如果你最近半年用 AI 编程工具做过网站或小程序，大概率见过这个场面：不管是在 Cursor、Claude Code 里描述需求，还是直接让 v0、Lovable 这类生成器"帮我做个某某产品"，项目脚手架一落地，十有八九是 Next.js + shadcn/ui + Tailwind 的组合——哪怕你从头到尾没提过技术栈。
这不是巧合，也没人开会投票，它就是自然长成了 AI 编程时代的"默认输出"。本周这个话题在中文开发者社区里又吵了一轮：有人说 Next.js 正在成为 Vibe Coding 时代的"通用语"，也有人反问"为什么 AI 最擅长 React/Next.js，却很少见到真正好用的 Next.js 开源大项目"。知乎知乎两边的论据都值得摆出来看看，因为这直接影响一个很现实的决定：你的下一个项目，要不要顺着 AI 的默认选择走。
先看几个这周刚发生的证据，说明这个趋势有多具体。一个名为 ai-website-cloner-template 的开源模板，玩法是"丢一个网址给 AI 编程 agent，让它自己分析页面、拆组件、还原布局，最后生成一个能跑的 Next.js 项目"，今年 3 月才创建，8 月中旬已经攒到 32.7k star、4.7k fork，还在活跃维护，模板本身就基于 Next.js 16 + shadcn/ui + Tailwind v4。微博更关键的是官方的态度：Next.js 团队在 16.3 稳定版发布前的官方预告文章里直接写道，Next.js 的增长"越来越多地由 Claude Code、Cursor、Codex 这类 agent 写出的代码驱动"，并且这个版本一口气给 AI agent 加了一整套工具——随包捆绑的 AGENTS.md 文档（里面甚至提醒 agent"这不是你训练数据里的那个 Next.js，先读文档再写代码"）、更精简的 MCP server、带 React 内省的 Agent Browser，还有帮 agent 做缓存改造的迁移 skill。Next.js官网框架官方亲自下场为 AI 编程优化，这在主流框架里基本是独一份。
为什么偏偏是 Next.js 赢了 AI 的"默认票"？
把社区里支持和分析的声音归拢一下，大概是三个原因叠加。
第一是训练语料的绝对体量。AI 写代码的首稿正确率，基本取决于它见过多少同类代码。GitHub 上 React/Next.js 的项目、教程、博客、示例数量远超其他框架，同样的需求描述，AI 在 Next.js 上往往第一次就能跑通，换个冷门框架可能要经历三五轮"报错-修正"循环。对 Vibe Coding 来说，首稿正确率就是体验的生死线。知乎
第二是全栈单仓库对 AI 上下文友好。认证、仪表盘、CRUD、API 端点如果分散在前后端两个仓库，AI 很容易顾头不顾尾。Next.js 把前后端塞进同一个项目，AI 可以连续推理，不用来回切仓库——这对"一句话生成完整功能"的场景至关重要。
第三是从生成到部署的闭环生态。v0 专为生成 Next.js + shadcn/ui 优化，Lovable、Bolt.new 默认输出同构技术栈，生成完一键部署 Vercel，从想法到上线的链路被压到最短。知乎模板市场也跟着卷：登录、支付、多语言、后台管理全打包好，AI 只需要往里填业务逻辑。
但反方的论据，同样不能不听。
最有杀伤力的一条来自知乎上一个被浏览 7.6 万次的提问："AI 最擅长写 React/Next.js，为什么却很少见到真正好用的 Next.js 开源项目？“高赞方向的回答把概念拆得很清楚：“AI 擅长写 Next.js 代码"不等于"AI 擅长构建大型 Next.js 项目”。训练语料里多的是 demo、模板和教程示例，商业级的大系统很少开源，AI 学到的其实是"局部代码生成”，不是架构设计。知乎所以 AI 能飞快地帮你堆出 CRUD 和页面，但项目一旦要长期演进，边界划分、状态治理、数据契约这些活，还是得人来兜底。
第二条是耦合与锁定。有开发者在这周的讨论里说得挺狠：“nextjs + Vercel 这套会导致前后端耦合严重，流程验证困难，这些问题要等项目上规模才会像温水煮蛙一样绑死你。”知乎还有团队干脆写了复盘文章《与 Next.js App Router 共度的岁月——为何我们选择转型》，本周末刚被国内技术账号翻译转发。微博App Router 的心智负担、缓存模型的反复重构，是这波"出走潮"最常提到的理由。
第三条是场景错位。框架横评类的文章给出的判断很直接：如果是博客、文档站、营销页这种内容型站点，Astro 这类"默认不发 JS"的方案更合适，Next.js 的全栈能力在这种场景是过剩的；Next.js 的主场仍然是需要全栈能力的 React 团队和复杂 SaaS。知乎
