您是在犯这些Nodejs安全错误吗？

golang学习网今天将给大家带来《您是在犯这些Nodejs安全错误吗？》，感兴趣的朋友请继续看下去吧！以下内容将会涉及到等等知识点，如果你是正在学习文章或者已经是大佬级别了，都非常欢迎也希望大家都能给我建议评论哈~希望能帮助到大家！

介绍

>在2016年，当黑客通过利用私人github存储库中的暴露凭据访问其aws s3服务器时，uber面临严重的安全漏洞。该服务器包含5700万用户和60万驱动程序的敏感数据。违规发生是由于不良的访问控制和凭证管理在其node.js应用程序中。如果像uber这样的技术巨头可能会发生这种情况，那么您的应用程序呢？如果您要建立初创公司或管理企业，该如何保护自己？

本文将探讨确保node.js applications的最佳实践。无论您是初学者还是您已经开发了多年，采用这些工具和策略都可以保护您的应用程序免受违规的影响。到最后，您将知道如何保护您的应用程序并避免损失数百万美元的错误。

1. 注射攻击： sql注入，命令注射和跨站点脚本（xss）是一些最常见的威胁。攻击者使用弱输入验证来注入恶意代码，从而导致未经授权的访问或窃取敏感数据。 >弱身份验证：
依靠弱密码或不安全的会话管理使您的用户的数据处于危险之中。实施不良的身份验证可能会导致诸如蛮力攻击和会议劫持之类的问题。
2. > 拒绝服务（dos）攻击：
3. >过时的依赖性：>
不正确的错误处理：
4. >揭示堆栈跟踪，数据库详细信息或文件路径的错误消息可以为攻击者提供有关您应用程序的宝贵线索。 输入验证和消毒
为了保护您的应用程序免受注射攻击，请始终验证用户输入以保护您的系统免受恶意或不正确数据。使用诸如
5. >验证器或> dompurify
的工具有效地消毒输入。此外，使用

之类的工具实施严格的验证规则，以确保仅处理有效的数据。

> valivator.js来删除任何额外的空格，然后使用 joi 来验证电子邮件格式。这种方法为您的api添加了额外的安全性。>

// ...
const validator = require('validator');
const joi = require('joi');

app.post('/submit', (req, res) => {
  // sanitize the email by trimming extra spaces
  const sanitizedemail = validator.trim(req.body.email);

    // validate the sanitized email
    const schema = joi.object({
      email: joi.string().email().required().label("email")
    });

    const { error } = schema.validate({ email: sanitizedemail });

    if (error)
      return res.status(400).json({ message: error.details[0].message }); 
  // ...
});

> >> oauth 2.0：使用> passport.js
的oauth 2.0协议实现安全身份验证。 passport提供了广泛的策略，包括通过像google这样值得信赖的提供商登录。首先，只需安装

以及所需的特定策略，然后在应用程序中进行配置。

在此示例中，我们正在使用

策略来验证用户： 14926428773 hash密码：如果您希望使用电子邮件和密码进行身份验证，那就很好。只需确保永远不要将密码存储在纯文本中即可。始终使用像bcrypt这样的工具将它们放置，因为它提供的安全性比node.js的内置

const bcrypt = require('bcrypt');

// ...
const saltrounds = 10;
const hashedpassword = await bcrypt.hash(password, saltrounds);
// ...

const session = require('cookie-session')
// ...
app.use(
  session({
      name: 'custom-cookie-name',
    secret: 'your-secret-key',
    cookie: {
      httponly: true,
      secure: true, // use true in production with https
      maxage: 60 * 60 * 1000, // 1 hour
    },
  })
);
// ...

const ratelimit = require('express-rate-limit');

const limiter = ratelimit({
  windowms: 15 * 60 * 1000, // 15 minutes
  max: 5, // limit each ip to 5 requests per window
  message: 'too many login attempts, please try again later.',
});

app.use('/login', limiter);

$ npm install -g snyk
$ cd your-app
$ snyk test

const winston = require('winston');

// configure winston logging
const logger = winston.createlogger({
  level: 'info',
  format: winston.format.json(),
  transports: [
    new winston.transports.console(),
    new winston.transports.file({ filename: 'logs/app.log' })
  ]
});

// middleware for error handling
app.use((err, req, res, next) => {
  // log the error, without exposing sensitive details to the user
  logger.error(`error occurred: ${err.message}`);

  // send a generic error response to the user
  res.status(500).send('something went wrong!');

  next();
});

// ...
const helmet = require('helmet');

const app = express();

app.use(helmet());
// ...