Ubuntu Node.js應用如何保證安全

在Ubuntu上部署Node.js應用時，保證其安全性至關重要。以下是一些關鍵的安全措施和最佳實踐：

系統更新與補丁管理

• 定期更新：保持系統和所有軟件包都是最新的，以修補已知的安全漏洞。

  sudo apt update && sudo apt upgrade -y
  

• 自動更新：使用 unattended-upgrades 包實現系統的自動更新。

  sudo apt install unattended-upgrades
  

用戶和權限管理

• 創建新用戶：避免使用root賬戶，創建具有最小權限的新用戶。

  sudo adduser deploy
  sudo usermod -aG sudo deploy
  

• 最小權限原則：使用sudo限制用戶對特定命令的訪問權限。

  sudo visudo
  

安全配置Node.js和npm

• 使用nvm管理Node.js版本：避免使用固定版本的Node.js，減少安全風險。

  curl -o- https://raw.githubusercontent.com/nvm-sh/nvm/v0.38.0/install.sh | bash
  source ~/.bashrc
  nvm install node
  

• 配置npm鏡像：使用國內的鏡像源，如淘寶NPM鏡像。

  npm config set registry https://registry.npm.taobao.org
  

依賴管理

• 定期檢查和更新依賴項：使用 npm audit 和 snyk 等工具定期檢查和更新項目的依賴項。

  npm audit fix
  

輸入驗證與清理

• 驗證和清理用戶輸入：使用庫如 DOMPurify、express-validator 來防止XSS、SQL注入等攻擊。

  const { check, validationResult } = require('express-validator');
  app.post('/upload', [
    check('filename').isLength({ min: 1 }).withMessage('File name must be at least 1 character long'),
    check('content').isLength({ min: 1 }).withMessage('File content must be at least 1 character long')
  ], (req, res) => {
    const errors = validationResult(req);
    if (!errors.isEmpty()) {
      return res.status(422).json({ errors: errors.array() });
    }
    // Process the file upload
  });
  

使用安全的HTTP頭

• 使用Helmet中間件：設置安全的HTTP頭，防止某些類型的攻擊，如XSS和點擊劫持。

  const helmet = require('helmet');
  app.use(helmet());
  

加密敏感數據

• 加密傳輸數據：使用HTTPS協議來加密數據傳輸，防止中間人攻擊。

  const https = require('https');
  const fs = require('fs');
  const options = {
    key: fs.readFileSync('path/to/key.pem'),
    cert: fs.readFileSync('path/to/cert.pem')
  };
  https.createServer(options, (req, res) => {
    res.writeHead(200);
    res.end('Hello world\n');
  }).listen(443);
  

日志記錄和監控

• 實施日志記錄和監控：使用監控工具如New Relic或Datadog來實時了解應用程序的性能和安全性。

  const bunyan = require('bunyan');
  const log = bunyan.createLogger({
    name: 'my-app',
    level: bunyan.INFO,
    streams: [{ stream: process.stdout }]
  });
  

其他最佳實踐

• 避免使用eval()：防止代碼注入攻擊。
• 配置AppArmor：限制進程訪問文件系統、網絡等。

  sudo aa-status