🔧 Fix cross origin access

Author: babcs2035

.env.sample

@@ -6,3 +6,7 @@ MONGO_URI=mongodb://localhost:27017/
 
 # API の公開 URL（サーバーコンポーネントからの内部アクセス用）
 NEXT_PUBLIC_API_URL=http://localhost:3000/carshare-viewer
+
+# Server Actions で許可する Origin（カンマ区切り，必要時のみ設定）
+# 例: SERVER_ACTIONS_ALLOWED_ORIGINS=ktak.dev,www.ktak.dev
+SERVER_ACTIONS_ALLOWED_ORIGINS=

README.md

@@ -170,6 +170,7 @@ cp .env.sample .env
 | `PORT`                | ホストに公開するポート番号（Docker 開発環境のみ）            | `3200`                                  |
 | `MONGO_URI`           | MongoDB 接続 URI（形式: `mongodb://host:port/`）             | `mongodb://db:27017/`                   |
 | `NEXT_PUBLIC_API_URL` | Server Components からの API アクセス URL（通常は変更不要）  | `http://localhost:3000/carshare-viewer` |
+| `SERVER_ACTIONS_ALLOWED_ORIGINS` | Server Actions で許可する Origin（カンマ区切り） | - |
 | `DOCKER_IMAGE`        | 本番用 Docker イメージ名（`docker-compose.prod.yml` で使用） | -                                       |
 
 ### Docker を使用した開発
@@ -326,6 +327,7 @@ cd /path/to/deploy
 PORT=3200
 MONGO_URI=mongodb://db:27017/
 NEXT_PUBLIC_API_URL=https://yourdomain.com/carshare-viewer
+SERVER_ACTIONS_ALLOWED_ORIGINS=yourdomain.com,www.yourdomain.com
 DOCKER_IMAGE=ghcr.io/<owner>/<repo>:latest
 ```
 
@@ -344,6 +346,12 @@ DOCKER_IMAGE=ghcr.io/<owner>/<repo>:latest
 2. タイムズカー API 接続を確認: `curl https://api.timescar.jp/...`
 3. cron 実行ログを確認: `docker compose -f docker-compose.prod.yml logs app`
 
+**`Invalid Server Actions request` が発生する場合**:
+
+1. `.env` の `NEXT_PUBLIC_API_URL` が実際の公開ドメインと一致しているか確認
+2. `SERVER_ACTIONS_ALLOWED_ORIGINS` に公開ドメインを設定（例: `ktak.dev,www.ktak.dev`）
+3. 再起動: `docker compose -f docker-compose.prod.yml up -d --force-recreate`
+
 ## 開発ガイド
 
 ### ページ構成

next.config.ts

@@ -1,8 +1,41 @@
 import type { NextConfig } from 'next';
 
+const normalizeOriginHost = (value: string): string =>
+  value.replace(/^https?:\/\//, '').replace(/\/$/, '').trim();
+
+const getApiUrlHost = (): string => {
+  const apiUrl = process.env.NEXT_PUBLIC_API_URL;
+  if (!apiUrl) return '';
+
+  try {
+    return new URL(apiUrl).host;
+  } catch {
+    return normalizeOriginHost(apiUrl);
+  }
+};
+
+const allowedOrigins = Array.from(
+  new Set(
+    [
+      'localhost:3200',
+      '127.0.0.1:3200',
+      getApiUrlHost(),
+      ...(process.env.SERVER_ACTIONS_ALLOWED_ORIGINS ?? '')
+        .split(',')
+        .map((origin) => normalizeOriginHost(origin))
+        .filter(Boolean),
+    ].filter(Boolean),
+  ),
+);
+
 const nextConfig: NextConfig = {
   basePath: '/carshare-viewer',
   output: 'standalone',
+  experimental: {
+    serverActions: {
+      allowedOrigins,
+    },
+  },
   images: {
     remotePatterns: [
       {