Nuxt CSP·캐시·Vite Rolldown 변경점 | Three-Day Nuxt Security, Cache and Vite Rolldown Watch

요약: 이번 72시간 Nuxt/Vite 프론트엔드 생태계의 신호는 새 안정 버전의 대규모 출하가 아니라, Nuxt SSR 보안·개발 경로·빌드 캐시의 정밀 보정과 Vite의 Rolldown 의존성 정렬이다. 모두 main 브랜치의 미출시 변경이므로 즉시 운영 반영 대상이 아니라, 다음 정식 릴리즈를 대비한 스테이징 검증 항목으로 다뤄야 한다.

핵심 답변: Nuxt/Vite 개발자가 지금 할 일은?

답: strict CSP와 스트리밍 SSR을 함께 쓰는 Nuxt 서비스는 nonce가 포함된 페이지를 스테이징에서 재검증하고, experimental build cache를 쓰는 팀은 무시(ignored) 파일 변경 시 캐시 hit/miss를 측정하라. Vite 사용 팀은 현 안정판 Vite 8.2.1을 기준선으로 유지한 뒤, Rolldown 계열 main 변경이 정식 릴리즈에 들어올 때 잠금 파일·플러그인·소스맵을 묶어 검증하는 편이 안전하다.

리포트 범위: 2026년 8월 15일~18일 KST에 공개적으로 확인된 Nuxt, Vite, Nitro 주변 저장소 활동을 검토했다. 이 기간 Nuxt/Vite의 새 안정 릴리즈는 확인하지 못했으며, 아래의 커밋은 모두 배포 가능한 릴리즈가 아닌 미출시 main 개발으로 구분한다.

3일 결론

보안: Nuxt main은 스트리밍 렌더링에서 CSP nonce 속성을 정확히 찾아 쓰도록 보정했다. 보안 헤더를 강화한 SSR 서비스에 직접 관련된 변화다.
성능·재현성: build cache의 ignore 판정과 import preset 복제가 다듬어져, 대형 모노레포·자동 import 설정에서 불필요한 캐시 무효화와 설정 값 손실 위험을 줄이는 방향이다.
개발 경험: webpack 개발 모드의 절대 파일 URL 해석이 수정됐고, Vite main은 Rolldown 1.2.4 및 관련 도구 버전을 추적 중이다.
운영 판단: 이들은 릴리즈 노트가 아니라 upstream 변경이다. 프로덕션 업그레이드 근거로 쓰지 말고, 다음 stable 태그의 포함 여부와 회귀 테스트를 기다려야 한다.

흐름 1 — Nuxt 스트리밍 SSR의 CSP nonce 처리: 보안 정책은 ‘정확한 매칭’이 핵심

확인된 사실

Nuxt main의 8월 16일 커밋은 스트리밍 렌더러가 head의 script 태그에서 nonce 속성을 추출할 때, 유효한 base64 형식의 nonce를 정확히 매칭하는 유틸리티와 테스트를 추가했다. 커밋 자체는 fix(nitro): match exact nonce attribute for streaming CSP nonce로 명시되어 있다.

시사점

nonce 기반 CSP는 인라인 스크립트 허용을 최소 권한으로 제어하는 패턴이다. 스트리밍 SSR·island·head 관리처럼 HTML 조각이 여러 단계에서 조립되는 경로에서는 nonce를 잘못 찾거나 누락하면 클라이언트 부팅 실패 또는 보안 정책 무력화로 이어질 수 있다. 다만 이것은 미출시 main 변경이므로, 현재 서비스의 문제 해결을 보장하는 릴리즈 노트가 아니다. 다음 Nuxt 정식 태그에서 포함 여부를 확인하고 스테이징에서 검증해야 한다.

흐름 2 — 캐시와 자동 import 설정의 ‘경로·값 보존’ 보정

빌드 캐시: 무시 파일의 변경이 캐시를 흔들지 않도록

Nuxt main의 8월 16일 커밋은 build cache가 파일을 재귀적으로 읽을 때 ignore 검사에 절대 경로를 넘기도록 고쳤고, ignored 파일만 바뀌었을 때 캐시가 유지되는 테스트를 추가했다. 이는 experimental buildCache를 이용하는 프로젝트, 특히 생성물·로컬 설정·대형 워크스페이스가 섞인 CI에서 의미가 있다.

실무 해석: 캐시의 목적은 빠름만이 아니라 동일 입력에 대한 재현성이다. ignore 규칙이 상대/절대 경로의 차이로 빗나가면 캐시 miss가 늘거나 반대로 필요한 무효화가 빠질 수 있다. 이 수정도 미출시이므로, 현행 버전에서 cache 동작이 달라질 것이라고 단정하지 말고 팀의 ignore 패턴과 빌드 로그를 먼저 기록해 두는 것이 좋다.

