Debian Node.js 服務器如何安全設置

在Debian系統上設置Node.js環境并確保其安全性是一個重要的步驟。以下是一個詳細的指南，涵蓋了從安裝Node.js到安全配置的各個方面：

安裝Node.js

• 更新系統包列表：

  sudo apt-get update
  

• 安裝Node.js：

  sudo apt-get install nodejs
  

• 驗證安裝：

  node -v npm -v
  

安全配置

• 使用HTTPS： 通過使用HTTPS協議來加密傳輸的數據，可以防止中間人攻擊和數據泄露?？梢允褂肔et’s Encrypt提供的免費證書。
• 輸入驗證： 使用Mongoose的內置驗證功能來確保用戶提交的數據符合預期的格式和類型。

  const mongoose = require('mongoose');
  const userSchema = new mongoose.Schema({
    username: { type: String, required: true },
    email: { type: String, required: true, unique: true },
    password: { type: String, required: true }
  });
  

• 密碼哈希： 不要明文存儲用戶密碼，而是使用像bcrypt這樣的庫來對密碼進行哈希處理。

  const bcrypt = require('bcrypt');
  const saltRounds = 10;
  userSchema.pre('save', function (next) {
    if (!this.isModified('password')) return next();
    bcrypt.hash(this.password, saltRounds, (err, hash) => {
      if (err) return next(err);
      this.password = hash;
      next();
    });
  });
  

• 限制請求大小： 為了防止拒絕服務(DoS)攻擊，可以使用中間件如express-rate-limit來限制客戶端發送的請求數量。

  const rateLimit = require("express-rate-limit");
  const limiter = rateLimit({
    windowMs: 15 * 60 * 1000, // 15 minutes
    max: 100 // limit each IP to 100 requests per windowMs
  });
  app.use(limiter);
  

• CORS策略： 使用CORS中間件來限制哪些域名可以訪問你的API，并設置適當的響應頭以增強安全性。

  const cors = require('cors');
  app.use(cors({
    origin: 'https://yourwebsite.com', // 只允許來自特定域的請求
    credentials: true, // 允許攜帶cookies等憑證信息
    optionsSuccessStatus: 200 // 讓預檢請求返回200狀態碼
  }));
  

• 錯誤處理： 不要在生產環境中暴露敏感的錯誤信息給用戶，而應該記錄到日志中，并向用戶顯示一個通用的錯誤消息。

  app.use((err, req, res, next) => {
    console.error(err.stack); // 記錄錯誤到日志文件
    res.status(500).send('Something went wrong!'); // 向用戶顯示通用錯誤消息
  });
  

• 更新依賴： 定期檢查并更新你的項目依賴項，以確保你使用的是最新的安全補丁和修復程序。
• 避免XSS攻擊： 使用像helmet這樣的庫來設置適當的HTTP頭部以防止跨站腳本攻擊(XSS)。

  const helmet = require('helmet');
  app.use(helmet());
  

• 避免SQL注入： 雖然Mongoose默認會轉義查詢參數，但始終要謹慎地處理用戶提供的數據，避免直接拼接字符串來構建查詢。
• 使用CSRF保護： 如果你的應用支持表單提交，考慮使用像csurf這樣的中間件來防止跨站請求偽造(CSRF)攻擊。

  const csurf = require('csurf');
  app.use(csurf());
  

參考資源

• Node.js安全指南
• OWASP Node.js Security Cheat Sheet