一、前言

本人主要是講解在開發(fā)Node服務(wù)端的時候， 三種關(guān)于安全方面的處理

二、預(yù)防方式

1、 sql注入

這是一個最原始也最簡單的攻擊， 從 web2.0 開始有了人機(jī)交互后就出現(xiàn)的一種攻擊方式

其主要是通過輸入 sql 片段， 最終拼接成一段攻擊的 sql 代碼

當(dāng)我們使用 node 連接到數(shù)據(jù)庫的時候， 通常會在 node 端寫 sql 語句來進(jìn)行數(shù)據(jù)庫查詢， 例如下方

-- 這是一個簡易的登錄判斷sql語句， 輸入 username 和 password 在 users 表中進(jìn)行用戶登錄驗證,  然后獲取用戶的地址和年齡
select address, age from users where username=${username} and password=${password}

但是如果我在 username 中做點手腳 使他傳入的是一個sql語句這樣就極其的危險

-- username 輸入為 ali -- 
-- 上面這段 sql 就會被解析成這樣 
select address, age from users where username=ali -- and password=${password}

看上面的代碼片段可以發(fā)現(xiàn)， -- 在sql中是屬于注釋的存在， 所以如果當(dāng)我在 sql 查詢動態(tài)獲取用戶輸入的 username 字段中， 如果結(jié)尾是 -- 就會把后面password的條件驗證去掉

也就是代表用戶無論輸入什么 password， 只要 username 字段在數(shù)據(jù)庫中存在就可以拿到對應(yīng)的信息

當(dāng)然攻擊者也可以在后面繼續(xù)拼接刪庫的 sql 語句，這其實是更加危險的

-- username 輸入為 ali; delete from users where username="ali" --
-- 就會拼接成下面這種語句 這是極其危險的
select address, age from users where username=ali; delete from users where username="ali" -- and password=${password}

處理方案

在 node 開發(fā)中連接數(shù)據(jù)庫, 拼接sql語句是使用 mysql 這個npm包， 所以在這個包中也有對應(yīng) sql注入 攻擊的處理函數(shù)

可以使用 mysql.escape函數(shù) ， 對所有來源于前端的數(shù)據(jù)進(jìn)行包裹一層， 這個函數(shù)會把 -- 或者其他的特殊字符進(jìn)行轉(zhuǎn)義，這樣就不會出現(xiàn)在sql語句中會有注釋的情況

2、xss 攻擊

這個攻擊我們作為前端應(yīng)該是很熟悉的了

其攻擊方式就是在頁面的展示內(nèi)中摻雜 Js 的代碼以獲取網(wǎng)頁信息

在我們開發(fā) Node 服務(wù)端的時候， 對前端傳來的數(shù)據(jù)統(tǒng)統(tǒng)處理一下就行了 ，也就是進(jìn)行特殊字符轉(zhuǎn)義 (所有的轉(zhuǎn)義字符后都需要 加上;這個特殊符號 由于無法演示 我截圖的時候去掉了

處理方案

開發(fā) Node 服務(wù)端，使用 xss 這個npm包，把前端傳入的數(shù)據(jù)都使用這個包裹一下就行

3、密碼加密

假如我們數(shù)據(jù)庫被入侵， 其中最不應(yīng)該泄露的就是用的信息了

因為攻擊者可以拿著用戶的賬戶密碼去嘗試登錄其他的系統(tǒng)

處理方式

這個就需要在數(shù)據(jù)庫不用明文存儲用戶的密碼信息， 在存入數(shù)據(jù)庫之前把密碼通過自定義 key 加密一下， 當(dāng)然這個 key 需要你自己獨(dú)享 不能泄露

或者通過其他密碼算法加密也是可以的

三、結(jié)語

最近也是在學(xué)習(xí) Node 相關(guān)的知識， 以上就是關(guān)于開發(fā) Node 服務(wù)端，常見的三種安全防范手段

以上就是Node常見的三種安全防范手段詳解的詳細(xì)內(nèi)容，更多關(guān)于Node安全防范的資料請關(guān)注腳本之家其它相關(guān)文章！