Linux Node.js如何实现安全防护

Linux 上 Node.js 安全防护实践清单

一 运行环境与权限

• 使用 NVM 或系统仓库安装与切换 Node.js，便于快速升级与回滚；生产环境保持 Node 与依赖为最新稳定版，及时修复已知漏洞。
• 以非 root用户运行服务，遵循最小权限原则；数据库与文件系统权限仅授予必要操作。
• 进程前台运行便于 systemd 监管，异常自动重启并隔离故障。
• 示例：创建专用用户并启动服务
  • sudo useradd -r -s /usr/sbin/nologin -m nodeapp
  • sudo -u nodeapp nohup node /opt/app/server.js > /var/log/nodeapp/stdout.log 2>&1 &
• 建议：禁止在生产启用 远程调试/REPL（–inspect 仅内网临时使用），避免暴露调试端口。

二 网络与边界防护

• 仅开放必要端口（如 22/80/443），使用 UFW 或 iptables 实施白名单；对管理口与敏感接口可基于 IP 限制访问。
• 使用 Nginx/Apache 作为反向代理与静态资源服务器，隐藏后端 Node.js 真实端口与实现细节，同时提供 TLS/HTTPS、压缩与缓存能力。
• 在反向代理或网关层实施 限流/速率限制，缓解 DoS/暴力请求 与爬虫滥用。
• 示例：UFW 放行与 IP 限制
  • sudo ufw allow 22,80,443/tcp
  • sudo ufw allow from 203.0.113.10 to any port 3000
  • sudo ufw enable
• 示例：Nginx 反向代理与 TLS
  • 将证书与私钥挂载至受控目录，配置 443 端口与 proxy_pass 到 http://127.0.0.1:3000。

三 应用层安全控制

• 强制 HTTPS，禁用明文 HTTP；设置安全传输与 HSTS，避免 中间人攻击。
• 使用 Helmet 设置安全响应头（如 X-Frame-Options、X-XSS-Protection、X-Content-Type-Options、Referrer-Policy 等），并按需配置 CSP 降低 XSS 风险。
• 严格 CORS 策略：仅允许受信源、方法与头部；避免通配符来源。
• 全链路输入校验与输出编码，防范 SQL 注入、命令注入、XSS；优先使用参数化查询/ORM。
• 身份认证与授权：强口令策略、限流登录、多因素认证（MFA）、会话管理（HttpOnly/Secure/ SameSite）。
• 安全反序列化与 JWT：校验签名与时效，避免反序列化不可信数据。
• 错误处理：不暴露堆栈与内部路径，统一错误码与日志级别。

四 依赖与代码安全

• 使用 npm audit / npm outdated 与 Snyk 持续扫描依赖漏洞，及时升级；在 package.json 中固定版本并使用锁定文件（如 package-lock.json）确保可复现构建。
• 避免或最小化使用 eval、new Function、不安全的第三方库；启用 lint/安全规则（如 eslint-plugin-security）。
• 定期代码审查与安全回归测试，关注依赖变更引入的新风险。

五 运维监控与备份

• 结构化日志与审计：使用 Winston/Morgan 记录访问与错误日志，集中到受控存储；避免记录密钥/敏感信息。
• 进程监管与自恢复：使用 systemd 配置 Restart=on-failure、资源限制与日志轮转；关键路径设置 健康检查 与告警。
• 备份与恢复演练：定期备份代码、配置与数据库，验证可恢复性与时效性；保留离线/异地副本。
• 安全配置基线：开启 防火墙、最小暴露面、定期补丁与基线核查；对公网接口设置速率限制与黑白名单。