security-and-hardening

安全与加固

概览

以安全为优先的 Web 应用开发实践。把每一个外部输入都视为潜在恶意，把每一个 secret 都视为不可泄露，把每一次授权检查都视为必须执行。安全不是某个单独阶段，而是所有涉及用户数据、认证和外部系统代码的共同约束。

何时使用

• 构建任何接收用户输入的功能
• 实现认证或授权
• 存储或传输敏感数据
• 集成外部 API 或服务
• 新增文件上传、webhook 或 callback
• 处理支付或 PII 数据

三层边界系统

始终要做（Always Do）

• 校验所有外部输入，在系统边界处完成，例如 API route、表单处理器
• 所有数据库查询都参数化，绝不把用户输入拼进 SQL
• 输出做编码，防止 XSS，优先依赖框架自动转义，不要绕过
• 所有外部通信都使用 HTTPS
• 密码必须哈希存储，使用 bcrypt / scrypt / argon2，绝不能明文
• 设置安全头，例如 CSP、HSTS、X-Frame-Options、X-Content-Type-Options
• 会话 cookie 使用 httpOnly、secure、sameSite
• 每次发布前运行 npm audit 或等价工具

先询问（Ask First）

• 新增认证流程或修改现有 auth 逻辑
• 存储新的敏感数据类别，例如 PII 或支付信息
• 新增外部服务集成
• 修改 CORS 配置
• 增加文件上传处理器
• 调整限流或节流策略
• 授予更高权限或角色

绝不要做（Never Do）

• 绝不要把 secrets 提交进版本控制，例如 API key、密码、token
• 绝不要记录敏感数据，例如密码、token、完整信用卡号
• 绝不要把前端校验当作安全边界
• 绝不要为了方便关闭安全头
• 绝不要在用户提供的数据上使用 eval() 或 innerHTML
• 绝不要把会话存进客户端可读存储，例如 localStorage 中保存 auth token
• 绝不要把堆栈或内部错误细节直接暴露给用户

OWASP Top 10 预防

1. 注入（SQL、NoSQL、OS Command）

// BAD: SQL injection via string concatenation
const query = `SELECT * FROM users WHERE id = '${userId}'`;

// GOOD: Parameterized query
const user = await db.query('SELECT * FROM users WHERE id = $1', [userId]);

// GOOD: ORM with parameterized input
const user = await prisma.user.findUnique({ where: { id: userId } });

2. 认证失效

// Password hashing
import { hash, compare } from 'bcrypt';

const SALT_ROUNDS = 12;
const hashedPassword = await hash(plaintext, SALT_ROUNDS);
const isValid = await compare(plaintext, hashedPassword);

// Session management
app.use(session({
  secret: process.env.SESSION_SECRET,  // From environment, not code
  resave: false,
  saveUninitialized: false,
  cookie: {
    httpOnly: true,     // Not accessible via JavaScript
    secure: true,       // HTTPS only
    sameSite: 'lax',    // CSRF protection
    maxAge: 24 * 60 * 60 * 1000,  // 24 hours
  },
}));

3. 跨站脚本（XSS）

// BAD: Rendering user input as HTML
element.innerHTML = userInput;

// GOOD: Use framework auto-escaping (React does this by default)
return <div>{userInput}</div>;

// If you MUST render HTML, sanitize first
import DOMPurify from 'dompurify';
const clean = DOMPurify.sanitize(userInput);