node.js - NodeJS/express - 公共(public) API 端点的安全性

Question

我正在开发基于 NodeJs/Express 的网站项目，对于某些 UI 部分，我正在使用 Jquery ajax 请求来获取辅助数据。

我们如何处理浏览器用于 ajax 调用的 Rest API 端点的一些基本控制？我在考虑某种 token 授权，但一旦被拦截，其他客户端(脚本等)也可以使用它，那么我们如何保护我们的服务器免受不需要的请求？在这种情况下应该使用哪些其他控件(识别来自同一客户端的太多请求、客户端黑名单等)？

Answer 1

主要有认证、授权、安全三个主题。我将提供链接，并且只会很快给出答案。主题足够大，可以写几本书。

身份验证 - 谁是提出请求的人。身份验证用户有很多“策略”。请为此检查最流行的模块:http://passportjs.org/docs .

当然，您可以单独实现一种或多种此类策略。

对于无状态身份验证，jwt tokens 非常方便。如果您想自己编写代码(Passport 有此策略)，请检查此链接(网络中的许多链接之一)https://scotch.io/tutorials/authenticate-a-node-js-api-with-json-web-tokens .

如何防止 token 拦截？始终使用 https 并设置较短的 token 过期时间。

在哪里存储您的 token 客户端？有关详细信息，请查看此 https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage/简而言之，不要因为 XSS 攻击而存储在网络存储中。使用 cookie，当它们被正确配置时它们是安全的(更多信息在附加链接中)，如果没有配置它们很容易受到威胁。

授权:我们知道用户，但他只能访问某些资源。请查看https://github.com/OptimalBits/node_acl有 node_acl 和护照的要点:https://gist.github.com/danwit/e0a7c5ad57c9ce5659d2简而言之，护照对用户进行身份验证。我们现在谁想要什么。我们设置角色和资源并定义角色和资源关系。然后我们为每个用户设置角色。模块将检查我们的用户权限。

安全性:请在 sails 框架文档中查找此主题 http://sailsjs.org/documentation/concepts/security他们描述了攻击以及框架如何阻止它们。我写 express :

DDOS:(您问题的一部分“来自同一客户端的请求过多”)“在 API 层，在预防方面可以做的事情不多”。这是服务器管理员最关心的问题。简而言之，使用负载均衡器。如果它是一个 IP(不是数百个)，那么黑名单或 deley 响应(开始时请看这个 https://www.npmjs.com/package/delayed-request，但我认为该解决方案必须更复杂)。

CSRF:“强制最终用户在 Web 应用程序后端执行不需要的操作的攻击类型”。看这个模块https://www.npmjs.com/package/csrf

XSS:“恶意代理设法将客户端 JavaScript 注入(inject)您的网站的攻击类型”不信任来自用户的任何数据。始终验证、过滤、净化。看这个https://www.npmjs.com/package/xss

在帆的文档中，有更多的攻击类型，但以上是最受欢迎的。