mysql - 最近开始使用 socket.io - 在向公众发布网站之前我应该​​采取哪些安全措施？

Question

套接字服务器不处理任何登录或来自用户的任何输入，它只是在 mysql 数据库可用时将信息传递给用户。在我不知道使用它进行开发时应该注意哪些事项之前，我没有使用过 socket.io。例如，有人可以访问 .js“服务器”的内容吗？因为我的包含一些敏感数据，例如 sql 凭据。

Answer 1

socket.io 具有与任何网络服务器和网络请求几乎相同的安全问题。如果您没有做任何愚蠢的事情来公开您的服务器端文件，它们通常是不可访问的。我们必须查看您的实际服务器端代码才能知道您是否不小心暴露了那里的任何内容。保护您的服务器和 SQL 数据库的主要事情是，您必须验证所有传入参数，以确保不会向您发送您不期望的任何内容，因为这些内容可能会导致您的代码意外执行一些不希望做的事情。

而且，确保您避免使用 SQL 查询的一件大事是确保发送给您的任何内容都不会直接放入 SQL 查询中，因为这会使您暴露在攻击者向您发送参数的 SQL 注入(inject)攻击中您不希望将其放入 SQL 查询中，最终允许他们在您的 SQL 服务器上运行自己的 SQL。有很多written about SQL Injection in other articles如果您想了解更多。

既然你说你不处理任何登录，你大概知道你可以获得任意数量的 socket.io 连接并且几乎任何人都可以连接(无论是来自浏览器还是来自其他自定义书面代理) .