Node.js是一个开源的开发平台，用于在服务器端运行JavaScript代码。Node对于开发需要持久浏览器-服务器连接的应用程序非常有用，通常用于实时应用程序，如聊天、社交等应用程序。
DevSecOps是开发、安全和运营团队在整个项目生命周期中协同工作的一种方式。通常在现有的DevOps团队和敏捷流程中加上安全性。
这种协作背后的观念是在开发过程早期就将安全性纳入其中。被称为安全左移。当安全性移到开发过程的“左侧”时，应用程序漏洞和缺陷会被更快地发现和解决。这样可以提高产品版本的安全性，从而减少在生产中应用补丁和故障排除的需求。将DevSecOps应用于Node.js开发可以提高Node.js项目的效率和安全性。
常见Node.js攻击媒介
以下是一些影响许多Node.js应用程序的网络威胁。
跨站点脚本(XSS)
XSS攻击注入经过操纵的客户端JavaScript代码。如果Web应用程序不验证从DNS输入的主机名，那么它们很容易受到XSS的攻击。攻击者可以使用表单输入恶意脚本并侵入系统。在某些情况下，在文件名中输入代码可以在目标浏览器中触发跨站点脚本。
网络攻击者可以使用文件上传表单来入侵系统。此漏洞有许多方式可导致系统受损。尽管现代前端框架通常可以缓解这种情况，但在某些情况下，将javascript放入文件名中可能会触发用户浏览器中的XSS，从而允许窃取会话ID。在其他情况下，攻击者可能通过将文件上传到Node.js服务器并利用路径遍历漏洞运行该文件来获取敏感的服务器信息。
代码注入
开发人员负责编写安全的应用程序代码，但在使用开源组件时，不可能完全保证代码的安全性。代码注入攻击包括将恶意代码注入目标系统并强制应用程序执行它，从而允许攻击者访问代码库。数据验证不足通常会导致代码注入漏洞。
默认Cookie名称
Cookie通过将用户操作存储在底层基础设施中(例如，记住用户的选择或喜好)来帮助Web应用程序识别特定用户。
开发人员应使用Cookie的自定义名称(而不是默认值)，以防止攻击者识别和定位 Cookie以及提取数据。
暴力攻击
暴力攻击通常会影响Node.js应用程序。攻击者随机生成数百万个密码，以找到一个有效的密码登录应用程序。可以通过加强身份验证机制、限制单个IP允许的登录尝试次数以及加密存储的密码(使用bcrypt.js)来防止暴力攻击。
跨站点资源伪造(CSRF)
这种类型的会话劫持迫使经过身份验证的用户在目标Web应用程序上执行恶意操作。攻击者劫持合法用户的会话以绕过安全控制并更改应用程序的状态。CSRF可以强制用户转移资金或更改他们的帐户详细信息，从而可能危及Web应用程序的安全性。
在DevSecOps中实现Node.js安全性
1、为开发人员添加安全性门槛
例如，在IDE中以及在每次提交时添加静态应用程序安全测试(SAST)。
2、预生产环境中的自动安全测试
在CI/CD过程中，当Node.js应用程序部署到预生产环境时，应该有自动化测试来识别安全配置错误和与集成相关的漏洞。此时使用的工具如动态应用程序安全测试(DAST)。
3、运行时保护
没有安全网来识别生产中的安全问题，DevSecOps流程是不完整的。这需要使用Web应用程序防火墙(WAF)和运行时应用自我保护(RASP)等工具，前者可以检测和阻止恶意流量，后者可以主动响应攻击。这两个工具都向DevOps团队提供反馈，帮助他们识别和修复底层应用程序中的漏洞。
通过实施这三个阶段，您可以确定Node.js安全性不仅仅是一个临时实践，而是一个涉及开发人员、运营团队和安全专家的正式、协调的过程。
来源：
