如何消除 Node.js 应用程序中的漏洞：编写安全 JavaScript 代码的指南

Js/Ts 和 Node.js 彻底改变了软件工程世界，但能力越大，责任越大？️。由于软件包如此之多，工程节奏如此之快，漏洞必然会潜入其中。在本文中，我们将解决 JavaScript 生态系统中潜伏的最常见漏洞，并向您展示如何通过安全代码实践“杀死”它们。

---

1. 依赖漏洞

问题：JavaScript 生态系统严重依赖来自 npm 等地方的包。当您安装这些软件包时，您通常会引入额外的依赖项。不幸的是，并非所有软件包的维护都考虑到了安全性，有些软件包甚至故意带有恶意代码。

解决方案：

• 审核依赖项：运行 npm 审核以检查依赖项中是否存在任何已知漏洞。这将为您提供报告和解决问题的建议。
• 定期更新软件包：使用 npm outdated 检查是否有过时的软件包，特别是那些带有安全补丁的软件包。保持最新状态有助于防止漏洞。
• 使用以安全为中心的工具：Snyk 或 OWASP 依赖项检查等工具会扫描您的依赖项是否存在已知漏洞。

2. 不安全的配置

问题：保留默认配置（尤其是在生产环境中）可能会将您的应用程序暴露给攻击者。启用详细日志记录、打开调试模式或允许所有来源使用 CORS 等操作可能会造成安全漏洞。

解决方案：

• 环境特定配置：为开发和生产设置不同的配置。例如，禁用调试模式并减少生产中的日志记录。
• 环境变量：将敏感信息（例如数据库凭据、API 密钥）保存在环境变量中，并使用 dotenv 等库来安全地管理它们。
• 使用 .env 文件存储敏感数据：切勿在代码库中存储凭据或敏感数据。使用 .env 文件，并且不要忘记将其添加到 .gitignore。

3. 注入攻击（SQL/NoSQL 注入）

问题：当用户输入被错误处理并视为可执行代码或数据库命令时，就会发生注入攻击。例如，SQL 注入可以允许攻击者操纵数据库查询并访问敏感数据。

解决方案：

• 参数化查询：与数据库交互时始终使用参数化或准备好的语句。 PostgreSQL 的 pg 或 MongoDB 的 mongoose 等库支持这些安全方法。
• 清理用户输入：使用验证器之类的库来清理输入，特别是在处理表单或其他用户输入源时。

4. 跨站脚本（XSS）

问题：当攻击者将恶意脚本注入您的应用程序时，就会发生 XSS 攻击。例如，如果您的应用程序显示用户生成的内容而不对其进行清理，则攻击者可以注入由其他用户的浏览器执行的 JavaScript。

解决方案：

• 转义用户输入：确保前端显示的任何用户生成的内容都被转义。这样，它就被视为纯文本，而不是可执行代码。
• 内容安全策略 (CSP)：CSP 允许您定义允许在您的网站上运行哪些脚本、图像和样式。这是限制 XSS 攻击的有效方法。您可以在服务器配置中设置 CSP 标头。
• 使用受信任的库：如果您使用模板库（例如 Handlebars、EJS），它们通常具有内置的转义功能。不要禁用它们。

5. 跨站请求伪造（CSRF）

问题：CSRF 攻击诱骗用户在经过身份验证的不同网站上执行不需要的操作。例如，登录其银行帐户的用户可能会在不知情的情况下通过单击恶意电子邮件中的链接将资金转移到另一个帐户。

解决方案：

• 使用 CSRF 令牌：使用表单时，实现 CSRF 令牌来验证每个请求是否合法。许多框架（例如 Express）都有 csurf 等中间件来帮助防止 CSRF 攻击。
• 双重提交 Cookie：这是另一种方法，您在 cookie 中设置唯一令牌，并要求在请求负载中提交相同的令牌。

const express = require('express');
const csurf = require('csurf');
const cookieParser = require('cookie-parser');

const app = express();

// Use cookie parser and csrf middleware
app.use(cookieParser());
app.use(csurf({ cookie: true }));

// Middleware to add CSRF token to all responses
app.use((req, res, next) => {
  res.locals.csrfToken = req.csrfToken();
  next();
});

app.get('/form', (req, res) => {
  // Render a form with the CSRF token
  res.send(`
    <form action="/submit" method="POST">
      <input type="hidden" name="_csrf" value="${res.locals.csrfToken}">
      <input type="text" name="data">
      <button type="submit">Submit</button>
    </form>
  `);
});

app.post('/submit', (req, res) => {
  res.send('Data received securely!');
});

app.listen(3000, () => console.log('Server running on http://localhost:3000'));

