Node.js Web应用出现可疑URIError错误：原因及解决方法

错误成因 #

1. 恶意路径遍历攻击尝试
   这个错误由攻击者构造的恶意请求触发：请求路径里的.%%%%32%%65实际是双重编码的.字符（原始编码为%2e，再次编码后变成%252e，日志中被转义为%%%%32%%65）。攻击者试图通过这种重复编码绕过服务器路径校验，最终目标是访问/bin/sh执行恶意命令。

2. Node.js URI解码机制限制
   Node.js（以及Express这类基于它的框架）使用decodeURIComponent解析路由参数，当遇到不符合URI编码规范的内容（比如重复嵌套的百分号编码）时，会直接抛出URIError，导致请求处理中断。

解决方法 #

• 前置拦截非法请求
  在路由解析前添加中间件，过滤包含异常编码的请求，直接拒绝：

  // Express 示例中间件
  app.use((req, res, next) => {
    // 检测路径中的重复编码特征
    if (/%%|%252e/i.test(req.path)) {
      return res.status(403).send('Forbidden');
    }
    next();
  });
  

• 全局捕获解码错误
  配置全局错误处理中间件，捕获URIError避免应用崩溃，返回标准化响应：

  app.use((err, req, res, next) => {
    if (err instanceof URIError) {
      console.error('非法请求URI:', req.path);
      return res.status(400).send('无效的请求地址');
    }
    // 处理其他错误
    res.status(500).send('服务器内部错误');
  });
  

• 升级依赖版本
  若使用的Node.js或Web框架（如Express）版本较旧，升级到最新稳定版，部分版本修复了特殊编码场景下的解析异常，但这仅作为辅助手段，不能替代主动拦截。

• 反向代理层过滤（如有）
  如果应用前端有Nginx等反向代理，在代理层配置规则，拦截包含%252e、连续百分号等恶意特征的请求，从源头阻断非法请求。

内容的提问来源于stack exchange，提问作者Keloo Kel