Node.js中如何禁用文件读取？Heroku部署项目时CSS代码可被访问的原因及禁用此类文件读取的方法

API 探路者

2026-4-28

我来逐个解答你的问题，都是Node.js和Heroku部署中常见的场景：

1. 在Node.js环境中禁用文件读取功能

要禁用Node.js里的文件读取，得看你需要的严格程度，不同场景有不同的实现方式：

拦截内置fs模块的方法（快速简单）：
如果只是想在应用层面阻止常规的文件读取，可以重写fs模块的核心读取方法，让它们直接抛出错误。比如：

const fs = require('fs');

// 拦截同步读取方法
const originalReadFileSync = fs.readFileSync;
fs.readFileSync = (...args) => {
  throw new Error('File reading has been disabled for this application');
};

// 拦截异步读取方法
fs.readFile = (...args) => {
  const callback = args.pop();
  process.nextTick(() => callback(new Error('File reading has been disabled')));
};

注意这种方法没法防住绕过require的底层调用（比如process.binding('fs')），适合简单的应用内限制。

用Node.js内置权限控制（最可靠）：
从Node.js 18.x开始，官方提供了--deny-fs-read命令行参数，可以从底层全局禁用文件读取。启动应用时加上这个参数就行：
```
node --deny-fs-read=* your-app.js
```
你还可以指定具体路径来精细化控制，比如--deny-fs-read=/home/user，只禁止读取某个目录的内容。

沙箱隔离（严格隔离场景）：
如果需要完全隔离代码的文件系统访问，推荐用vm2这类沙箱库，它能创建一个受限的执行环境，直接禁用文件系统访问：

const { VM } = require('vm2');

const restrictedVM = new VM({
  allowFs: false, // 完全禁用文件系统访问
  allowGlobals: false,
  sandbox: {}
});

// 在沙箱里尝试读取文件会直接报错
restrictedVM.run('require("fs").readFileSync("test.txt")');

2. Heroku部署中CSS通过/index.html路径访问的原因及解决方法

先说说为什么会出现这种情况，常见的原因有这几个：

静态文件中间件顺序错误：
如果你用Express这类框架，要是把SPA的回退路由（比如app.get('*', ...)返回index.html）放在了express.static中间件之前，所有请求都会先被这个路由处理，包括静态文件请求。如果你的CSS文件路径配置有问题，就可能导致访问/index.html时返回CSS内容。
文件路径或命名冲突：
比如你在静态文件目录（比如public）里把CSS文件命名成了index.html，或者路径配置错误，导致服务器误把CSS文件当成入口文件返回。
Heroku静态配置错误：
要是用Heroku的默认静态文件服务（通过static.json配置），如果回退规则写错了，指向了CSS文件而不是index.html，也会出现这种问题。

接下来是解决方法：

调整中间件顺序：
确保express.static放在所有路由的最前面，让静态文件请求优先被处理，SPA回退路由放在最后：

const express = require('express');
const path = require('path');
const app = express();

// 先处理静态文件
app.use(express.static(path.join(__dirname, 'public')));

// 其他业务路由
app.get('/api/data', (req, res) => {
  res.json({ status: 'ok' });
});

// 最后处理SPA回退
app.get('*', (req, res) => {
  res.sendFile(path.join(__dirname, 'public', 'index.html'));
});

检查文件结构和命名：
把静态资源分类存放，比如CSS放在public/css，JS放在public/js，确保public目录下的index.html是正确的入口文件，没有同名的CSS文件。
修正Heroku静态配置：
如果用static.json，确保回退规则指向正确的index.html：
```
{
  "root": "public",
  "routes": {
    "/**": "index.html"
  }
}
```

拦截非法请求：
要是想直接禁止通过/index.html访问CSS内容，可以加个自定义中间件拦截：

app.use((req, res, next) => {
  // 检测请求路径是/index.html且请求CSS内容的情况
  if (req.path === '/index.html' && req.headers.accept?.includes('text/css')) {
    return res.status(403).send('Access Denied');
  }
  next();
});

内容的提问来源于stack exchange，提问作者Niberthix