Debian Node.js安全设置怎么做 - 问答

Debian 上 Node.js 的安全设置清单

一系统与账户安全

保持系统更新：执行 sudo apt update && sudo apt upgrade -y，及时修补内核与基础组件漏洞。
最小权限运行：创建非 root系统用户运行应用，禁止直接用 root 启动 Node；如需全局包，使用独立目录或 NVM 避免权限冲突。
强化 SSH：禁用 root 远程登录与空密码，使用 SSH 密钥认证，必要时更改默认端口，重启 sshd 生效。
防火墙收紧：仅开放必要端口（如 22/80/443），生产环境不建议直曝 Node.js 端口（如 3000），优先用 Nginx/反向代理。

二运行时与应用安全

启用 HTTPS：使用 Let’s Encrypt/certbot 获取免费证书，建议由 Nginx 终止 TLS，Node 仅处理业务流量。
安全响应头：使用 Helmet 设置 X-Frame-Options、X-XSS-Protection、Strict-Transport-Security 等；按需启用 CSP（内容安全策略） 降低 XSS 风险。
输入校验与速率限制：对所有用户输入进行校验与清理；对登录/注册/短信/支付等接口实施限流，缓解暴力与滥用。
安全存储与错误处理：密码使用 bcrypt/scrypt 等强哈希；生产环境不暴露堆栈与敏感信息，统一错误日志与用户友好提示。
依赖与供应链安全：定期执行 npm audit / npm outdated，必要时用 Snyk 做漏洞监测与修复；锁定依赖版本，谨慎引入新包。
进程管理与高可用：使用 PM2 守护进程、集群模式与自动重启，结合日志轮转与监控告警。

三网络与反向代理配置

反向代理与静态资源：由 Nginx 处理 TLS/压缩/缓存/静态文件，Node 仅提供 API；设置合适的 proxy_read_timeout 与缓冲策略。
精细化访问控制：配置 CORS 白名单、仅允许必要 HTTP 方法/头；必要时启用 CSRF 保护表单与状态变更接口。
请求大小限制：限制 body-parser 与上传大小，防止 DoS/内存耗尽。
示例 Nginx 片段（将 443 流量反向代理到本地 3000）：
server {
listen 443 ssl; server_name yourdomain.com;
ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
location / { proxy_pass http://127.0.0.1:3000; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; }
}

四快速命令清单

系统与防火墙：
sudo apt update && sudo apt upgrade -y
sudo ufw allow 22,80,443/tcp && sudo ufw enable
SSH 加固：
sudo sed -i ‘s/^#PermitRootLogin./PermitRootLogin no/’ /etc/ssh/sshd_config
sudo sed -i ‘s/^#PermitEmptyPasswords./PermitEmptyPasswords no/’ /etc/ssh/sshd_config
sudo systemctl restart sshd
HTTPS（Nginx + certbot）：
sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d yourdomain.com
Node 安全依赖与中间件：
npm i -S helmet express-rate-limit express-validator bcrypt
进程守护：
sudo npm i -g pm2 && pm2 start app.js -i max --name “myapp”

五持续运维与加固

0 赞

0 踩