Node.js 作为一款领先的 JavaScript 运行时环境，其市场份额正在稳步增长。 然而，任何技术的普及都会吸引各方人士的关注，包括安全专家和潜在的攻击者。
尽管 Node.js 的核心设计是安全的，但当引入第三方包时，其配置、安装和部署方式可能会带来新的安全隐患。 为了保护 Web 应用程序免受攻击，我们必须采取额外的安全措施。 统计数据显示，大约 83% 的 Snyk 用户在其应用程序中发现了一个或多个安全漏洞，Snyk 是一款常用的 Node.js 安全扫描平台。
此外，一项最新研究指出，整个 npm 生态系统中约有 14% 的部分受到了安全问题的影响。
在之前的文章中，我们讨论了如何在 Node.js 应用程序中查找安全漏洞。 现在，许多人想知道如何修复这些漏洞，并加强应用的安全性。因此，本文将深入探讨提高 Node.js 安全性的最佳实践以及相关的工具。
提高 Node.js 安全性的最佳实践
没有哪种框架（包括 Node.js）可以声称拥有 100% 的安全性。 因此，为了规避风险，必须遵循以下安全实践：
- 定期记录和监控活动，以便及时检测潜在的漏洞。
- 避免阻塞事件循环，以确保应用程序的响应速度。
- 使用扁平的 Promise 链来减少嵌套错误层级，便于问题追踪。
- 为你的生态系统创建强大的身份验证策略，防止未授权访问。
- 妥善管理错误，防止潜在的攻击者利用错误信息。
- 在应用程序中使用反 CSRF 令牌，防止跨站请求伪造攻击。
- 仅发送必要的信息，减少数据泄露的风险。
- 使用 cookie 标志正确管理会话，防止会话劫持。
- 控制请求大小，以防止 DoS 攻击。
- 使用自定义的包设置和非默认用户密码，提高安全性。
- 对每个请求实施访问控制规则，防止越权访问。
- 定期更新软件包，以抵御新的威胁和攻击。
- 使用适当的安全标头，防止网络安全漏洞。
- 避免使用危险的函数，确保应用程序的稳定性。
- 使用严格模式，减少错误和潜在的漏洞。
接下来，我们将探讨保护 Node.js 应用程序安全的最佳工具。
Snyk
Snyk 可以集成到 GitHub、Jenkins、Circle CI、Travis、Code Ship 和 Bamboo 等 CI/CD 工具中，帮助查找并修复已知漏洞。
它能够让你了解应用程序的依赖关系，并在代码中检测到风险时发出实时警报。
从整体来看，Snyk 提供了全面的安全防护，包括：
- 查找代码中的漏洞。
- 实时监控代码。
- 修复存在漏洞的依赖项。
- 当新的漏洞影响你的应用程序时，你将收到通知。
- 支持与团队成员协作。
Snyk 维护着自己的漏洞数据库，目前支持 Node.js、Ruby、Scala、Python、PHP、.NET 和 Go 等多种语言。
Jscrambler
Jscrambler 采用一种独特的方式，从客户端提供代码和网页的完整性保护。
Jscrambler 可以使你的 Web 应用程序具有自我防御能力，从而打击欺诈、避免运行时代码修改和数据泄露，并防止声誉和业务损失。
另一个令人兴奋的功能是，它会对应用程序的逻辑和数据进行转换，使其难以理解，并将它们隐藏在客户端。 这增加了猜测应用程序所使用的算法和技术的难度。
Jscrambler 的一些主要特性包括：
- 实时检测、通知和保护。
- 防止代码注入、DOM 篡改、浏览器中间人攻击、机器人攻击和零日攻击。
- 保护凭证、信用卡和私人数据，防止泄露。
- 预防恶意软件注入。
Jscrambler 支持大多数 JavaScript 框架，如 Angular、Ionic、Meteor、Vue.js、React、Express、Socket、React 和 Koa 等。
因此，不妨尝试使用 Jscrambler 来增强 JavaScript 应用程序的安全性。
Cloudflare WAF
Cloudflare WAF（Web 应用程序防火墙）在云端（网络边缘）保护你的 Web 应用程序。 你不需要在 Node.js 应用程序中安装任何东西。
你可以使用三种类型的 WAF 规则：
- OWASP – 保护应用程序免受 OWASP 十大漏洞的影响。
- 自定义规则 – 你可以定义自己的规则。
- Cloudflare 特色规则 – Cloudflare 根据应用程序情况定义的规则。
通过使用 Cloudflare，你可以在不影响网站性能的前提下增强安全性，并利用其快速的 CDN 来实现更好的内容分发。 Cloudflare WAF 在 Pro 计划中提供，每月费用为 20 美元。
