安全防护与最佳实践

安全防护与最佳实践

Express框架作为Node.js生态中最流行的Web应用框架之一，其灵活性和易用性广受开发者喜爱。然而，随着应用规模的扩大和复杂度的提升，安全问题不容忽视。从基础的请求验证到高级的防护策略，每个环节都需要仔细考量。

基础安全配置

Express应用的基础安全配置是防护的第一道防线。通过中间件可以快速实现多项关键安全措施：

const express = require('express');
const helmet = require('helmet');
const rateLimit = require('express-rate-limit');

const app = express();

// 设置安全相关的HTTP头
app.use(helmet());

// 限制请求频率
const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15分钟
  max: 100 // 每个IP限制100次请求
});
app.use(limiter);

// 禁用X-Powered-By头
app.disable('x-powered-by');

Helmet中间件集成了11项安全相关的HTTP头设置，包括：

• Content-Security-Policy
• X-Frame-Options
• X-Content-Type-Options
• Strict-Transport-Security
• 其他防护头

输入验证与清理

用户输入是主要攻击向量之一，必须进行严格验证：

const { body, validationResult } = require('express-validator');

app.post('/user', 
  // 验证用户名
  body('username').isLength({ min: 5 }).trim().escape(),
  // 验证邮箱
  body('email').isEmail().normalizeEmail(),
  // 验证密码复杂度
  body('password').isStrongPassword({
    minLength: 8,
    minLowercase: 1,
    minUppercase: 1,
    minNumbers: 1,
    minSymbols: 1
  }),
  (req, res) => {
    const errors = validationResult(req);
    if (!errors.isEmpty()) {
      return res.status(400).json({ errors: errors.array() });
    }
    // 处理有效数据...
  }
);

对于更复杂的场景，可以使用Joi或Yup等验证库。验证应包含：

• 类型检查
• 长度限制
• 格式验证
• 特殊字符过滤
• 业务规则校验

认证与会话管理

认证系统的安全实现至关重要：

const bcrypt = require('bcrypt');
const jwt = require('jsonwebtoken');

// 密码哈希
const saltRounds = 12;
const hashPassword = async (plainPassword) => {
  return await bcrypt.hash(plainPassword, saltRounds);
};

// JWT生成与验证
const generateToken = (userId) => {
  return jwt.sign({ id: userId }, process.env.JWT_SECRET, {
    expiresIn: '1h',
    algorithm: 'HS256'
  });
};

// 认证中间件
const authenticate = (req, res, next) => {
  const token = req.headers.authorization?.split(' ')[1];
  if (!token) return res.sendStatus(401);
  
  try {
    const decoded = jwt.verify(token, process.env.JWT_SECRET);
    req.user = decoded;
    next();
  } catch (err) {
    return res.status(403).send('Invalid token');
  }
};

关键实践包括：

• 使用bcrypt/scrypt/argon2进行密码哈希
• JWT设置合理过期时间
• 实现refresh token机制
• 禁用弱加密算法
• 保护密钥和敏感配置

CSRF防护

跨站请求伪造防护不可忽视：

const csrf = require('csurf');
const cookieParser = require('cookie-parser');

app.use(cookieParser());
const csrfProtection = csrf({ cookie: true });

// 获取CSRF令牌
app.get('/form', csrfProtection, (req, res) => {
  res.render('send', { csrfToken: req.csrfToken() });
});

// 验证CSRF令牌
app.post('/process', csrfProtection, (req, res) => {
  res.send('数据已处理');
});

在模板中需要嵌入CSRF令牌：

<form action="/process" method="POST">
  <input type="hidden" name="_csrf" value="{{csrfToken}}">
  <!-- 其他表单字段 -->
  <button type="submit">提交</button>
</form>

SQL注入防护

使用参数化查询防止SQL注入：

const mysql = require('mysql2/promise');

async function getUserSafe(username) {
  const connection = await mysql.createConnection(process.env.DATABASE_URL);
  const [rows] = await connection.execute(
    'SELECT * FROM users WHERE username = ?',
    [username]
  );
  return rows[0];
}

避免直接拼接SQL语句：

// 危险！容易导致SQL注入
const query = `SELECT * FROM users WHERE username = '${req.params.username}'`;

对于MongoDB，同样需要注意NoSQL注入：

// 危险！可能允许操作符注入
const user = await User.findOne({
  username: req.body.username
});

// 更安全的做法
const user = await User.findOne({
  username: { $eq: req.body.username }
});

XSS防护

跨站脚本攻击防护需要多层面措施：

1. 模板引擎自动转义：

// 使用EJS模板引擎
app.set('view engine', 'ejs');

// 模板中自动转义
<p><%= userInput %></p>

2. 设置Content Security Policy：

app.use(
  helmet.contentSecurityPolicy({
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'", "'unsafe-inline'", 'trusted.cdn.com'],
      styleSrc: ["'self'", "'unsafe-inline'"],
      imgSrc: ["'self'", 'data:', 'img.cdn.com']
    }
  })
);

3. 客户端补充验证：

// 清理用户输入的HTML
const clean = DOMPurify.sanitize(dirtyHtml, {
  ALLOWED_TAGS: ['b', 'i', 'em', 'strong', 'a'],
  ALLOWED_ATTR: ['href', 'title']
});

文件上传安全

文件上传功能需要特别注意：

const multer = require('multer');
const path = require('path');
const fs = require('fs');

