如何在Ubuntu上配置Node.js安全

Ubuntu上Node.js安全配置清单

一 系统与账户安全

• 保持系统与软件包为最新：执行sudo apt update && sudo apt upgrade，及时修补漏洞。
• 启用自动安全更新：安装并配置unattended-upgrades，编辑**/etc/apt/apt.conf.d/50unattended-upgrades**以启用安全仓库自动安装。
• 强化SSH：修改默认端口、禁用root登录、仅允许密钥认证、设置空闲超时；配合UFW仅放行必要端口（如SSH 22、HTTP 80、HTTPS 443）。
• 最小权限运行：创建非root专用用户运行Node.js，避免在生产中以root身份启动进程。

二 Node.js与npm安全

• 版本管理：优先使用nvm安装与切换Node.js版本，便于快速获得安全修复与多版本并存。
• 全局包目录：为npm设置安全的全局包目录，避免与系统目录混用引发权限与污染问题。
• 依赖安全：定期执行npm audit / npm audit fix与npm outdated，及时修复已知漏洞与过时依赖。
• 可选安全增强：按需配置npm的代理/缓存目录；如需对安装包进行完整性校验，可使用npm sign能力。

三 运行时与应用安全

• 强制使用HTTPS：部署TLS/SSL证书（如Let’s Encrypt）并在Node.js中启用HTTPS服务，防止明文传输与中间人攻击。
• 安全编码与输入校验：避免eval与字符串形式的setTimeout，对用户输入进行校验与清理，防范XSS/SQL注入等。
• 请求与访问控制：启用express-rate-limit限制请求频率防DoS，配置CORS白名单限制来源域。
• 安全响应头：为Express等框架启用Helmet等安全中间件，设置CSP、X-Frame-Options、X-XSS-Protection、Strict-Transport-Security等头部。
• 进程隔离与权限：以非root用户运行，结合**反向代理（Nginx）**处理静态资源、压缩、TLS终止与请求过滤。

四 进程管理与加固

• 进程守护与日志：使用PM2启动与管理进程，开启日志轮转与监控，便于审计与故障排查。
• 反向代理与静态资源：通过Nginx反向代理到本地端口（如3000），统一对外暴露80/443并增强安全与性能。
• 运行时隔离：启用AppArmor等Linux安全模块，为Node.js进程设置文件系统与网络访问白名单，降低被攻陷后的横向影响。

五 监控审计与备份

• 日志与监控：集中记录应用与系统日志，结合Bunyan等结构化日志库，并接入New Relic/Datadog等监控告警平台。
• 定期审计：持续执行npm audit与依赖更新，关注Node.js与npm官方安全通告，及时升级。
• 数据保护：制定定期备份与恢复演练计划，确保配置、数据与证书可快速恢复。