Node.js 是领先的 JavaScript 运行时之一，正在逐渐占领市场份额。
当任何技术变得流行时，它们就会接触到数百万专业人士，包括安全专家、攻击者、黑客等。
Node.js 核心是安全的，但当您安装第三方软件包时，您的配置、安装和部署方式可能需要额外的安全性来保护 Web 应用程序免受黑客攻击。 为了了解情况，83% 的 Snyk 用户在其应用程序中发现了一个或多个漏洞。 Snyk 是流行的 Node.js 安全扫描平台之一。
还有另一个 最新研究 显示整个 npm 生态系统的约 14% 受到影响。
在我的上一篇文章中，我提到在 Node.js 应用程序中查找安全漏洞，许多人询问如何修复/保护它们。
目录
提高 Node JS 安全性的最佳实践
没有任何框架（包括 Node JS）可以被认为是 100% 安全的。 因此，您必须遵循这些安全实践以避免风险。
- 定期记录和监控活动以检测漏洞
- 不要阻塞事件循环
- 使用扁平的 Promise 链来避免嵌套层错误
- 为您的生态系统创建强大的身份验证策略
- 管理错误以防止未经授权的攻击
- 在您的应用程序中使用反 CSRF 令牌
- 仅发送基本信息来阻止数据泄露
- 使用 cookie 标志正确管理会话
- 控制请求大小以防止 DoS 攻击
- 使用自定义的包设置和非默认用户密码
- 对每个请求实施访问控制规则
- 定期更新软件包以抵御威胁和攻击
- 使用适当的安全标头防止网络安全漏洞
- 为了应用的稳定性，不要使用危险的函数
- 使用严格模式以避免错误和错误
现在，我们探索保护 NodeJS 应用程序安全的最佳工具。
斯尼克
斯尼克 可以集成到 GitHub、Jenkins、Circle CI、Tarvis、Code Ship 和 Bamboo 中，以查找并修复已知漏洞。
您可以了解应用程序依赖关系，并在代码中发现风险时监控实时警报。
在较高层面上，Snyk 提供完整的安全保护，包括以下内容。
- 查找代码中的漏洞
- 实时监控代码
- 修复易受攻击的依赖项
- 当新的弱点影响您的应用程序时，您会收到通知。
- 与您的团队成员合作
Snyk 维护自己的 漏洞数据库， 目前，它支持 Node.js、Ruby、Scala、Python、PHP、.NET、Go 等。
加扰器
加扰器 采用一种有趣、独特的方法在客户端提供代码和网页完整性。
Jscrambler 使您的 Web 应用程序具有自我防御能力，以打击欺诈、避免运行时代码修改和数据泄露，并防止声誉损失和业务损失。
另一个令人兴奋的功能是应用程序逻辑，数据经过转换，使其难以理解并隐藏在客户端。 这使得猜测应用程序中使用的算法和技术变得困难。
Jscrambler 的一些特色包括以下内容。
- 实时检测、通知和保护
- 防止代码注入、DOM 篡改、浏览器中间人、机器人、零日攻击
- 凭证、信用卡、私人数据丢失防护
- 预防恶意软件注入
Jscrambler 支持大多数 JavaScript 框架，如 Angular、Ionic、Meteor、Vue.js、React、Express、Socket、React、Koa 等。
因此，请尝试让您的 JavaScript 应用程序防弹。
Cloudflare WAF
Cloudflare WAF （Web 应用程序防火墙）保护您的 Web 应用程序免受云（网络边缘）的影响。 您不必在节点应用程序中安装任何内容。
您可以获得三种类型的 WAF 规则。
- OWASP – 保护应用程序免受 OWASP 十大漏洞的影响
- 自定义规则 – 您可以定义规则。
- Cloudflare 特价 – Cloudflare 根据应用程序定义的规则。
通过使用 Cloudflare，您无需增加站点的安全性，并可利用其快速 CDN 来实现更好的内容交付。 Cloudflare WAF 在 Pro 计划中提供，每月费用为 20 美元。
另一个基于云的安全提供商选项是 苏库里 StackPath，一个完整的站点安全解决方案，可防止 DDoS、恶意软件、已知漏洞等。
头盔
当今市场上有不同的工具，这就是初创公司和年轻专业人士对于应该为他们的特定工作选择哪一个感到困惑的地方。 在这里，我介绍一下，Helmet.JS！ 头盔 基于 Node.JS 模块。