// 安全配置示例
const storage = multer.diskStorage({
  destination: (req, file, cb) => {
    const uploadDir = 'uploads/';
    if (!fs.existsSync(uploadDir)) {
      fs.mkdirSync(uploadDir);
    }
    cb(null, uploadDir);
  },
  filename: (req, file, cb) => {
    const ext = path.extname(file.originalname);
    const randomName = crypto.randomBytes(16).toString('hex');
    cb(null, `${randomName}${ext}`);
  }
});

const upload = multer({
  storage: storage,
  limits: { fileSize: 5 * 1024 * 1024 }, // 5MB限制
  fileFilter: (req, file, cb) => {
    const filetypes = /jpeg|jpg|png|gif/;
    const extname = filetypes.test(path.extname(file.originalname).toLowerCase());
    const mimetype = filetypes.test(file.mimetype);
    
    if (extname && mimetype) {
      return cb(null, true);
    }
    cb('错误：仅支持图片文件');
  }
});

app.post('/upload', upload.single('avatar'), (req, res) => {
  // 处理上传文件...
});

关键防护点：

• 限制文件类型和扩展名
• 验证文件内容与类型是否匹配
• 设置合理大小限制
• 存储时使用随机文件名
• 隔离上传目录权限
• 扫描上传文件内容

依赖安全

第三方依赖可能引入安全风险：

1. 定期检查依赖漏洞：

npm audit
npx npm-check-updates -u

2. 使用锁定文件：

npm ci # 使用package-lock.json精确安装

3. 最小化依赖：

• 定期评估依赖必要性
• 移除未使用的依赖
• 选择维护活跃的库

4. 自动化安全扫描：

# GitHub Actions示例
name: Security Scan
on: [push, pull_request]

jobs:
  audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v2
      - uses: actions/setup-node@v2
      - run: npm install
      - run: npm audit --production

错误处理与日志

合理的错误处理避免泄露敏感信息：

// 生产环境错误处理中间件
app.use((err, req, res, next) => {
  // 记录详细错误日志
  console.error(err.stack);
  
  // 对客户端返回通用错误信息
  res.status(500).json({
    error: '服务器内部错误'
  });
});

// 区分开发和生产环境
if (process.env.NODE_ENV === 'development') {
  app.use((err, req, res, next) => {
    res.status(500).json({
      error: err.message,
      stack: err.stack
    });
  });
}

日志记录最佳实践：

• 使用Winston或Pino等专业日志库
• 区分访问日志和应用日志
• 记录关键操作和异常
• 避免记录敏感信息
• 设置合理的日志级别
• 实现日志轮转和归档

HTTPS与安全传输

强制使用HTTPS确保传输安全：

const https = require('https');
const fs = require('fs');
const express = require('express');

const app = express();

// 重定向HTTP到HTTPS
app.use((req, res, next) => {
  if (!req.secure && process.env.NODE_ENV === 'production') {
    return res.redirect(`https://${req.headers.host}${req.url}`);
  }
  next();
});

// HTTPS服务器配置
const options = {
  key: fs.readFileSync('server.key'),
  cert: fs.readFileSync('server.cert'),
  minVersion: 'TLSv1.2',
  ciphers: [
    'ECDHE-ECDSA-AES256-GCM-SHA384',
    'ECDHE-RSA-AES256-GCM-SHA384'
  ].join(':'),
  honorCipherOrder: true
};

https.createServer(options, app).listen(443);

现代SSL/TLS配置要点：

• 使用TLS 1.2或更高版本
• 配置强密码套件
• 启用HSTS头
• 定期更新证书
• 考虑使用Let's Encrypt免费证书

性能与安全平衡

安全措施可能影响性能，需要合理平衡：

1. 密码哈希成本因子：

// 根据服务器性能调整
const saltRounds = process.env.NODE_ENV === 'production' ? 12 : 8;

2. 限流策略优化：

const apiLimiter = rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 100,
  message: '请求过于频繁',
  skip: (req) => {
    // 白名单IP跳过限流
    return whitelist.includes(req.ip);
  }
});

3. 缓存安全头：

app.use(helmet({
  hsts: {
    maxAge: 63072000, // 2年
    includeSubDomains: true,
    preload: true
  }
}));

4. 异步安全检查：

app.use(async (req, res, next) => {
  await someSecurityCheck(); // 不阻塞主线程
  next();
});

持续安全实践

安全需要持续关注和改进：

1. 安全代码审查：

• 建立代码审查清单
• 重点关注安全敏感代码
• 使用自动化工具辅助

2. 定期安全培训：

• 最新威胁情报分享
• 安全编码规范培训
• 应急响应演练

3. 监控与警报：

// 异常请求监控
app.use((req, res, next) => {
  const suspiciousPatterns = [
    /<script>/i,
    /union.*select/i,
    /\.\.\//,
    /eval\(/i
  ];
  
  const isSuspicious = suspiciousPatterns.some(pattern => 
    pattern.test(req.url) || pattern.test(JSON.stringify(req.body))
  );
  
  if (isSuspicious) {
    securityAlert(`可疑请求: ${req.method} ${req.url}`);
  }
  
  next();
});

4. 漏洞管理流程：

• 建立报告渠道
• 制定修复优先级标准
• 跟踪漏洞修复进度
• 发布安全公告