Node.js服务端脚本隐藏保护、隐私安全及XSS防范技术咨询

嘿，作为Node.js新手碰到这些问题真的太正常了，我来给你一步步掰扯清楚：

绝对不能把数据库名、账号密码、SQL语句这类敏感内容直接硬编码到脚本里！这里给你几个靠谱的方案：

• 用环境变量存敏感信息：创建一个.env文件，把敏感内容写成键值对，比如：

  DB_NAME=my_shop_db
  DB_USER=db_admin
  DB_PASS=mySuperSecretPass123
  

  然后用dotenv这个包在代码里加载它，代码里就用process.env.DB_NAME来获取对应的值。记得一定要把.env文件加到.gitignore里，绝对不能提交到代码仓库！
• 生产环境用加密配置：如果是上线的项目，可以用云服务商的密钥管理服务，或者用专门的配置加密工具，运行时再解密获取敏感信息，比本地存.env更安全。
• 别把SQL查询硬编码（如果是动态查询）：如果是动态生成SQL，一定要用参数化查询（比如用mysql2的prepared statement），既防SQL注入，也避免把敏感的查询逻辑直接写死在代码里。

• 保存格式：Node.js脚本默认就是以.js格式保存的，现在也支持.mjs（ES模块）和.cjs（CommonJS模块），新手先从.js入手就行，不用纠结太多。
• 服务端脚本怎么隐藏？放心，它本来就是安全的！
  Node.js是服务端运行的语言，和PHP、ASPX一样，用户在浏览器里只能看到你返回的HTML、CSS、前端JS，根本看不到你的Node.js源码。举个例子：你用Express写了一个接口，用户请求时，服务器上的Node.js脚本执行逻辑，把处理后的结果（比如JSON、渲染好的HTML）返回给浏览器，你的.js文件完全在服务器内部，不会被暴露出去。
  唯一要注意的是：别把你的源码目录设置成静态资源目录！比如用Express时，别写app.use(express.static('./'))这种把整个项目根目录都暴露的代码，只把前端静态文件（比如public文件夹）设为静态资源就好。

XSS是前端和服务端都要防的，Node.js这边主要做好这几点：

• 输出前转义用户输入：不管是用户提交的表单数据、URL参数还是评论内容，输出到HTML页面之前一定要转义特殊字符（比如<转成<，>转成>）。如果你用EJS、Pug这类模板引擎，默认就会自动转义，别手动关掉这个功能；如果是手动拼接HTML，一定要用html-escape这类转义工具包。
• 配置Content Security Policy (CSP)：在HTTP响应头里设置CSP，限制页面能加载的资源来源，比如只允许加载自己域名的脚本和样式，禁止内联脚本和eval。比如设置响应头：

  Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self'
  

  这样就算有恶意脚本注入，也没法执行。
• 避免用innerHTML插入用户内容：如果是服务端渲染页面，或者前端用JS操作DOM，尽量用textContent而不是innerHTML，因为innerHTML会解析HTML，很容易触发XSS。如果必须用innerHTML，一定要先转义内容。
• 严格验证用户输入：除了转义，还要对用户输入做验证——比如邮箱要符合格式，用户名只能包含字母数字，长度限制等。用Joi、Yup这类验证库来做，能有效减少恶意输入的可能。
• 给Cookie加HttpOnly和Secure属性：如果用Cookie存会话信息，一定要加上HttpOnly（让JS没法读取Cookie，就算有XSS也窃取不了）和Secure（确保Cookie只在HTTPS下传输）属性，比如用Express设置Cookie：

  res.cookie('sessionId', 'xxx', { httpOnly: true, secure: process.env.NODE_ENV === 'production' })
  

这些都是新手入门最实用的方案，多实践几次就熟练啦～

内容的提问来源于stack exchange，提问作者Madiha Owais