자동 import preset: RegExp와 함수 값까지 보존

같은 기간 Nuxt main 커밋은 import preset을 복제할 때 RegExp와 함수 값을 보존하도록 복제 방식을 바꾸고 회귀 테스트를 확장했다. 커스텀 preset 또는 모듈이 단순 JSON 값 이상을 설정에 담는 경우에 특히 관련된다.

개발자 판단: 자동 import 오류가 설정 병합 뒤에만 재현된다면 preset을 축소한 테스트 케이스로 분리해 두자. 정식 릴리즈 전까지는 lockfile을 고정하고, main을 의존성으로 직접 끌어오는 방식으로 운영 환경을 바꾸지 않는 편이 낫다.

흐름 3 — 개발 서버 파일 URL과 Vite/Rolldown 정렬

Nuxt webpack 개발 모드

8월 17일 Nuxt main 커밋은 webpack 개발 모드에서 절대 경로를 Node의 file:// URL로 바꾸어 해석하도록 수정했다. upstream 이슈를 해결하는 개발 경로 보정이며, 배포 결과물의 범용 성능 개선을 뜻하지는 않는다. 로컬 개발에서 절대 파일 경로를 참조하는 모듈·별칭·레이어가 있다면 다음 릴리즈 후보에서 재현 테스트를 준비할 만하다.

Vite main의 Rolldown 관련 업데이트

Vite의 8월 17일 main 커밋은 Vite 및 플레이그라운드의 Rolldown 의존성을 1.2.1에서 1.2.4로, 관련 rolldown-plugin-dts와 Oxc 계열 도구도 함께 올렸다. 또 별도 main 변경에서 잠금 파일의 nanoid 항목도 갱신됐다. 이것은 생태계 내부 통합 추세를 보여 주지만, 사용자 프로젝트에 즉시 도입할 새 Vite 릴리즈는 아니다.

현재 공식 최신 안정 릴리즈는 Vite 8.2.1이며, Nuxt의 최신 안정 태그는 Nuxt 4.5.2다. 릴리즈 날짜가 이번 72시간 창 밖이라는 점을 분명히 하고, 운영 기준선은 이처럼 확인 가능한 stable 태그로 잡아야 한다.

프론트엔드 개발자 체크리스트

CSP: Content-Security-Policy가 nonce를 요구하는 SSR 페이지에서 초기 HTML, 스트리밍 응답, island hydration 뒤의 script nonce를 브라우저 콘솔과 응답 헤더로 함께 확인한다.
캐시: Nuxt experimental buildCache 사용 여부, ignore 대상, CI cache key, ignored 파일 수정 뒤의 hit/miss를 한 번의 재현 가능한 파이프라인으로 기록한다.
자동 import: RegExp·함수형 resolver를 넣은 custom preset/module이 있으면 build와 typecheck를 분리 실행해 회귀 기준을 만든다.
Vite/Rolldown: 다음 stable 업데이트 전에는 production lockfile을 유지한다. 업데이트 후보는 staging에서 build 시간, sourcemap, CSS 처리, 주요 플러그인, SSR 번들을 함께 비교한다.
릴리즈 관리: main 커밋은 ‘관찰’, stable release와 공식 changelog는 ‘적용 판단’으로 역할을 분리한다.

짧은 Q&A

지금 Nuxt나 Vite를 바로 올려야 하나?

아니다. 이번 핵심 근거는 main 브랜치 커밋이다. 현재 운영 버전을 자동으로 바꾸지 말고, 다음 정식 릴리즈의 릴리즈 노트와 해당 커밋 포함 여부를 확인한 뒤 staging에서 업그레이드하라.

누가 가장 먼저 점검해야 하나?

nonce 기반 strict CSP와 스트리밍 SSR을 조합한 Nuxt 서비스, experimental buildCache를 쓰는 모노레포, 절대 경로 모듈을 webpack 개발 모드에서 다루는 팀이 우선순위다.

이번 3일의 한 문장 전망은?

확정된 사실은 upstream이 SSR 보안·캐시 정확성·번들러 통합의 모서리를 다듬고 있다는 점이다. 향후 정식 릴리즈의 범위와 영향은 아직 확정되지 않았으므로, 성능·보안 개선을 이미 출하된 기능처럼 해석해서는 안 된다.

주요 출처

더 깊게 읽기: 실전 가이드

이 리포트는 최근 흐름을 빠르게 파악하기 위한 요약입니다. 실제 프로젝트에 적용할 때는 아래의 기준 글과 함께 확인하면 더 안전합니다.