（2911期）Node.js Security Audit – Node.js 部署前安全审计清单

Node.js 部署前安全审计清单 为 Node.js 服务器与 Web 应用提供 OWASP Top 10 安全审计，覆盖秘密泄露、XSS、注入、CORS、认证绕过等关键风险，部署前必用。 使用说明 核心用法 本技能提供结构化安全审计框架，专为 Node.js HTTP 服务器与 Web 应用设计，覆盖从代码审查到配置检查的全流程。使用者按 Critical → High → Medium → Low 四级风险优先级执行检查，生成标准化审计报告。 关键操作流程： 硬编码密钥扫描：使用 grep 模式识别源码中的 API 密钥、密码、令牌，强制迁移至环境变量并在缺失时终止进程 XSS 排查：定位 innerHTML、模板字符串注入等危险模式，替换为 textContent 或 HTML 转义 注入防护：检查字符串拼接查询、eval()、Function() 等动态执行，改用参数化查询与输入验证 CORS 加固：将通配符 * 替换为白名单校验机制 认证绕过审查：验证所有受保护路由（尤其静态文件、Webhook、健康检查端点）均强制执行身份校验 路径遍历防御：使用 path.normalize() + startsWith(allowedDir) + fs.realpathSync() 三层校验 安全头与限流：自动注入 OWASP 推荐响应头，实现基于内存 Map 的 IP 限流（5 次/60 秒） 显著优点 风险分级明确：Critical/High/Medium/Low 四级优先级，资源有限时聚焦关键漏洞 即查即修：每个检查项附带具体代码模式与修复示例，无需额外搜索 覆盖 OWASP Top 10：从注入、失效认证、敏感数据泄露到安全配置错误、XSS 等核心风险 Node.js 专属：针对 JavaScript 动态特性（eval、原型链污染等）定制检查逻辑 潜在缺点与局限性 静态分析依赖：依赖正则与代码模式匹配，无法检测复杂业务逻辑漏洞（如竞争条件、权限绕过） 无自动化工具集成：未内置 semgrep、eslint-plugin-security 等扫描工具调用，需人工执行 限流方案简易：基于内存 Map 的实现不适合分布式部署，重启即丢失状态 依赖审计浅层：仅建议运行 npm audit，未提供供应链深层分析（如恶意包检测） 无运行时防护：纯审计清单，不含 RASP 或 WAF 部署指导 适合人群 开发团队：部署前的代码审查与安全自检 安全工程师：快速初筛 Node.js 项目风险 技术负责人：建立团队安全基线与 Checklist 文化 开源维护者：接收外部 PR 时的安全准入审查 常规风险 误报可能：关键词匹配可能标记合法环境变量引用（如注释中的 "secret"） 遗漏隐蔽漏洞：编码攻击（如 Unicode 规范化绕过、原型污染）需动态测试补充 配置漂移：审计后修改代码可能引入新漏洞，需建立 CI 集成或定期复审机制 环境变量暴露风险：建议的 process.env 模式若搭配错误日志打印，仍可能泄露至监控平台 原始说明 Audit Node.js HTTP servers and web apps for security vulnerabilities. Checks OWASP Top 10, CORS, auth bypass, XSS, path traversal, hardcoded secrets, missing...