Linux 上保障 Node.js 安全的实用清单
一 运行环境与权限
- 使用非 root专用用户运行进程，遵循最小权限原则；在容器或系统服务中显式切换用户，避免以 root 启动应用。示例：创建系统用户 nodejsUser 并在服务或 Dockerfile 中切换为该用户。
- 通过NVM或NodeSource安装与切换版本，便于快速修补与回滚；避免使用系统自带旧版本。
- 保持运行时与依赖及时更新：升级 Node.js、npm，定期执行npm audit / npm audit fix，并配合 Snyk 做持续依赖漏洞监控。
- 在 CI/CD 中固化依赖版本，提交并锁定 package-lock.json，减少“依赖漂移”带来的风险。
二 传输加密与网络边界
- 全站启用HTTPS/TLS，可使用自签或可信 CA 证书；生产环境建议由Nginx/Apache终止 TLS 并反向代理到本地 Node.js 端口，统一证书管理与性能优化。
- 仅开放必要端口，使用 UFW 等防火墙限制访问：如仅放行 22/80/443；云环境同步配置安全组策略。
- 配置CORS白名单，仅允许受信源、限定方法与头部；启用Helmet设置安全响应头并配置CSP降低 XSS 风险。
- 实施限流与防滥用策略（如 express-rate-limit），缓解暴力登录、爬虫与简单 DoS。
三 代码与依赖安全
- 严格输入校验与输出编码，防范 SQL 注入、XSS、命令注入；避免 eval、不安全的反序列化与动态拼接 SQL。
- 采用参数化查询/ORM访问数据库；对外部数据与模板渲染进行净化与转义。
- 安全的身份认证与授权：使用 bcrypt/scrypt 等强哈希；实现登录失败锁定与多因素认证（MFA）；对 JWT 等令牌设置合理过期与签名策略。
- 统一错误处理，不在响应中泄露堆栈、路径、配置等敏感信息；对异常进行分级与审计。
- 使用环境变量管理密钥与配置，禁止硬编码；结合 dotenv 在开发与测试环境加载变量。
四 日志与监控审计
- 使用成熟日志库（如 Winston/Pino/Bunyan）与进程管理工具（如 PM2）进行结构化日志、分割与轮转；集中到受控目录。
- 设置文件权限与访问控制：日志文件遵循最小权限，如 644；必要时仅对特定用户/组可读；定期审计权限与完整性。
- 对含敏感数据的日志实施传输与存储加密；采用 logrotate 做按日/大小切割、压缩与保留策略（如保留最近 7 天）。
- 开启访问与错误日志，并接入实时监控/告警（如 Datadog/New Relic 或自建），对异常流量、频繁 4xx/5xx、登录异常等进行告警。
五 快速检查清单与常用命令
- 版本与依赖：
- 查看与升级：node -v；使用 n 或 nvm 升级到稳定版；执行 npm audit fix 与 snyk test。
- 进程与权限：
- 创建专用用户并切换运行身份；服务单元（systemd）中设置 User=；容器以非 root 用户运行。
- 网络与边界：
- 启用 HTTPS；仅开放 22/80/443；配置 CORS 白名单与 Helmet/CSP；为登录/注册等接口设置限流。
- 日志与审计：
- 使用 PM2/Winston 输出结构化日志；配置 logrotate（示例：保留 7 天、压缩、权限 0640）；定期审计权限与告警异常。