Node.js应用安全加固指南：防范 XSS、CSRF、SQL 注入与命令注入

一、引言：当Web安全遇到JavaScript

某深夜，运营同事突然在群里@全体成员："网站用户数据好像泄露了！"作为Node.js开发者，你看着自己亲手构建的系统，手心开始冒汗。这不是演习，而是真实的网络攻击案例。在这个前后端分离的时代，Node.js凭借其高性能特性成为企业首选的服务器运行时环境，但随之而来的安全问题也像定时炸弹般潜伏在我们的代码中。

二、安全威胁全景图

2.1 XSS（跨站脚本攻击）

应用场景：用户评论区未过滤的恶意脚本，窃取访问者cookie
技术原理：攻击者注入恶意脚本到网页，当其他用户浏览时触发

// 漏洞示例（使用Express框架）
app.get('/search', (req, res) => {
  const query = req.query.q;
  // 危险：直接输出未处理的内容
  res.send(`<h1>搜索结果：${query}</h1>`);
});

2.2 CSRF（跨站请求伪造）

应用场景：用户登录银行网站后访问恶意链接导致转账
技术原理：利用用户的登录态伪造合法请求

// 漏洞示例（使用Express+Session）
app.post('/transfer', (req, res) => {
  const { to, amount } = req.body;
  // 未验证请求来源
  db.execute(`UPDATE accounts SET balance = balance - ${amount} WHERE user = '${req.session.user}'`);
});

2.3 SQL注入

应用场景：用户登录表单输入特殊字符突破数据库权限
技术原理：拼接SQL语句导致执行恶意命令

// 漏洞示例（使用mysql2模块）
app.post('/login', (req, res) => {
  const { username, password } = req.body;
  connection.query(
    `SELECT * FROM users WHERE username='${username}' AND password='${password}'`,
    (err, results) => {...}
  );
});

2.4 命令注入

应用场景：运维面板执行用户输入的系统命令
技术原理：未过滤用户输入导致系统命令执行

// 漏洞示例（使用child_process）
app.get('/ping', (req, res) => {
  const ip = req.query.ip;
  // 危险：直接拼接命令参数
  exec(`ping -c 4 ${ip}`, (err, stdout) => {...});
});

三、防御方案实战指南

3.1 XSS防御三部曲

// 修复方案（使用express-validator+DOMPurify）
const { body, validationResult } = require('express-validator');
const createDOMPurify = require('dompurify');
const { JSDOM } = require('jsdom');

app.get('/search', 
  // 验证层
  [query('q').trim().escape()], 
  (req, res) => {
    const errors = validationResult(req);
    if (!errors.isEmpty()) return res.status(400).send("非法参数");
    
    // 净化层（针对富文本场景）
    const dirty = req.query.q;
    const window = new JSDOM('').window;
    const purify = createDOMPurify(window);
    const clean = purify.sanitize(dirty);

    // 输出层设置Content-Security-Policy
    res.set("Content-Security-Policy", "default-src 'self'");
    res.send(`<h1>搜索结果：${clean}</h1>`);
});

3.2 CSRF防御令牌机制

// 修复方案（使用csurf中间件）
const csrf = require('csurf');
const cookieParser = require('cookie-parser');

app.use(cookieParser());
app.use(csrf({ cookie: true }));

// 表单页返回CSRF token
app.get('/transfer', (req, res) => {
  res.send(`
    <form action="/transfer" method="POST">
      <input type="hidden" name="_csrf" value="${req.csrfToken()}">
      <input name="amount">
      <button>转账</button>
    </form>
  `);
});

// 验证CSRF令牌
app.post('/transfer', 
  express.urlencoded({ extended: true }),
  (req, res) => {
    if (!req.csrfToken()) return res.status(403).send('非法请求');
    // 业务逻辑...
});

3.3 SQL注入参数化防御

// 修复方案（使用Sequelize ORM）
const { Sequelize, Model, DataTypes } = require('sequelize');
const sequelize = new Sequelize('sqlite::memory:');

class User extends Model {}
User.init({
  username: DataTypes.STRING,
  password: DataTypes.STRING
}, { sequelize });

app.post('/login', 
  express.json(),
  async (req, res) => {
    // 使用参数化查询
    const user = await User.findOne({
      where: {
        username: req.body.username,
        password: req.body.password
      }
    });
    // 返回登录结果...
});

3.4 命令注入过滤方案

// 修复方案（使用validator+child_process.spawn）
const validator = require('validator');
const { spawn } = require('child_process');

app.get('/ping', 
  [query('ip').custom(value => {
    if (!validator.isIP(value)) throw new Error('非法IP地址');
    return true;
  })],
  (req, res) => {
    const errors = validationResult(req);
    if (!errors.isEmpty()) return res.status(400).send("非法参数");
    
    // 安全执行命令
    const proc = spawn('ping', ['-c', '4', req.query.ip]);
    let output = '';
    proc.stdout.on('data', data => output += data);
    proc.on('close', code => res.send(output));
});

四、关联技术深度解析

Helmet中间件是现代Node.js应用的安全防护罩：

const helmet = require('helmet');
app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'", "trusted.cdn.com"]
    }
  },
  hsts: { maxAge: 31536000 },
  frameguard: { action: 'deny' }
}));

加密技术选择是认证系统的基石：

// 使用bcrypt处理密码
const bcrypt = require('bcrypt');
const saltRounds = 10;

async function register(user) {
  const hash = await bcrypt.hash(user.password, saltRounds);
  await User.create({...user, password: hash});
}

async function login(credentials) {
  const user = await User.findOne({ where: { username: credentials.username }});
  if (!user) throw new Error('用户不存在');
  const match = await bcrypt.compare(credentials.password, user.password);
  return match ? user : null;
}

五、应用场景与技术选型

电商系统安全建设需特别注意：

1. 商品详情页防范XSS存储型攻击
2. 支付接口必须配置CSRF保护
3. 用户搜索推荐系统防范SQL注入
4. 物流查询接口严格校验命令参数

技术栈对比表：

六、实践经验与防范建议

典型错误案例：

1. 在错误的位置使用escape()方法
2. 忘记配置SameSite Cookie属性
3. ORM框架中混用原始查询
4. 未正确处理文件上传路径

安全编码规范建议：

1. 输入验证：所有外部输入都视为不可信
2. 最小权限：数据库账户使用只读权限
3. 深度防御：同时启用WAF和应用层防护
4. 持续审计：使用npm audit定期扫描依赖

七、总结与展望

通过上述案例我们可以看到，Node.js应用安全是系统化工程。采用helmet加固头部安全、express-validator规范输入验证、Sequelize避免原生SQL操作、child_process的安全调用模式，可以构建起有效的防御体系。但安全不是静态的，需要持续关注OWASP Top 10的更新，及时应对新型攻击手段。