security - Node.js Express 框架安全问题

Question

关闭。这个问题需要更多 focused .它目前不接受答案。

---

想要改进这个问题吗？ 更新问题，使其只关注一个问题 editing this post .

关闭 8 年前。

Improve this question

我正在寻找应该添加到 Node/Express 应用程序中的模块，以解决下面列出的一般安全问题:

• 注入(inject)漏洞(JavaScript、SQL、Mongo、HTML)
• session 固定和劫持
• 跨站漏洞(脚本、请求伪造)
• 集体作业
• 在此处插入相关问题

感谢您的帮助!

---------

我找到的一些资源:

Excellent talk (11/2012): http://lanyrd.com/2012/asfws/sxzbm/ (see slides)

ServerFault question (2011-2012): https://serverfault.com/questions/285123/is-node-js-mature-for-enterprise-security

Blog post on topic (9/2012): http://codefol.io/posts/29-Why-Rails-and-not-Sinatra-or-Node-js-

Exploit tester: https://code.google.com/p/skipfish/

Passport Module: https://github.com/jaredhanson/passport

EveryAuth Module: https://github.com/bnoguchi/everyauth

Answer 1

我写了一篇博文，在 Writing Secure Express.js Apps 上提供了一个很好的起点.它涵盖了 zeMirco 提到的 csrf 和 Helm 之外的其他一些东西。

另一件事是您无法将 express.js 与 rails 进行比较。它们是苹果和橙子。例如，没有与 Express 捆绑的 ORM，第三方模块的实现或使用取决于您。

我会尝试对您的每一个问题进行分割。

-Injection Vulnerabilities (JavaScript, SQL, Mongo, HTML)

同样，这些不是 express 内置的东西。最接近的事情是 XSS 担心模板中的注入(inject)。 Jade 或 EJS 模板通常与 express output encode < > "' 和 & 默认一起使用，但请记住还有其他上下文，例如用户输入到 JavaScript 或 CSS，您需要担心。

-Session fixation and hijacking

再次查看上面的博文，但 Express 基于并使用了大部分 connect中间件其中之一是 session 中间件。这里最重要的是正确设置您的 cookie 标志。

-Cross-Site Vulnerabilities (Scripting, Request Forgery)

见上文。它还带有 express.csrf() 中间件。提到的博客文章显示了如何实现它。

-Mass Assignment

express.js 不是问题，因为它没有适用此类漏洞的概念，但是您编写的自定义逻辑实际上可能容易受到此问题的影响，因此再次验证您的代码是否存在问题是易受攻击的，或者如果您使用的第三方模块是...