nodejs安全吗

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了nodejs安全吗相关的知识,希望对你有一定的参考价值。

参考技术A 安全是不容忽视的,每个开发者都知道它非常重要,真正严肃对待它的却没有几人。我们 RisingStack 希望你能认真对待这一问题——这就是我们整理这份清单来帮助你的原因,你的应用在被成千上万用户使用前必须要做安全检查。

这份清单大部分内容是通用的,不仅适用于Node.js,同样适用于其他语言和框架,只是一些明确给出了在Node.js中使用的方法。同时推荐你去阅读我们的引导文章 Node.js security,如果你刚开始使用Node.js,推荐你看这篇文章 first chapter of Node Hero。

配置管理

HTTP 安全头部

有些关于安全的HTTP头部是你的网站必须要有的:

Strict-Transport-Security 强制将HTTP请求替换为HTTPS请求

X-Frame-Options 防止点击劫持

X-XSS-Protection 开启跨站脚本攻击(XSS)的过滤,大多数现代浏览器支持这个设置

X-Content-Type-Options 禁用浏览器对响应内容MIME类型的嗅探,严格使用响应的Content-Type的值

Content-Security-Policy 能有效防止多种攻击,包括跨站脚本和跨站注入

Node.js开发者可以使用Helmet模块置这些头部,代码如下:

var express = require('express');

var helmet = require('helmet');

var app = express();

app.use(helmet());

Koa和ThinkJS框架中可以使用koa-helmet来设置这些头部,当然有关安全的头部不止这些,更多请看Helmet和MDN HTTP Headers。

在大多数架构里这些头部可以设置在web服务器的配置中(Apache、nginx),不需要对应用代码进行改动。在Nginx中的配置:

# nginx.conf

add_header X-Frame-Options SAMEORIGIN;

add_header X-Content-Type-Options nosniff;

add_header X-XSS-Protection "1; mode=block";

add_header Content-Security-Policy "default-src 'self'";

有一个完整的Nginx配置文件,帅气的传送门在此。

如果你想快速检查你的网站是否有了所有的必须头部,请使用这个在线检查器。

客户端的敏感数据

当发布前端应用时,确保你的代码里永远不会包含API密码和证书,因为它可以被任何人看到。

没有自动化的方法去检查你在代码里写了敏感数据,但是有两个可以降低向客户端暴露敏感数据风险的方法:

使用 pull requests 提交代码

定期 code review

以上是关于nodejs安全吗的主要内容,如果未能解决你的问题,请参考以下文章

nodejs可以接受tcp服务器的数据吗

在没有数据库的服务器nodejs中存储固定数据可以吗? [关闭]

nodejs怎么去跟其他服务器交互,模拟登录提交数据等操作

怎么把JAVA的数据发送到nodejs服务器上

nodejs如何开启多线程

如何从 nodejs 模块中删除全局上下文?