使用MongoDB的Node.js应用是否存在恶意npm包安全风险？

1. MongoDB本身是否易受恶意npm包的攻击 #

正常官方分发、权限配置正确的MongoDB服务本身不会直接被恶意npm包攻击。MongoDB是独立运行的数据库服务，默认仅对配置指定的IP和端口开放访问，只要你没有将数据库端口无鉴权暴露在公网、也没有给应用分配超出业务所需的高权限数据库账号，npm包没有办法直接穿透访问到未对外暴露的MongoDB服务。

2. 使用MongoDB的Node.js应用存在的恶意npm包相关安全隐患 #

这类风险是真实存在的，主要有两类常见攻击场景：

• 恶意npm包运行在你的Node.js进程中，可直接读取项目内已初始化的MongoDB连接实例，执行数据导出、篡改、删除等操作，就算你使用Mongoose这类ODM工具也无法规避，因为恶意包获取的是已经完成鉴权的数据库连接句柄。
• 部分恶意npm包会劫持mongodb官方驱动、Mongoose的底层执行方法，在业务正常发起数据库请求时偷偷上传敏感数据、插入恶意内容，这类请求从MongoDB服务端视角看完全是正常的合法请求，无法识别背后的恶意逻辑。

如果要降低这类风险，可以给应用使用的数据库账号配置最小权限，仅开放对应业务库的必要操作权限，禁止授予admin库访问、集合删除等高权限，即使出现恶意包攻击也能缩小损失范围。

3. MongoDB本身具备免疫能力的安全威胁 #

• XSS（跨站脚本）攻击：MongoDB仅负责存储传入的字符串内容，本身不会执行任何前端脚本逻辑，所以XSS payload 对MongoDB服务端完全无效，XSS防护属于前端和应用接口层的责任，和数据库无关。
• 传统SQL注入攻击：MongoDB使用NoSQL查询语法，不解析SQL语句，针对SQL语法构造的注入payload对MongoDB完全无效。需要注意的是专门的NoSQL注入攻击不在免疫范围内，需要你在应用层做好查询参数的校验过滤。

内容的提问来源于stack exchange，提问作者compLearner