Node.js Express框架安全性问题
我正在寻找应添加到Node / Express应用程序中的模块，以解决下面列出的常规安全问题：
- 注入漏洞（JavaScript，SQL，Mongo，HTML）
- 会话固定和劫持
- 跨站点漏洞（脚本，伪造请求）
- 批量分配
- 在此插入相关问题
谢谢你的帮助！
----------
我发现了一些资源：
精彩演讲（11/2012）：http
://lanyrd.com/2012/asfws/sxzbm/ （请参阅幻灯片）ServerFault问题（2011-2012）：https :
//serverfault.com/questions/285123/is-node-js-mature-for-enterprise-
security关于主题（9/2012）的博客文章：http ://codefol.io/posts/29-Why-Rails-and-not-Sinatra-or-
Node-js-利用测试仪：https：//code.google.com/p/skipfish/
护照模块：https :
//github.com/jaredhanson/passportEveryAuth模块：https：//github.com/bnoguchi/everyauth
问题答案：
我写了一篇博客文章，为编写Secure Express.js
Apps
提供了一个很好的起点。正如zeMirco提到的，它涵盖了除csrf和头盔之外的其他内容。
另一件事是您无法将express.js与rails进行比较。他们是苹果和橘子。例如，没有与Express捆绑在一起的ORM，则由您决定是否实现或使用第三方模块。
我会尽力列出您的每一个关注点。
-Injection Vulnerabilities (JavaScript, SQL, Mongo, HTML)
再说一遍，这些东西并不是快递中不可缺少的。最接近的事情是XSS担心模板的注入。默认情况下，快速输出通常使用的Jade或EJS模板编码<>“’和＆，但是请记住，您还需要担心其他上下文，例如用户对JavaScript或CSS的输入。
-Session fixation and hijacking
再次参见上面的博客文章，但是Express是基于并使用大多数连接中间件的，其中之一是会话中间件。这里最大的事情是正确设置您的cookie标志。
-Cross-Site Vulnerabilities (Scripting, Request Forgery)
往上看。它还带有express.csrf（）中间件。提到的博客文章显示了如何实现它。
-Mass Assignment
express.js并不存在问题，因为它没有适用于这种类型的漏洞的概念，但是您编写的自定义逻辑实际上可能容易受到此问题的影响，因此再次成为验证您的代码是否易受攻击或存在问题的问题如果您使用的第三方模块是…
-
本文向大家介绍CI框架的安全性分析，包括了CI框架的安全性分析的使用技巧和注意事项，需要的朋友参考一下 本文分析了CI框架的安全性。分享给大家供大家参考，具体如下： 用过ci框架的人都知道，ci框架能大大缩短你的代码。其实，ci框架更能提高你网站的安全性。 防止对数据库的攻击 数据输入可能引发许多问题。因为 HTML 和数据库的限制，数据中总包含特定的符号—举例来说，省略符号和引号—可能导致你的数
-
phpGrace 框架部署到非项目目录 将 phpGrace 框架部署到非项目目录可以使得系统更安全，也可以实现多个项目公用一套框架的目的。步骤如下： 1、将 phpGrace 文件夹放到非项目目录，如 ： D:\phpGrace 2、改写入口文件，类似以下代码： <?php include 'D:\phpGrace\phpGrace.php'; 改变app目录名称 将 app 核心目录名改写也可
-
我正在使用Jersey编写REST web服务，并尝试编写一组单元测试，以使用Jersey测试框架测试该服务。 然而，我使用HTTP身份验证和SecurityContext作为我的web服务的一部分，我在设置JTF以允许我测试这些方面时遇到了问题。我可以在请求中发送身份验证信息，但如何配置它以了解我希望设置的不同角色和用户？ 我目前正在使用Jetty（通过JettyTestContainerFac
-
如我们在第1.2节中所描述的那样，应用程序框架级别上的安全性由 IPC 引用监视器实现。 在 4.1 节中，我们以 Android 中使用的进程间通信系统的描述开始，讲解这个级别上的安全机制。 之后，我们在 4.2 节中引入权限，而在 4.3 节中，我们描述了在此级别上实现的权限实施系统。 4.1 Android Binder 框架 如 2.1 节所述，所有 Android 应用程序都在应用程序沙
-
本文向大家介绍Python的Django框架安装全攻略，包括了Python的Django框架安装全攻略的使用技巧和注意事项，需要的朋友参考一下 Python 安装 Django本身是纯Python编写的，所以安装框架的第一步是确保你已经安装了Python。 Python版本 核心Django框架可以工作在2.3至2.6（包括2.3和2.6）之间的任何Python版本。 Django的可选GIS（地
-
问题内容： 我刚开始使用Java ScriptEngine对我的应用程序进行少量扩展，然后我注意到可以导入脚本中的所有Java类并不受限制地使用它们。有没有一种方法可以指定脚本可以使用的类？我不希望他们做类似的事情 问题答案： 好了，您似乎需要学习Java SecurityManager。这是一个很大的话题，如果您无法使它适合您，则可能需要阅读它，然后发布一个更具体的问题。