为什么Node.js服务器会收到大量未知PHP/WordPress相关请求？

200状态码不直接代表.env密钥被盗 #

你遇到的是公网服务器的常态化自动漏洞扫描行为，爬虫会全网遍历IP批量请求PHP、WordPress、常见框架的敏感路径，不管你部署的是什么类型的服务都会收到这类请求。
返回200状态码大多是以下两种常见情况，不代表文件真的存在：

1. 你的Node服务配置了前端路由兜底规则，所有未匹配到的路径都会返回首页内容，状态码误设为了200
2. 你用的反向代理（比如Nginx）配置错误，未匹配路径返回默认页面时用了200状态码

你可以直接在浏览器/用curl命令请求你的服务地址+/.env路径，查看返回内容是否和你本地的.env文件内容一致：如果返回的是首页/404页面内容，就不存在泄露；如果返回了真实的.env密钥内容，才说明文件已经被盗取，需要立刻修改所有密钥，同时排查静态资源托管配置。

拦截这类扫描请求的可行方案 #

• 修正状态码配置：所有未匹配路由统一返回404状态码，不要用200返回兜底页面，避免给扫描器传递路径存在的错误信号
• 限制静态资源托管范围：如果用了Express.static、Nginx静态托管等功能，仅托管前端编译产物目录（比如dist/、public/），绝对不要把包含.env、后端源码的项目根目录设为静态资源目录
• 配置路径拦截规则：在Nginx或服务路由的最上层添加规则，直接拦截所有和你业务无关的后缀、路径请求，比如.php、.lua、.xml、/wp*、/vendor/*、/.env等，匹配到直接返回403或直接断开连接
• 配置IP限流封禁策略：对短时间内请求大量4xx状态码路径的IP，自动封禁12~24小时，可过滤90%以上的自动化扫描爬虫
• 敏感文件权限加固：给项目根目录的.env文件设置最小权限，仅允许运行Node服务的系统用户可读，避免配置出现漏洞时文件被读取

内容的提问来源于stack exchange，提问作者Ahmad Nahlawi