Node.js在CentOS上的安全設置有哪些

在CentOS上配置Node.js應用程序的安全設置是一個多層面的過程，涉及多個方面的措施。以下是一些關鍵的安全設置步驟和最佳實踐：

基礎安全設置

• 系統更新：定期更新系統軟件包，修補已知漏洞。

  sudo yum update -y
  

• 安裝Node.js和npm：通過EPEL倉庫安裝。

  sudo yum install -y epel-release nodejs npm
  

• 環境變量配置：設置Node.js和npm的環境變量，建議使用/etc/profile文件。

  export NODE_HOME=/usr/local/node
  export PATH=$NODE_HOME/bin:$PATH
  source /etc/profile
  

• Node.js版本管理(NVM)：使用NVM管理不同版本的Node.js，方便版本切換和更新。

  curl -o- https://raw.githubusercontent.com/nvm-sh/nvm/v0.39.1/install.sh | bash
  source ~/.bashrc
  nvm install <node版本號>
  nvm use <node版本號>
  

防火墻配置

• 配置firewalld：CentOS 7及更高版本使用firewalld作為默認的防火墻管理工具。

  sudo systemctl status firewalld
  sudo firewall-cmd --permanent --zone=public --add-port=3000/tcp
  sudo firewall-cmd --reload
  

• 配置iptables（可選）：如果需要更細粒度的控制，可以直接使用iptables命令來添加規則。

  iptables -A INPUT -p tcp --dport 3000 -j ACCEPT
  service iptables save
  

HTTPS加密

• 強制使用HTTPS協議：獲取SSL證書并配置到你的應用服務器中。

  sudo npm install -g https-express
  

Node.js應用安全最佳實踐

• 數據驗證：使用驗證庫(例如validator)對用戶輸入進行嚴格驗證，防止惡意數據注入。

  const validator = require('validator');
  const email = 'foo@bar.com';
  console.log(validator.isEmail(email)); // true
  

• 防止SQL注入：使用參數化查詢或ORM框架(例如Sequelize, TypeORM)避免SQL注入攻擊。

  connection.query('UPDATE users SET firstName = ? WHERE id = ?', [req.body.firstName, userId], ...);
  

• 安全會話管理：使用簽名和加密保護會話數據，并選擇安全的會話存儲機制(例如Redis)。

  const crypto = require('crypto');
  const secret = 'your-secret-key';
  // ... (簽名和驗證函數) ...
  

• 訪問控制：限制對API的訪問，僅允許信任的IP地址或域名訪問。

  app.use((req, res, next) => {
    const allowedIPs = ['192.168.1.100', '10.0.0.1'];
    if (!allowedIPs.includes(req.ip)) {
      return res.status(403).send('Forbidden');
    }
    next();
  });
  

• 錯誤處理：妥善處理異常，避免泄露敏感信息，并將錯誤信息記錄到日志中。

  app.use((err, req, res, next) => {
    console.error(err.stack);
    res.status(500).send('Internal Server Error');
  });
  

• 安全中間件：使用安全框架和中間件(例如Express的helmet)增強安全性。

  const express = require('express');
  const helmet = require('helmet');
  const app = express();
  app.use(helmet());
  

操作系統安全加固

• 修改SSH默認端口：編輯 /etc/ssh/sshd_config 文件，將默認端口從22改為其他非標準端口，例如2222。

  Port 2222
  

• 使用SELinux：如果需要更高級別的安全加固，可以啟用SELinux。

  sudo yum install policycoreutils-python-utils
  sudo setenforce 1
  

監控與日志管理

• 監控系統日志：使用journalctl等工具監控系統日志，及時發現異常行為并采取相應措施。
• 日志文件的安全配置：使用強密碼策略，限制對日志文件的訪問，使用SELinux或AppArmor。

數據備份與恢復

• 定期備份：使用logrotate等工具定期備份日志文件，并確保備份文件的安全存儲。

加密與身份驗證

• 加密靜態數據：對靜態敏感數據進行加密，使用LUKS或dm-crypt等解決方案提供磁盤加密。
• 實施雙因素身份驗證：要求用戶在獲得訪問權限前提供兩種形式的身份驗證。