在现代 Web 应用中，安全性是至关重要的。为了保护我们的应用免受恶意攻击和数据泄露，我们需要采取一定的安全措施。其中一个常见的做法是使用 Helmet，它是一个 Node.js 模块，可以为 Express 应用提供各种安全性保障。
什么是 Helmet？
Helmet 是一个 Node.js 模块，它提供了一系列中间件，用于增强 Express 应用的安全性。这些中间件可以帮助我们防止跨站点脚本（XSS）、点击劫持、CSRF 等攻击，并设置一些 HTTP 头部，以保护我们的应用免受一些常见的攻击。
如何使用 Helmet？
使用 Helmet 很简单，只需要在 Express 应用中引入它，并将其作为中间件使用就行了。下面是一个示例：
-- -------------------- ---- ------- ----- ------- - ------------------- ----- ------ - ------------------ ----- --- - ---------- -- -- ------ --- ------------------ -- ---- ------------ ----- ---- -- - --------------- --------- --- -- ---- ---------------- -- -- - ---------------- --------- -- ---- -------- ---
在上面的示例中，我们首先引入了 Express 和 Helmet 模块，然后将 Helmet 中间件作为 Express 应用的中间件使用。这样，我们就可以为我们的应用添加各种安全性保障了。
Helmet 中的中间件
Helmet 提供了多个中间件，每个中间件都用于增强应用的安全性。下面是一些常用的中间件：
helmet.contentSecurityPolicy(options)
该中间件用于设置内容安全策略（CSP），以防止 XSS 攻击。CSP 可以告诉浏览器哪些内容是安全的，哪些是不安全的，从而防止恶意脚本的注入。options 参数是一个对象，用于指定 CSP 的配置选项。下面是一个示例：
app.use(helmet.contentSecurityPolicy({
directives: {
defaultSrc: ["'self'"],
scriptSrc: ["'self'", "'unsafe-inline'"],
styleSrc: ["'self'", "'unsafe-inline'"]
}
}));在上面的示例中，我们指定了默认源（defaultSrc）、脚本源（scriptSrc）和样式源（styleSrc），并设置了一些允许的源。这样，浏览器就知道哪些源是安全的，哪些是不安全的了。
helmet.frameguard(options)
该中间件用于防止点击劫持攻击。点击劫持是一种攻击方式，它利用了 iframe 的特性，将一个网站嵌入到另一个网站中，从而欺骗用户点击了一个看似安全的按钮。options 参数是一个对象，用于指定防护选项。下面是一个示例：
app.use(helmet.frameguard({
action: 'deny'
}));在上面的示例中，我们将 action 属性设置为 deny。这样，浏览器就会拒绝加载我们的网站在 iframe 中。
helmet.hidePoweredBy()
该中间件用于隐藏 X-Powered-By 头部，以防止攻击者了解我们的应用是使用哪种技术开发的。下面是一个示例：
app.use(helmet.hidePoweredBy());
在上面的示例中，我们将 X-Powered-By 头部设置为空，这样，攻击者就无法了解我们的应用使用了什么技术了。
helmet.hsts(options)
该中间件用于设置 HTTP 严格传输安全（HSTS），以防止中间人攻击。HSTS 可以告诉浏览器只使用 HTTPS 连接，从而防止恶意攻击者使用 HTTP 连接。options 参数是一个对象，用于指定 HSTS 的配置选项。下面是一个示例：
app.use(helmet.hsts({
maxAge: 31536000,
includeSubDomains: true
}));在上面的示例中，我们将 maxAge 属性设置为 31536000 秒（一年），并将 includeSubDomains 属性设置为 true，这样，浏览器就会在一年内只使用 HTTPS 连接，并且包括子域名。
helmet.noCache()
该中间件用于设置缓存控制头部，以防止浏览器缓存敏感信息。下面是一个示例：
app.use(helmet.noCache());
在上面的示例中，我们将 Cache-Control 和 Pragma 头部设置为 no-cache，这样，浏览器就不会缓存我们的敏感信息了。
helmet.xssFilter()
该中间件用于启用浏览器的 XSS 过滤器，以防止 XSS 攻击。下面是一个示例：
app.use(helmet.xssFilter());
在上面的示例中，我们启用了浏览器的 XSS 过滤器，这样，浏览器就可以检测到恶意脚本了。
总结
在本文中，我们讲解了如何在 Express.js 中使用 Helmet 保障应用安全。我们了解了 Helmet 是什么，如何使用它，以及它提供的一些中间件的作用。通过使用 Helmet，我们可以为我们的应用添加各种安全性保障，从而保护我们的用户和数据免受恶意攻击和数据泄露的威胁。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/660a804ad10417a222a1919c