在当今互联网时代，各种类型的网络攻击层出不穷。尤其是 Web 应用程序，由于其公开性和易攻击性，更容易受到黑客攻击。为保护 Web 应用程序免受攻击，我们需要采用正确的安全策略和技术。
Hapi 是 Node.js 服务器框架之一，在开发 Web 应用程序时，可以帮助我们实现安全保护措施。本文将介绍一些 Hapi 框架中的 Web 应用安全保护技巧，希望对有需要的前端开发人员有所帮助。
1. 内容安全策略（CSP）
内容安全策略是一项功能，通过限制 Web 应用程序可以执行的 JavaScript、CSS 和其他内容的来源，来减少跨站点脚本攻击（XSS）和数据注入攻击的发生。使用 CSP，我们可以告诉浏览器只信任我们指定的资源来源，从而不信任任何其他来源。
在 Hapi 框架中，我们可以使用 hapi-csp-header 插件来实现 CSP 功能。以下是一个简单的例子：
----- ---- - ----------------------
----- ------------- - --------------------------
----- ------ - --- -------------
----- -----
----- -----------
---
----- -------- ------ -
----- -----------------
-- -- --- ----
------- --------------
-------- -
----------- -
----------- -----------
--------- ---------- ------------------
-
-
---
--------------
------- ------
----- ----
-------- --------- -- -- -
------ ------- --------
-
---
----- ---------------
-
-------在上面的示例中，我们使用 HapiCspHeader 插件来添加 CSP 功能。directives 字段是 CSP 的具体配置项，包括 defaultSrc（默认资源来源）和 styleSrc（CSS 资源来源）等指令。通过指定只允许自己的服务器主机名和一个通过 HTTPS 访问的 CDN 来源，避免了跨站点脚本攻击。
2. HTTP 严格传输安全性（HSTS）
HTTP 严格传输安全性（HSTS）是另一种防范网络攻击的方法。HSTS 可以强制浏览器仅使用 HTTPS 连接与目标服务器通信，避免了 HTTPS 攻击并提高了 Web 应用程序的安全性。
在 Hapi 框架中，我们可以使用 hapi-strict-transport-security 插件来实现 HSTS 功能。以下是一个简单的例子：
----- ---- - ----------------------
----- --------------------------- - ------------------------------------------
----- ------ - --- -------------
----- -----
----- -----------
---
----- -------- ------ -
----- -----------------
-- -- ---- ----
------- ----------------------------
-------- -
-- -- ---- ------ ---
------- ---------
------------------ -----
-------- ----
-
---
--------------
------- ------
----- ----
-------- --------- -- -- -
------ ------- --------
-
---
----- ---------------
-
-------在上面的示例中，我们使用 HapiStrictTransportSecurity 插件来添加 HSTS 功能。maxAge 指令指定该页面期望的 HSTS 策略的最长时间，includeSubDomains 指令指定该策略是否也适用于子域名（例如 sub.example.com），而 preload 指令指定是否提交以将站点预加载到浏览器的 HSTS 列表中。这样，浏览器将强制使用 HTTPS 与服务器进行通信，提高了 Web 应用程序的安全性。
3. 点击劫持保护
点击劫持是一种攻击技术，它利用灰色地带的 HTML 标记或 CSS 属性，将用户的一些行为或操作欺骗到隐藏的或看不见的元素中。为了避免这种攻击，我们可以采用一种称为“X-Frame-Options”的方法。
在 Hapi 框架中，我们可以使用 hapi-x-frame-options 插件来实现 X-Frame-Options 功能。以下是一个简单的例子：
----- ---- - ----------------------
----- ----------------- - --------------------------------
----- ------ - --- -------------
----- -----
----- -----------
---
----- -------- ------ -
----- -----------------
-- -- --------------- ----
------- ------------------
-------- -
-- ----- ------ --
----- ------------
-
---
--------------
------- ------
----- ----
-------- --------- -- -- -
------ ------- --------
-
---
----- ---------------
-
-------在上面的示例中，我们使用 HapiXFrameOptions 插件来添加 X-Frame-Options 功能。rule 指令指定该页面的 iframe 策略，可以使用以下选项之一：DENY（不允许任何 iframe）、SAMEORIGIN（只允许来自同一域的 iframe）和 ALLOW-FROM uri（允许来自指定域名的 iframe）。这样，我们可以有效地防止点击劫持攻击。
4. CSRF（跨站点请求伪造）保护
CSRF 是一种利用 Web 应用程序中的“已经登录用户”执行未经授权的操作的攻击技术。通常，攻击者会通过电子邮件或其他方式诱骗用户点击恶意链接或访问恶意网站，并在该操作完成后执行未经授权的操作。为了避免 CSRF 攻击，我们需要在 Web 应用程序中采取一些安全措施，例如 token 校验。
在 Hapi 框架中，我们可以使用 crumb 插件来实现 CSRF 保护功能。以下是一个简单的例子：
----- ---- - ----------------------
----- ----- - -----------------------
----- ------ - -------------
----- -----
----- -----------
---
----- -------- ------ -
----- -----------------
-- -- ---- ------
------- ------
-------- -
-- -- ----- -----
---- --------
-------- ----
-
---
--------------
------- -------
----- ---------
-------- --------- -- -- -
-- -- ----- ----
------ ------------------ ---------------
-
---
----- ---------------
-
-------在上面的示例中，我们使用 Crumb 插件来添加 CSRF 功能。key 选项指定要用作 token 校验的 cookie 名称，而 restful 选项指定该页面是否使用 RESTful API（如果可以，则自动选择正确的操作类型）。这样，我们可以有效地保护 Web 应用程序免受 CSRF 攻击
结论
以上是 Hapi 框架中的四种常见的 Web 应用安全保护技巧，包括 CSP、HSTS、点击劫持保护和 CSRF 保护。当然，这只是一个简单的介绍，实现 Web 应用程序的安全保护需要更为严格和详细的措施。因此，在开发过程中，应该结合具体情况，制定相应的安全策略和技术来保护 Web 应用程序的安全，防止恶意攻击。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/6719a6f3ad1e889fe2324874