x-middleware-subrequest 中的一个缺陷，该标头负责处理 Next.js 中的内部请求，允许攻击者绕过 Next.js 15.0.0 中的授权中间件，从而访问受保护的路由，例如在一个 Web 应用中，存在 /dashboard 路由，只有登录用户才能访问，但是，如果我们使用标头 x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware 发起请求，则可以在无需身份验证的情况下访问该路由
