Node常见的三种安全防范手段详解
一、前言
本人主要是讲解在开发Node服务端的时候， 三种关于安全方面的处理
二、预防方式
1、 sql注入
这是一个最原始也最简单的攻击， 从 web2.0 开始有了人机交互后就出现的一种攻击方式
其主要是通过输入 sql 片段， 最终拼接成一段攻击的 sql 代码
当我们使用 node 连接到数据库的时候， 通常会在 node 端写 sql 语句来进行数据库查询， 例如下方
-- 这是一个简易的登录判断sql语句， 输入 username 和 password 在 users 表中进行用户登录验证, 然后获取用户的地址和年龄
select address, age from users where username=${username} and password=${password}
但是如果我在 username 中做点手脚 使他传入的是一个sql语句这样就极其的危险
-- username 输入为 ali --
-- 上面这段 sql 就会被解析成这样
select address, age from users where username=ali -- and password=${password}
看上面的代码片段可以发现， -- 在sql中是属于注释的存在， 所以如果当我在 sql 查询动态获取用户输入的 username 字段中， 如果结尾是 -- 就会把后面password的条件验证去掉
也就是代表用户无论输入什么 password， 只要 username 字段在数据库中存在就可以拿到对应的信息
当然攻击者也可以在后面继续拼接删库的 sql 语句，这其实是更加危险的
-- username 输入为 ali; delete from users where username="ali" --
-- 就会拼接成下面这种语句 这是极其危险的
select address, age from users where username=ali; delete from users where username="ali" -- and password=${password}
处理方案
在 node 开发中连接数据库, 拼接sql语句是使用 mysql 这个npm包， 所以在这个包中也有对应 sql注入 攻击的处理函数
可以使用 mysql.escape函数 ， 对所有来源于前端的数据进行包裹一层， 这个函数会把 -- 或者其他的特殊字符进行转义，这样就不会出现在sql语句中会有注释的情况
2、xss 攻击
这个攻击我们作为前端应该是很熟悉的了
其攻击方式就是在页面的展示内中掺杂 Js 的代码以获取网页信息
在我们开发 Node 服务端的时候， 对前端传来的数据统统处理一下就行了 ，也就是进行特殊字符转义 (所有的转义字符后都需要 加上;这个特殊符号 由于无法演示 我截图的时候去掉了
处理方案
开发 Node 服务端，使用 xss 这个npm包，把前端传入的数据都使用这个包裹一下就行
3、密码加密
假如我们数据库被入侵， 其中最不应该泄露的就是用的信息了
因为攻击者可以拿着用户的账户密码去尝试登录其他的系统
处理方式
这个就需要在数据库不用明文存储用户的密码信息， 在存入数据库之前把密码通过自定义 key 加密一下， 当然这个 key 需要你自己独享 不能泄露
或者通过其他密码算法加密也是可以的
三、结语
最近也是在学习 Node 相关的知识， 以上就是关于开发 Node 服务端，常见的三种安全防范手段
以上就是Node常见的三种安全防范手段详解的详细内容，更多关于Node安全防范的资料请关注猪先飞其它相关文章！
原文出处：https://juejin.cn/post/7199329705706324027
相关文章
- 作为前端，一直以来都知道HTTP劫持与XSS跨站脚本、CSRF跨站请求伪造。防御这些劫持最好的方法是从后端入手，前端能做的太少。而且由于源码的暴露，攻击者很容易绕过防御手段。但这不代表我们去了解这块的相关知识是没意义的，本文的许多方法，用在其他方面也是大有作用。...2021-05-24
- 普通关闭 我的mysql是自己下载的tar包，自己设定安装目录来安装的。停止mysql服务，说来简单，但不知道的话，还真是挠头。在这和mysql入门的同学们共享:)正确方法是，进入mysql的bin目录下，然后执行./mysqladmin -uroot -p shut...2015-11-24
- 这篇文章主要介绍了linux服务器快速卸载安装node环境(简单上手)，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2021-02-22
- 这篇文章主要为大家详细介绍了Node实现搜索框进行模糊查询，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下...2021-06-28
- 这篇文章主要介绍了C#实现线程安全的简易日志记录方法,比较实用的功能,需要的朋友可以参考下...2020-06-25
- 系统:centos 5.9 环境:apache 2.2.25 tomcat 7.0.42 jdk 1.7.0 1.安装apache 我这里是直接yum安装的,如果你们要编译安装也不是不行. 代码如下 ...2016-01-28
- 这篇文章主要介绍了Node.js程序中的本地文件操作用法小结,作为运行在服务器端的JavaScript解释器,Node中自然拥有操作本地文件的方法,需要的朋友可以参考下...2016-03-09
- 我们了解到，Node采用了事件驱动机制，而EventEmitter就是Node实现事件驱动的基础，本文主要介绍了node.js自定义实现EventEmitter，感兴趣的可以了解一下...2021-07-17
- 有段时间没用npm了，新建个项目，需要改变npm全局包默认安装的路径，本文就来介绍一下node自定义安装更改npm全局模块默认安装路径的步骤，感兴趣的可以了解下...2021-09-14
- 这篇文章主要介绍了如何用Node.js编写内存效率高的应用程序，对Node.js感兴趣的同学，可以参考下...2021-05-01
- 当你第一次在机器上安装MySQL时，mysql数据库中的授权表是这样初始化的：你可以从本地主机（localhost）上以root连接而不指定口令。root用户拥有所有权限（包括管理权限） 并可做任何事情。...2013-09-19
- open_basedir的作用就是指定目录位置了,意思是将PHP 所能打开的文件限制在指定的目录树，包括文件本身了，并且不受是不是安全模式的影响。 如下是php.ini中的原文...2016-11-25
- 偶这里是针对的ＷＩＮ平台，现在的站长大部分都用ＷＩＮ２００３,相信没几个站长用低版本儿的操作系统的！...2016-01-27
- 本文章以自己的一些经验来告诉你黑客朋友们会怎么利用你数据库的sql漏洞来把你的数据库下载哦，有需要的同这参考一下本文章。 在数据库中建立一张表： 代码...2016-11-25
Node+Express+MongoDB实现登录注册功能实例
这篇文章主要介绍了Node+Express+MongoDB实现登录注册功能,需要的朋友可以参考下...2017-04-27- 程序如下： ＄file_name = "info_check.exe"; ＄file_dir = "/public/www/download/"; if (!file_exists(＄file_dir . ＄file_name)) { //检查文件是否存在 ...2016-11-25
- 收集和分发数据是网络管理的职责之一，而且必须确保这些数据的准确性和安全性。不管它们是什么操作系统，数据库服务器需要特殊的管理以保证操作上的安全性。 良好的安...2016-11-25
- 最简单粗暴的通信方式是 Nodejs调用一下 Python 脚本，本文详细介绍了Nodejs与Python 双向通信的实现代码，具有一定的参考价值，感兴趣的小伙伴们可以参考一下...2021-07-17
- 这篇文章主要介绍了node中短信api实现验证码登录的示例代码，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2021-01-20
- $_SERVER[’PHP_SELF’]在开发的时候常会用到，一般用来引用当前网页地址，并且它是系统自动生成的全局变量，也会有什么问题么？让我们先看看下面的代码吧： <form ac...2016-11-25