什么是 eslint-plugin-security-node
eslint-plugin-security-node 是一个利用 ESLint 为 Node.js 代码提供安全扫描的插件。它可以检测常见的 Node.js 安全问题，比如命令注入，代码注入，跨站脚本攻击等等。
该插件基于安全相关的 Node.js 模块实现，可以很好的解决当前项目中的安全问题。
安装
你可以使用 npm 安装该插件：
npm install eslint-plugin-security-node --save-dev
当安装完成后，你可以在你的 ESLint 配置文件中添加该插件：
"plugins": [
"security-node"
],如何使用
现在你可以在你的代码中直接使用该插件。
- 命令注入
在 Node.js 中，os.exec() 执行命令时，可以通过传递参数的方式注入恶意命令。安全性较高的方式是使用子进程模块，我们来看一下如何通过 eslint-plugin-security-node 来检测是否使用了 os.exec()。
在文件中，当我们使用了不安全的 os.exec() 写法时，eslint-plugin-security-node 会发出警告，如下：
-- -------------------- ---- -------
-- -----
----- ---- - ------------------------------
--------- ----- ------------ ----- ------- ------- -- -
-- ----- -
-------------------
-------
-
--------------------
---- 跨站脚本攻击
在 web 开发中，跨站脚本攻击是一种非常常见的攻击方式。我们可以在代码中使用动态语言直接拼接 HTML，这是一种非常符合人类习惯的方式，但同时也是一种危险的写法。你可以通过 eslint-plugin-security-node 来检测是否使用了该写法。
在文件中，当我们使用了不安全的页面渲染方式时，eslint-plugin-security-node 会发出警告，如下：
// 非安全写法
res.send(`
<h1>Hello World!</h1>
<h2>${userInput}</h2>
`);结论
eslint-plugin-security-node 可以对我们进行非常有效的安全检测，从而帮助我们避免一些常见的安全攻击。这个 npm 包非常容易安装和使用，我们只需要在配置文件中添加一个插件配置项，就可以使用它来检测我们的代码了。在开发过程中，我们要时刻关注安全问题，并且使用工具来帮助我们发现问题，维护代码的安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/5eedadafb5cbfe1ea0610cf0