NodeJS中Express与Http模块结合的SOAP服务安全授权问题

我正在开发一个使用strong-soap模块和Express.js的简单项目。由于用Express.js直接搭建SOAP服务器会出现错误（浏览器无法查看WSDL文件内容），因此改用Node.js的Http模块创建SOAP服务器，Express.js负责声明路由及对应功能，代码示例如下：

index.js

const app = require('express')();
const http = require('http');

var MyServiceObject = { /* ...WSDL文件中定义的方法 */ };

var xml = require('fs').readFileSync('myWsdlFile.wsdl');

let server = http.createServer(function(request,response) {
    response.end("404: Not Found: " + request.url);
});

server.listen(8000);
soap.listen(server, '/wsdl', MyServiceObject, xml);

/*###########################  部分路由 ############################################*/

app.listen(8002, (req, res) => {
  console.log('App is listening on port 8002');
});

针对你关注的安全问题，逐一解答如下：

1. 如何为Http对象添加授权验证？ #

可以在Http服务器的请求处理函数中直接加入验证逻辑，比如用Basic Auth或者API密钥的方式，示例代码如下：

let server = http.createServer(function(request, response) {
  // Basic Auth验证逻辑
  const authHeader = request.headers.authorization;
  if (!authHeader || !authHeader.startsWith('Basic ')) {
    response.writeHead(401, { 'WWW-Authenticate': 'Basic realm="SOAP Server"' });
    response.end('Unauthorized');
    return;
  }

  // 解码验证信息
  const [username, password] = Buffer.from(authHeader.split(' ')[1], 'base64').toString().split(':');
  
  // 替换为你的实际验证逻辑
  if (username !== 'validUser' || password !== 'validPass') {
    response.writeHead(401, { 'WWW-Authenticate': 'Basic realm="SOAP Server"' });
    response.end('Unauthorized');
    return;
  }

  response.end("404: Not Found: " + request.url);
});

另外，strong-soap本身支持在监听SOAP接口时添加验证钩子，直接针对SOAP请求做校验：

soap.listen(server, '/wsdl', MyServiceObject, xml, function(req, res) {
  // 在这里单独处理SOAP请求的授权逻辑
  const authHeader = req.headers.authorization;
  // 同上的验证步骤，不通过则返回401
});

2. 代码中直接使用Http对象是否存在安全隐患？ #

直接使用Http对象本身没有问题，但未做安全配置的Http服务存在明显隐患：

• 明文传输：Http是未加密的，数据在传输过程中容易被窃听、篡改，建议改用https.createServer并配置SSL证书。
• 无访问控制：任何人都能访问你的Http服务器，容易遭受恶意请求、暴力攻击。
• 缺少安全响应头：未设置CSP、X-Frame-Options等安全头，可能引发XSS、点击劫持等风险。

3. 是否必须为Http对象添加授权验证？ #

不是强制要求，但分场景判断：

• 如果你的SOAP接口涉及敏感数据、核心业务操作，必须加，防止未授权访问。
• 如果是完全公开、无敏感信息的接口，不加也能运行，但从安全最佳实践来说，建议至少加限流或基础验证，避免接口被滥用。

4. 项目使用strong-soap服务器，是否也需要为其添加授权验证？ #

需要。strong-soap挂载在Http服务器的/wsdl路径下，这是SOAP接口的入口，任何人都能直接访问该路径调用服务方法。如果不做验证，恶意用户可以随意执行接口中的逻辑，比如篡改数据、执行敏感操作。

5. 仅为Express对象（app）添加授权是否足够保障安全？ #

不够。你的Express服务运行在8002端口，SOAP的Http服务运行在8000端口，二者是完全独立的服务，Express的授权逻辑无法覆盖8000端口的SOAP接口。攻击者可以直接访问8000端口的/wsdl路径绕过Express的验证，因此必须分别为两个服务配置安全验证，或者解决Express搭建SOAP服务器的WSDL显示问题，将SOAP服务整合到Express中，统一用Express的中间件做校验。

内容的提问来源于stack exchange，提问作者Mustafa Koşmaz