Express.js 是一个流行的 Node.js 框架，用于构建 Web 应用程序。虽然 Express.js 提供了强大的功能和易于使用的 API，但在我们的应用程序中仍然需要注意安全性。本文将介绍如何使用 Express.js 安全地处理用户输入，以防止潜在的安全问题。
1. 验证用户输入
当用户提交表单或在 URL 中传递参数时，我们需要验证这些输入是否正确。常见的输入验证包括检查输入的长度、类型和格式。在 Express.js 中，可以使用第三方库来验证用户输入，例如 Joi、express-validator 等。以下是一个使用 express-validator 验证用户名是否为空的示例：
-- -------------------- ---- -------
----- - ------ ---------------- - - -----------------------------
----------------- -
----------------------------
-- ----- ---- -- -
----- ------ - ----------------------
-- ------------------- -
------ ---------------------- ------- -------------- ---
-
-- ---------
---在上述示例中，我们使用 check() 方法检查用户名是否为空。如果验证失败，将返回一个包含错误消息的 JSON 对象。
2. 防止 SQL 注入攻击
SQL 注入是一种常见的网络攻击，黑客通过注入恶意 SQL 代码来获取数据库中的数据。因此，我们需要在处理用户输入时注意防止 SQL 注入攻击。下面是一些防止 SQL 注入攻击的建议：
2.1. 使用预处理语句
在使用 SQL 语句时，最好使用预处理语句（Prepared Statement），它可以防止 SQL 注入攻击。以下是一个使用预处理语句的示例：
const username = req.body.username;
const password = req.body.password;
const sql = 'SELECT * FROM users WHERE username = ? AND password = ?';
db.query(sql, [username, password], (error, results, fields) => {
// 处理查询结果
});在上述示例中，我们使用 ? 占位符替换 SQL 语句中的参数，并将参数作为数组传递给 query() 方法。这样就可以避免 SQL 注入攻击。
2.2. 避免使用动态 SQL 语句
动态 SQL 语句指的是动态构建 SQL 语句，例如将用户输入拼接到 SQL 语句中。这种做法很容易引发 SQL 注入攻击。因此，最好避免使用动态 SQL 语句，使用预处理语句来代替。
3. 防止跨站脚本攻击
跨站脚本攻击（XSS）是一种常见的网络攻击，攻击者通过注入恶意脚本来获取用户的敏感信息。因此，我们需要在处理用户输入时注意防止 XSS 攻击。下面是一些防止 XSS 攻击的建议：
3.1. 转义用户输入
在输出用户输入之前，最好对用户输入进行转义。例如，使用 HTML 编码将特殊字符转换为它们的实体。
const name = req.body.name;
const escapedName = escape(name);
res.send(`<p>Hello, ${escapedName}!</p>`);在上述示例中，我们使用 escape() 方法将用户输入的姓名转义为 HTML 实体。这样可以避免 XSS 攻击。
3.2. 使用 Content Security Policy
Content Security Policy（CSP）是一种网络安全政策，用于防止 XSS 攻击和其他恶意脚本注入。在 Express.js 中启用 CSP 可以使用 helmet 中间件。
-- -------------------- ---- -------
----- ------ - ------------------
--------------------------------------
----------- -
----------- -----------
--------- ---------- ------------------------
-------- ----------------------
---------- -----------
------- -----------
----------- ----------
-
----在上述示例中，我们使用 helmet 中间件启用 CSP，并指定允许的来源，例如 'self'、cdnjs.cloudflare.com、fonts.gstatic.com 等。
结论
在本文中，我们介绍了如何使用 Express.js 安全地处理用户输入。使用输入验证、预处理语句、转义用户输入和使用 CSP 等建议可以帮助我们防止常见的网络攻击，保护我们的应用程序和用户数据的安全。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/67359bf60bc820c5824f703e