据辅助排查
观测云可集中查询已采集的请求错误、服务日志和容器状态，帮助缩小异常时间窗口。进程 CPU 或外联异常本身不能证明入侵，普通进程采集也不等于完整的执行与文件审计；需要结合安全审计数据和事件响应流程。补丁与受影响凭据处置不能由监控替代。