另一个基于云的安全提供商选项是Sucuri 和 StackPath，它提供完整的网站安全解决方案，防止 DDoS 攻击、恶意软件和已知漏洞等。
Helmet
市面上有很多不同的安全工具，这让初创公司和刚入行的专业人士在选择适合自己项目的工具时感到困惑。 因此，在这里，我们将介绍 Helmet.js！Helmet 是一个基于 Node.js 的模块。
其主要功能是通过配置 HTTP 标头来增强应用程序的安全性，从而防御诸如跨站脚本和点击劫持攻击等潜在的网络威胁。
Helmet 内置的模块非常方便，并提供适当的安全保障。 下面列出了我认为值得分享的模块：
- 内容安全策略
- X 框架选项
- 公钥密码
- 缓存控制
- 推荐人政策
- X-XSS-保护
总的来说，Helmet 是一个值得推荐的工具，因为它涵盖了与安全相关的各个方面。
N|Solid
N|Solid 是一个即插即用的平台，用于运行关键的 Node.js 应用程序。
它具有内置的实时漏洞扫描和自定义安全策略，可以增强应用程序的安全性。 你可以将其配置为在 Node.js 应用程序中检测到新的安全漏洞时发出警报。
Rate Limit Flexible
使用这个小巧的包，可以限制速率并触发事件。 这有助于防止 DDoS 和暴力攻击。
以下是一些使用案例：
- 登录端点保护。
- 爬虫/机器人速率限制。
- 内存块策略。
- 基于用户操作的动态阻止。
- IP 限速。
- 阻止过多的登录尝试。
你可能会担心这是否会减慢应用程序的速度？
实际上，你甚至不会注意到这一点。 它的速度非常快，在集群环境中，平均请求的增加量仅为 0.7 毫秒。
AppTrana 云 Waap (WAF)
AppTrana 被认为是一个完全托管的 WAF 解决方案，可以为 Web 应用程序提供端到端的安全解决方案。 它以其优质的服务和功能而闻名，以下是一些特点：
- 基于威胁的安全性：为了保护 Web 应用程序，AppTrana 采用以风险为导向的方法。 除了机器人缓解服务外，它还可以针对 API 风险和 DDoS 攻击提供出色的保护。 此外，它还有助于确保卓越的性能和不间断的可用性。
- 漏洞识别：AppTrana 将手动渗透测试（人类安全专家定期测试应用程序以识别潜在漏洞）与自动扫描工具相结合，以检测常见的安全威胁。
- 通过安全 CDN 实现 Web 加速：AppTrana 通过部署内容交付网络 (CDN) 来优先考虑 Web 加速。 CDN 服务通过缓存靠近最终用户的内容、减少延迟和增加响应时间来提高网站性能。 AppTrana 的 CDN 旨在与 WAF 功能安全地协同工作。
综上所述，AppTrana 值得在列表中占据一席之地。 如果你想保护你的应用程序并获得理想的结果，我推荐使用 AppTrana！
RASP (运行时应用程序自我保护)
许多组织都在关注安全问题及其解决方案。 因此，人们开发了各种工具来帮助组织发现漏洞和安全缺陷。 这个列表包含了可以帮助组织和初创公司保护其 Web 应用程序安全的工具，其中就包括 RASP (运行时应用程序自我保护)。
RASP 对于组织来说是一个绝佳的选择。 它保护云原生应用程序免受漏洞攻击，并提供内部安全性，确保应用程序安全。
RASP 具有出色的攻击检测功能，这意味着它可以实时检测和防御攻击。 它就像盔甲一样，可以防止点击劫持、未验证的重定向和格式错误的内容类型等攻击。
不仅如此，RASP 还会为你的 Web 应用程序的弱点提供支持。 它还可以与主动应用程序、第三方应用程序、API、云应用程序和微服务集成。
RASP 和 WAF 的双重作用，可以实现深度防御。 其出色的功能对于初创公司和组织来说具有足够的吸引力，可以确保其 Web 应用程序的安全，并帮助他们轻松发现漏洞。
DOMPurify
以下介绍的工具速度非常快！ 开发人员称其为“sanitizer”，因为它是保护 Node.js 应用程序安全的可靠工具。DOMPurify 可以防止 XSS 攻击和其他漏洞，并且在开发者社区中越来越受欢迎。
该工具的主要吸引力在于其速度和易用性。 它可以快速扫描、检测和消除应用程序中的安全威胁。 DOMPurify 在服务器端与 Node.js 一起工作。 因此，安装简单方便。
为了使用 DOMPurify，需要先安装 “jsdom”。 如果你希望增强安全性并消除重大安全威胁，我建议你使用此工具。
结论
希望以上安全保护工具列表能帮助你保护 Node.js 应用程序的安全。
此外，别忘了检查监控解决方案。