Linux 系统里 Node.js 如何保障安全

Linux 上保障 Node.js 安全的实用清单

一 运行环境与权限

• 使用非 root专用用户运行进程，遵循最小权限原则；在容器或系统服务中显式切换用户，避免以 root 启动应用。示例：创建系统用户 nodejsUser 并在服务或 Dockerfile 中切换为该用户。
• 通过NVM或NodeSource安装与切换版本，便于快速修补与回滚；避免使用系统自带旧版本。
• 保持运行时与依赖及时更新：升级 Node.js、npm，定期执行npm audit / npm audit fix，并配合 Snyk 做持续依赖漏洞监控。
• 在 CI/CD 中固化依赖版本，提交并锁定 package-lock.json，减少“依赖漂移”带来的风险。

二 传输加密与网络边界

• 全站启用HTTPS/TLS，可使用自签或可信 CA 证书；生产环境建议由Nginx/Apache终止 TLS 并反向代理到本地 Node.js 端口，统一证书管理与性能优化。
• 仅开放必要端口，使用 UFW 等防火墙限制访问：如仅放行 22/80/443；云环境同步配置安全组策略。
• 配置CORS白名单，仅允许受信源、限定方法与头部；启用Helmet设置安全响应头并配置CSP降低 XSS 风险。
• 实施限流与防滥用策略（如 express-rate-limit），缓解暴力登录、爬虫与简单 DoS。

三 代码与依赖安全

• 严格输入校验与输出编码，防范 SQL 注入、XSS、命令注入；避免 eval、不安全的反序列化与动态拼接 SQL。
• 采用参数化查询/ORM访问数据库；对外部数据与模板渲染进行净化与转义。
• 安全的身份认证与授权：使用 bcrypt/scrypt 等强哈希；实现登录失败锁定与多因素认证（MFA）；对 JWT 等令牌设置合理过期与签名策略。
• 统一错误处理，不在响应中泄露堆栈、路径、配置等敏感信息；对异常进行分级与审计。
• 使用环境变量管理密钥与配置，禁止硬编码；结合 dotenv 在开发与测试环境加载变量。

四 日志与监控审计

• 使用成熟日志库（如 Winston/Pino/Bunyan）与进程管理工具（如 PM2）进行结构化日志、分割与轮转；集中到受控目录。
• 设置文件权限与访问控制：日志文件遵循最小权限，如 644；必要时仅对特定用户/组可读；定期审计权限与完整性。
• 对含敏感数据的日志实施传输与存储加密；采用 logrotate 做按日/大小切割、压缩与保留策略（如保留最近 7 天）。
• 开启访问与错误日志，并接入实时监控/告警（如 Datadog/New Relic 或自建），对异常流量、频繁 4xx/5xx、登录异常等进行告警。

五 快速检查清单与常用命令

• 版本与依赖：
  • 查看与升级：node -v；使用 n 或 nvm 升级到稳定版；执行 npm audit fix 与 snyk test。
• 进程与权限：
  • 创建专用用户并切换运行身份；服务单元（systemd）中设置 User=；容器以非 root 用户运行。
• 网络与边界：
  • 启用 HTTPS；仅开放 22/80/443；配置 CORS 白名单与 Helmet/CSP；为登录/注册等接口设置限流。
• 日志与审计：
  • 使用 PM2/Winston 输出结构化日志；配置 logrotate（示例：保留 7 天、压缩、权限 0640）；定期审计权限与告警异常。