Ações do servidor no React 19 e no Next.js

Ações do servidor são funções assíncronas executadas no servidor, não no navegador. Elas são marcadas com a diretiva 'use server', colocada no início do arquivo ou no início do corpo da função, indicando à estrutura de aplicação que essa função nunca deve ser executada no lado do cliente.

Como as Ações do servidor são executadas no servidor, elas têm acesso ao contexto completo do servidor: conexões com o banco de dados, segredos do ambiente, dados da sessão e recursos do sistema de arquivos. Isso é fundamentalmente diferente dos componentes do cliente, que só podem acessar o que o navegador disponibiliza.

Quando um componente do cliente chama uma Ação do servidor, o Next.js faz automaticamente uma solicitação HTTP POST para um endpoint RSC especial. O framework cuida de toda a serialização dos argumentos e da camada de transporte, portanto você nunca precisa escrever manualmente chamadas para buscar dados nessas mutações.

As Ações do servidor substituem a necessidade de rotas de API em muitos cenários de mutação. A própria ação é o ponto de acesso: você define a lógica uma única vez como uma função do servidor e a chama diretamente do componente do cliente, como se fosse uma função local.

As Ações do servidor eram inicialmente um conceito específico do Next.js, mas o React 19 as eleva a um recurso de primeira classe do React. Isso significa que empacotadores e frameworks diferentes do Next.js podem implementar o mesmo padrão seguindo a especificação do React.

As Ações do servidor são experimentais no React 19 RC, mas estão estáveis no Roteador de aplicações do Next.js 14 ou posterior desde sua introdução. Se você estiver desenvolvendo hoje uma aplicação de produção com o Roteador de aplicações do Next.js, as Ações do servidor são um padrão totalmente compatível e recomendado.

Uma das propriedades de segurança mais importantes das Ações do servidor é que os segredos nunca chegam ao navegador. Variáveis de ambiente, como senhas de banco de dados e chaves de API usadas dentro de uma Ação do servidor, nunca são incluídas no pacote do cliente, porque o corpo da função nunca é enviado ao navegador.

Elementos de formulário HTML aceitam diretamente uma Ação do servidor por meio do atributo action: <form action={myServerAction}>. O React intercepta o envio do formulário e chama a Ação do servidor com os dados do formulário, permitindo uma mutação no servidor sem qualquer código auxiliar de JavaScript no cliente.

Quando uma Ação do servidor é acionada, o React serializa os argumentos da ação no corpo de uma solicitação POST. O servidor os desserializa, executa a função, serializa o valor retornado e o envia de volta. Somente valores serializáveis (strings, números, matrizes e objetos simples) podem atravessar essa fronteira.

Você pode definir uma Ação do servidor no nível do módulo, em um arquivo que tenha 'use server' no início, ou diretamente dentro de um componente do servidor, colocando 'use server' no início da função assíncrona. As duas abordagens produzem o mesmo resultado: uma função chamável apenas no servidor.

Os componentes do cliente importam e chamam Ações do servidor assim como funções assíncronas comuns. A sintaxe da chamada é idêntica à de uma chamada de função assíncrona local, mas a execução ocorre inteiramente no servidor. Essa abstração mantém os componentes do cliente limpos e livres de código repetitivo para buscar dados.

Qual das opções a seguir descreve melhor o modelo de segurança das Ações do servidor?

As Ações do servidor são funções assíncronas executadas no servidor e marcadas com 'use server'. Elas têm acesso ao contexto do servidor, como conexões com o banco de dados e segredos do ambiente. O Next.js cuida automaticamente do transporte HTTP, e o React 19 as transforma em um recurso independente de framework. Os formulários podem usá-las diretamente por meio do atributo action, e os segredos dentro delas nunca chegam ao navegador.