Next.js 用 Server Components 直连数据库:去掉 API 层的边界,和三条别踩的安全红线写惯了 React + REST 的人第一次看 Next.js App Router 会懵:组件里直接 await db.query(...)?那我的 /api/users 路由呢?说好的前后端分离呢?其实 Server Components 允许你在组件里直接查数据库,省掉一整层 API,但这不是「随便写」——用错了会把数据库连接、密钥甚至整张表都泄露到浏览器。这篇讲清楚边界在哪,以及三条不能碰的红线。