本篇文章带大家聊聊node常见的三种安全防范手段，主要讲解在开发node服务端的时候， 三种关于安全方面的处理。
一、预防方式
1、 sql注入
这是一个最原始也最简单的攻击， 从 web2.0 开始有了人机交互后就出现的一种攻击方式
其主要是通过输入 sql 片段， 最终拼接成一段攻击的 sql 代码
当我们使用 node 连接到数据库的时候， 通常会在 node 端写 sql 语句来进行数据库查询， 例如下方
-- 这是一个简易的登录判断sql语句， 输入 username 和 password 在 users 表中进行用户登录验证, 然后获取用户的地址和年龄
select address, age from users where username=${username} and password=${password}但是如果我在 username 中做点手脚 使他传入的是一个sql语句这样就极其的危险 【相关教程推荐：nodejs视频教程、编程教学】
-- username 输入为 ali --
-- 上面这段 sql 就会被解析成这样
select address, age from users where username=ali -- and password=${password}看上面的代码片段可以发现， -- 在sql中是属于注释的存在， 所以如果当我在 sql 查询动态获取用户输入的 username 字段中， 如果结尾是 -- 就会把后面password的条件验证去掉
也就是代表用户无论输入什么 password， 只要 username 字段在数据库中存在就可以拿到对应的信息
当然攻击者也可以在后面继续拼接删库的 sql 语句，这其实是更加危险的
-- username 输入为 ali; delete from users where username="ali" --
-- 就会拼接成下面这种语句 这是极其危险的
select address, age from users where username=ali; delete from users where username="ali" -- and password=${password}处理方案
在 node 开发中连接数据库, 拼接sql语句是使用 mysql 这个npm包， 所以在这个包中也有对应 sql注入 攻击的处理函数
可以使用 mysql.escape函数 ， 对所有来源于前端的数据进行包裹一层， 这个函数会把 -- 或者其他的特殊字符进行转义，这样就不会出现在sql语句中会有注释的情况
2、xss 攻击
这个攻击我们作为前端应该是很熟悉的了
其攻击方式就是在页面的展示内中掺杂 Js 的代码以获取网页信息
JTBC网站内容管理系统5.0.3.1下载JTBC CMS(5.0) 是一款基于PHP和MySQL的内容管理系统原生全栈开发框架，开源协议为AGPLv3，没有任何附加条款。系统可以通过命令行一键安装，源码方面不基于任何第三方框架，不使用任何脚手架，仅依赖一些常见的第三方类库如图表组件等，您只需要了解最基本的前端知识就能很敏捷的进行二次开发，同时我们对于常见的前端功能做了Web Component方式的封装，即便是您仅了解HTML/CSS也
在我们开发 Node 服务端的时候， 对前端传来的数据统统处理一下就行了 ，也就是进行特殊字符转义 (所有的转义字符后都需要 加上;这个特殊符号 由于无法演示 我截图的时候去掉了
处理方案
开发 Node 服务端，使用 xss 这个npm包，把前端传入的数据都使用这个包裹一下就行
3、密码加密
假如我们数据库被入侵， 其中最不应该泄露的就是用的信息了
因为攻击者可以拿着用户的账户密码去尝试登录其他的系统
处理方式
这个就需要在数据库不用明文存储用户的密码信息， 在存入数据库之前把密码通过自定义 key 加密一下， 当然这个 key 需要你自己独享 不能泄露
或者通过其他密码算法加密也是可以的
二、结语
最近也是在学习 Node 相关的知识， 以上就是关于开发 Node 服务端，常见的三种安全防范手段
原文地址：https://juejin.cn/post/7199329705706324027
更多node相关知识，请访问：nodejs 教程！
