网络安全基础：开发者必知的防护知识

安全无小事。每个开发者都应该掌握基本的网络安全知识。

OWASP Top 10 漏洞

1. SQL 注入

// ❌ 危险
const query = `SELECT * FROM users WHERE id = ${userId}`;

// ✅ 安全 - 使用参数化查询
const query = "SELECT * FROM users WHERE id = ?";
db.execute(query, [userId]);

2. XSS（跨站脚本）

// ❌ 危险
innerHTML = userInput;

// ✅ 安全
textContent = userInput;
// 或使用转义
const escaped = userInput.replace(/</g, "&lt;").replace(/>/g, "&gt;");

3. CSRF（跨站请求伪造）

// 使用 CSRF Token
app.post("/transfer", (req, res) => {
  if (req.body.csrfToken !== req.session.csrfToken) {
    return res.status(403).send("Invalid token");
  }
});

密码安全

const bcrypt = require("bcrypt");

// 加密密码
const hash = await bcrypt.hash(password, 12);

// 验证密码
const valid = await bcrypt.compare(password, hash);

HTTPS 强制

app.use((req, res, next) => {
  if (!req.secure) {
    return res.redirect(`https://${req.headers.host}${req.url}`);
  }
  next();
});

安全头设置

app.use((req, res, next) => {
  res.setHeader("X-Content-Type-Options", "nosniff");
  res.setHeader("X-Frame-Options", "DENY");
  res.setHeader("X-XSS-Protection", "1; mode=block");
  next();
});

依赖安全

# 定期检查漏洞
npm audit
npx snyk test

安全是开发者的责任，从每一行代码做起！