比争论更实际的，是三笔容易被忽略的账。
第一笔是部署的隐性坑。一位部署踩坑复盘的工程师列了三个真实案例：vercel.json 里 routes 和 headers 同时配置，导致 6 条安全头静默全部失效；next build 退出码是 0，但 file tracing 悄悄失败，部署后某条路由直接 500 加 SEO meta 全丢；一个 secret 不小心加了 NEXT_PUBLIC_ 前缀，直接被打进客户端 JS 对所有人可见。知乎这些坑的共同点是：CI 全绿、看起来一切正常，问题只在线上暴露。AI 生成的项目尤其要当心第三条——AI 不会主动替你区分哪些环境变量能暴露给浏览器。
第二笔是安全账，这笔账最近又被人翻出来了。去年底披露的 RSC 协议 RCE 漏洞（CVE-2025-55182 / CVE-2025-66478，CVSS 10.0 满分）影响使用 App Router 的 Next.js 15.x、16.x 应用（13.x 和 14.x 稳定版、Pages Router 不受影响），攻击者不需要登录、只需发一个构造好的 HTTP 请求就能远程执行代码，而且官方明确说"没有绕过方案，必须升级"。Next.js官网Next.js 官方安全公告里挂出的参考资料，是 AWS、Google Cloud、Akamai、Fastly 等一长串云厂商的响应博客，标题全都指向"正在被积极利用"。有被国内技术账号翻译引用的统计称，约 39% 的云环境里仍存在受影响的 Next.js/React 实例。TecHug这里有一个和 AI 编程直接相关的隐患：Vibe Coding 项目的典型生命周期是"快速生成、上线、然后没人维护"，版本永远停在生成那天的状态，恰好是这类漏洞最喜欢的目标。值得一提的是，Next.js 官方已经预告将在 8 月 26 日发布一次计划内的安全更新——官方提前几天发预告让团队安排升级窗口，这种操作在开源框架里相当少见，也侧面说明安全问题的优先级被拉得多高。Next.js官网
第三笔是国内落地的账。知乎上"nextjs + shadcn + prisma 为什么在国内不火"这个问题有 7.6 万次浏览，讨论指向一个很现实的结构问题：Next.js 最舒服的体验建立在 Vercel 一键部署上，但如果你的产品主要面向国内用户、需要备案，部署就得回到自建服务器或国内云，Next.js 的很多托管红利直接消失，运维复杂度重新回到自己手里。知乎这不是框架的错，但确实是选型时必须算进去的成本。
那到底要不要顺着 AI 的默认走？给三类人三个判断。
第一类：快速验证想法的 MVP、面向海外的产品、手里没有专职运维。放心跟着 AI 的默认走。Next.js + shadcn/ui + Vercel 的组合就是为你设计的，首稿正确率高、部署链路短、试错成本低。唯一要守的底线：环境变量里任何带密钥的东西，都别加 NEXT_PUBLIC_ 前缀；上线前用 curl 查一遍响应头。
第二类：打算长期运营的项目（电商、SaaS、内容平台）。可以跟，但要给自己定三条纪律——跟着官方安全节奏升级版本，别把依赖锁死在生成当天的版本；AI 生成的代码在合并前必须有人读一遍，尤其是鉴权和数据访问部分；部署后做一次真实的路由巡检，而不是只看 CI 绿灯。8 月 26 日的计划安全发布就在两天后，如果你的线上项目还在 15.x/16.x 的旧小版本上，这次升级窗口别错过。
第三类：建议别无脑跟。纯内容站点（博客、文档、营销页），先看看 Astro 这类内容优先的方案再决定，别让 AI 替你默认背一个全栈框架；面向国内、需要备案的站点，先想清楚部署在哪，再倒推技术选型，顺序反了后面全是补救成本；要做复杂业务系统的团队，记住那条被反复验证的观察——AI 擅长的是局部代码生成，架构设计这关省不掉。
最后留几个值得继续盯的信号：8 月 26 日 Next.js 计划安全发布的具体通告和修复版本清单；16.3 引入的"即时导航"（Instant Navigations）官方已说明会在未来的大版本变成默认行为，这意味着 Next.js 的渲染模型还会再变一轮，长期项目升级前值得先读迁移指南；以及一个有意思的提议——有开发者认为"AI 时代任何框架都该在主页挂个 benchmark，比如用同一个 agent 写同样的东西谁更快更省 token"，如果这事真发生，框架竞争的规则会被彻底改写。Next.js官网知乎
AI 替你选的，是"最不容易出错"的默认值，不是"最适合你"的最优解。默认值省下的时间，刚好够你把上面这三笔账算完。