6. 不安全的数据存储

问题：在没有加密或安全存储方法的情况下存储敏感数据（例如密码或个人信息）可能会使攻击者在获得访问权限后很容易窃取这些数据。

解决方案：

• 加密敏感数据：对静态敏感数据使用加密。例如，使用 bcrypt 等库对密码进行哈希处理。
• 对传输中的数据使用 HTTPS：通过强制 HTTPS 连接来加密传输中的数据。 Let’s Encrypt 等服务提供免费的 SSL 证书来保护您的应用程序。

const express = require('express');
const csurf = require('csurf');
const cookieParser = require('cookie-parser');

const app = express();

// Use cookie parser and csrf middleware
app.use(cookieParser());
app.use(csurf({ cookie: true }));

// Middleware to add CSRF token to all responses
app.use((req, res, next) => {
  res.locals.csrfToken = req.csrfToken();
  next();
});

app.get('/form', (req, res) => {
  // Render a form with the CSRF token
  res.send(`
    <form action="/submit" method="POST">
      <input type="hidden" name="_csrf" value="${res.locals.csrfToken}">
      <input type="text" name="data">
      <button type="submit">Submit</button>
    </form>
  `);
});

app.post('/submit', (req, res) => {
  res.send('Data received securely!');
});

app.listen(3000, () => console.log('Server running on http://localhost:3000'));

7. 服务器端漏洞

问题：由于 Node.js 在服务器上运行，任何未处理的错误或不正确配置的服务器设置都可能导致安全问题。

解决方案：

• 错误处理：始终优雅地处理错误，并避免在错误消息中暴露敏感信息。不要发送详细的错误消息，而是在生产中使用通用消息。
• 限制请求大小：大的有效负载可能会使您的服务器超载，因此请使用 body-parser 等中间件限制请求正文大小，以防止拒绝服务 (DoS) 等攻击。
• 以非 root 用户身份运行：避免以 root 权限运行应用程序。如果发生妥协，这可以帮助限制攻击者可能造成的损害。

最后的提示

保护 Node.js 和 JavaScript 应用程序需要时间，但这是一项必要的投资。以下是一些最后的快速提示：

• 到处使用 HTTPS：加密传输中的数据对于保护用户数据至关重要。
• 避免 eval() 和类似函数：像 eval() 这样的函数可以执行任意代码，使您的应用程序容易受到注入攻击。尽可能避免使用它们。
• 将依赖关系保持在最低限度：仅安装您真正需要的软件包。每个包都会引入一个潜在的漏洞，所以要有所选择。

通过遵循这些提示并定期更新您的安全实践知识，您将能够更好地保证 Node.js 应用程序的安全。安全性是一个持续的过程，但通过积极主动的方法，您可以显着减少应用程序的漏洞足迹。

---

结论

尽管我们的目标是保护我们的代码，但事实是不存在完全安全应用程序，而且我们无法消除所有漏洞。新的漏洞会定期发现，库会更新，我们的代码也会不断发展。安全是一个持续的过程，需要保持警惕、持续更新和积极主动的逆向工程思维。

以下是一些持续提高代码安全性的其他方法：

1. 定期审查代码：进行代码审查，重点关注安全性。同行评审有助于发现开发人员可能错过的漏洞。

2. 自动化安全测试：使用 CI/CD 管道进行自动化安全测试，以在开发早期发现问题。 GitHub Dependabot、Snyk 和 npmaudit 等工具可以集成到您的工作流程中以进行持续扫描。

3. 随时了解情况：安全威胁不断发展，因此请随时了解安全新闻、库和实践。关注 OWASP 和 Node.js 安全团队等社区可以让您了解最新的威胁和缓解技术。

4. 最小权限原则：限制应用程序和数据库中的权限和访问级别。最小权限原则可确保应用程序的每个部分仅拥有其正常运行所需的访问权限，从而减少违规造成的潜在损害。

5. 用户教育：鼓励安全实践，特别是对于有权访问敏感代码和环境的团队。开发人员安全培训可以帮助避免导致漏洞的常见错误。

通过保持警惕和不断学习，您将能够更好地管理快节奏的 Node.js 生态系统中的安全风险。请记住：这是为了降低风险，而不是实现完美。祝您编码愉快，应用程序更安全！

以上是如何消除 Node.js 应用程序中的漏洞：编写安全 JavaScript 代码的指南的详细内容。更多信息请关注PHP中文网其他相关文章！