其基本功能包括通过配置 HTTP 标头来增强应用程序的安全性，并防范潜在的在线威胁，例如跨站点脚本和点击劫持攻击。
其内置模块非常方便，并提供适当的安全备份。 下面提到了我发现的一些可共享的模块：
- 内容安全策略
- X 框架选项
- 公钥密码
- 缓存控制
- 推荐人政策
- X-XSS-保护
总的来说，我发现这个工具值得列入列表，因为它涵盖了与安全相关的方面。
N|固体
N|固体 是一个用于运行任务关键型 Node.js 应用程序的即插即用替代平台。
它具有内置的实时漏洞扫描和自定义安全策略，以增强应用程序安全性。 您可以将其配置为在 Nodejs 应用程序中检测到新的安全漏洞时收到警报。
速率限制灵活
用这个 小包装 限制速率并触发事件的函数。 这将有助于防止 DDoS 和暴力攻击。
一些用例如下。
- 登录端点保护
- 爬虫/机器人速率限制
- 内存块策略
- 基于用户操作的动态阻止
- IP限速
- 阻止过多的登录尝试
想知道这是否会减慢应用程序的速度？
不，你甚至不会注意到这一点。 它很快; 在集群环境中平均请求增加 0.7ms。
AppTrana 云 Waap (WAF)
应用特拉纳 已被视为完全托管的 WAF 解决方案。 它可以提供有关Web应用程序的端到端安全解决方案。 它以其有吸引力的服务和功能而闻名，其中一些如下：
- 基于威胁的安全性：为了保护 Web 应用程序，如上所述，AppTrana 使用特定且重要的基于风险的方法。 除了机器人缓解服务的保护之外，它还可以针对 API 风险和 DDoS 攻击提供出色的安全性。 此外，它还有助于确保卓越的性能和不间断的可用性。
- 漏洞识别：为了检测漏洞，AppTrana 将手动渗透测试（包括人类安全专家定期测试应用程序以识别潜在漏洞）与能够识别常见安全威胁的自动扫描工具相结合。
- 通过安全 CDN 进行 Web 加速：除了安全性之外，AppTrana 还通过部署内容交付网络 (CDN) 优先考虑 Web 加速。 CDN 服务通过缓存更靠近最终用户的内容、降低延迟和增加响应时间来提高网站性能。 AppTrana 的 CDN 旨在与 WAF 功能安全地协同工作。
看看它的服务和功能。 我相信这个工具值得在列表中占据一席之地。 我推荐使用AppTrana； 如果您想保护您的应用程序并获得您想要的结果，请切换到 AppTrana！
RASP（运行时应用程序自我保护）
许多组织都在关注安全问题及其解决方案。 人们已经开发了各种工具来帮助组织发现漏洞和安全漏洞。 该列表包括帮助组织和初创公司保护其 Web 应用程序安全的工具。 我们有 ”RASP（运行时应用程序自我保护）“ 他们之中！
该工具对于组织来说是一个绝佳的选择。 它保护云原生应用程序免受漏洞影响，并提供内部安全性，确保应用程序安全。
RASP具有出色的攻击检测功能，这意味着RASP可以实时检测并防御攻击。 该工具就像盔甲一样，可以防止点击劫持、未经验证的重定向、格式错误的内容类型等攻击。
这还不够！ 它也会为您的 Web 应用程序弱点提供支持，从而为您提供支持。 RASP 可以与主动应用程序、第三方应用程序、API、云应用程序和微服务集成。
说实话，我觉得这个工具可以通过 WAF 和 RASP 的双重作用来保护您的 Web 应用程序，这可能意味着深度防御。 它出色且急需的功能对于初创公司和组织来说具有足够的吸引力，可以确保他们的 Web 应用程序安全并帮助他们轻松发现漏洞。
DOM纯化
以下工具速度不快； 实在是太快了！ 开发人员称其为“sanitizer”，因为它是保护 Node.js 应用程序安全的可靠工具。 多姆净化 防止 XSS 攻击和其他漏洞，并证明自己是开发者社区中的新兴明星。
该工具的主要吸引力在于其速度和易用性。 它可以快速扫描、检测和消除应用程序的安全威胁。 DOMPurify 在服务器端与 Node.js 一起工作。 因此，安装简单且方便。
要继续使用 DOMPurify，您需要先安装“jsdom”。 如果您想增强安全性并消除重大安全威胁，我建议您使用此工具。
结论
我希望上面的安全保护列表可以帮助您保护 NodeJS 应用程序的安全。
接下来，不要忘记检查监控解决方案。
