security-and-hardening

安全和加固

概览

面向 Web 应用的安全优先开发实践。把每个外部输入都视为敌意输入，把每个 secret 都视为不可泄露，把每次授权检查都视为必需。安全不是一个阶段，而是触及用户数据、认证或外部系统的每一行代码都必须满足的约束。

何时使用

• 构建任何接受用户输入的东西
• 实现认证或授权
• 存储或传输敏感数据
• 集成外部 API 或服务
• 添加文件上传、webhooks 或 callbacks
• 处理支付或 PII 数据

三层边界系统

必须始终执行（无例外）

• 在系统边界验证所有外部输入（API routes、form handlers）
• 参数化所有数据库查询，绝不要把用户输入拼接进 SQL
• 编码输出 以防止 XSS（使用框架自动转义，不要绕过它）
• 所有外部通信使用 HTTPS
• 使用 bcrypt/scrypt/argon2 哈希密码（绝不存储明文）
• 设置安全 header（CSP、HSTS、X-Frame-Options、X-Content-Type-Options）
• 会话使用 httpOnly、secure、sameSite cookies
• 每次发布前运行 npm audit（或等价工具）

先询问（需要人工批准）

• 添加新的认证流程或修改 auth 逻辑
• 存储新的敏感数据类别（PII、支付信息）
• 添加新的外部服务集成
• 修改 CORS 配置
• 添加文件上传 handler
• 修改 rate limiting 或 throttling
• 授予提升后的权限或角色

绝不执行

• 绝不要将 secrets commit 到版本控制（API keys、passwords、tokens）
• 绝不要记录敏感数据到日志（passwords、tokens、完整信用卡号）
• 绝不要把客户端校验当作安全边界
• 绝不要为了方便禁用安全 header
• 绝不要对用户提供的数据使用 eval() 或 innerHTML
• 绝不要把会话存储在客户端可访问的存储中（auth tokens 放在 localStorage）
• 绝不要向用户暴露 stack traces 或内部错误细节

OWASP Top 10 防护

1. Injection（SQL、NoSQL、OS Command）

// BAD: SQL injection via string concatenation
const query = `SELECT * FROM users WHERE id = '${userId}'`;

// GOOD: Parameterized query
const user = await db.query('SELECT * FROM users WHERE id = $1', [userId]);

// GOOD: ORM with parameterized input
const user = await prisma.user.findUnique({ where: { id: userId } });

2. Broken Authentication

// Password hashing
import { hash, compare } from 'bcrypt';

const SALT_ROUNDS = 12;
const hashedPassword = await hash(plaintext, SALT_ROUNDS);
const isValid = await compare(plaintext, hashedPassword);

// Session management
app.use(session({
  secret: process.env.SESSION_SECRET,  // From environment, not code
  resave: false,
  saveUninitialized: false,
  cookie: {
    httpOnly: true,     // Not accessible via JavaScript
    secure: true,       // HTTPS only
    sameSite: 'lax',    // CSRF protection
    maxAge: 24 * 60 * 60 * 1000,  // 24 hours
  },
}));