在式微的时代，前后端分离已经成了趋势。而在前端领域，基于 Node.js 的快速开发框架 Express.js 已经成为一个主要的开发框架。在这篇文章中，我会介绍一个 NPM 包，它叫做 express-gatekeeper。这个包可以帮助你在 Express 应用程序中轻松实现一些安全功能，例如 CSRF 保护和 XSS 防范。
安装 express-gatekeeper
安装 express-gatekeeper 很简单，只需要使用 npm 命令即可：
npm install express-gatekeeper --save
安装完成后，在你的代码中引入它：
const express = require('express');
const gatekeeper = require('express-gatekeeper');
const app = express();开启防御功能
在 Express 应用程序中使用 express-gatekeeper 是相当简单的。只需要使用 gatekeeper 函数，并设置需要开启的功能即可。以下是一些可以开启的选项：
CSRF 保护
开启 CSRF 保护功能可以防止跨站请求攻击。我们可以设置允许的请求方式，允许的请求来源头，以及其他一些安全选项。
下面是一个开启 CSRF 保护的示例：
app.use(gatekeeper.csrf({
methods: ["POST", "PUT", "DELETE"],
originHeaders: ["Referer"]
}));XSS 防范
开启 XSS 防范可以帮助我们防止跨站脚本攻击。我们可以设置允许的请求方式，以及一些安全选项。
下面是一个开启 XSS 防范的示例：
app.use(gatekeeper.xss({
methods: ["POST", "PUT", "DELETE"],
sanitize: true
}));高级功能
除了上面介绍的基本功能外，express-gatekeeper 还提供了一些高级功能：
自定义错误
你可以为 express-gatekeeper 设置自定义错误页面。
以下是一个自定义 CSRF 错误页面的示例代码：
app.use(gatekeeper.csrf({
onError: function (req, res, next) {
res.statusCode = 403;
res.send('CSRF Error');
}
}));自定义存储
你可以为 express-gatekeeper 设置自定义存储器，以存储 CSRF 令牌和其他信息。以下是一个自定义存储的示例代码：
const MemoryStore = require('express-gatekeeper').MemoryStore;
const csrfStore = new MemoryStore();
app.use(gatekeeper.csrf({
store: csrfStore
}));总结
使用 express-gatekeeper，我们可以轻松地开启一些安全功能，例如 CSRF 保护和 XSS 防范。同时，它还提供了高级功能，例如自定义错误和存储器。这使得我们可以在开发应用程序时更加安全和可靠。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/600562eb81e8991b448e09d2