变更：Server Actions 与 Route Handlers

'use server'                          // ← 整个文件的导出函数都成为 Server Action
import { db } from '@/lib/db'
import { revalidateTag } from 'next/cache'

export async function createTodo(formData: FormData) {
  const title = formData.get('title') as string
  await db.todo.create({ title })     // 在服务端写库
  revalidateTag('todos', 'max')       // 写完让缓存失效（详见 §6.3）
}

import { createTodo } from './actions'

export default function TodosPage() {
  return (
    <form action={createTodo}>       {/* 把 action 直接交给 form */}
      <input name="title" />
      <button type="submit">新增</button>
    </form>
  )
}

'use client'
import { createTodo } from './actions'

export function QuickAdd() {
  async function onClick() {
    const fd = new FormData()
    fd.set('title', '买牛奶')
    await createTodo(fd)              // 像调本地函数，底层是一次 POST
  }
  return <button onClick={onClick}>一键添加</button>
}

'use server'
import { z } from 'zod'
import { auth } from '@/lib/auth'
import { db } from '@/lib/db'
import { revalidateTag } from 'next/cache'

const Input = z.object({ postId: z.string(), title: z.string().min(1) })

export async function renamePost(raw: unknown) {
  // 1) 运行时校验输入——类型在运行时不存在，挡不住恶意请求
  const { postId, title } = Input.parse(raw)

  // 2) 认证：你是谁
  const session = await auth()
  if (!session) throw new Error('未登录')

  // 3) 授权：你能不能动「这一条」——少了这步就是越权漏洞(IDOR)
  const post = await db.post.find(postId)
  if (post.ownerId !== session.userId) throw new Error('无权操作')

  await db.post.update(postId, { title })
  revalidateTag('posts', 'max')
}

'use server'
import { db } from '@/lib/db'
import { revalidateTag } from 'next/cache'

export async function createTodo(formData: FormData) {
  const title = formData.get('title') as string
  await db.todo.create({ title })       // 第一步：写数据源

  // 第二步：让缓存失效——少了这步，页面继续显示旧列表
  // 注：Next 16 起 revalidateTag 需要 profile 参数（如 'max'），呼应 05 章
  revalidateTag('todos', 'max')
}