第九周-安全&Node.js

安全

浏览器的同源策略

Security and Identity

httphijack

使用 Javascript 实现前端防御 http劫持 及防御 XSS攻击，并且对可疑攻击进行上报。防御 XSS 及 http劫持，更多的还是得依靠升级 https 和 CSP(Content-Security Policy)/CSP2(内容安全策略) 等非 JavaScript 技术，高明的攻击者可以绕过任何 JavaScript 防护。

https?

CSP

XSS

分存储型和反射型

X-XSS-Protection

CSRF

    case '/api/jsonp':
      let csrf_close = true;
      if (csrf_close || csrf.verify(ctx.query.token)) {
        ctx.type = 'js';
        ctx.body = `${ctx.query.callback}(${Math.random()})`;
      } else {
        ctx.status = 403;
        ctx.body = 'token error'
      }
      break;

可以校验拦截攻击

clickjacking 和 X-Frame-Options

点击劫持 栗子：骗点击量、投票等等
可用opacity:0; pointer-events:none;
不可用：display:none无点击元素， visible:hidden

参考例子

• showcase15
• Frontend Exploits
• website attack examples

Node.js

Node.js 的历史与现状

• Chromium、Chrome、V8
• 版本信息
• wiki
• Ryan Dahl in 2009 (Linux and Mac OS X) -> Joyent
• January 2010 npm(package manager)
• June 2011, Microsoft and Joyent implemented a native Windows version of Node.js. The first Node.js build supporting Windows was released in July 2011.
terminal可用npm version看node版本

源码 & API

• https://github.com/nodejs/node
• https://nodejs.org/en/

NPM(Node Package Manager)

• https://www.npmjs.com/
• npm publish
• left-pad 事件
• 安全问题

应用场景

• 构建工具
– ant(Java) -> grunt -> gulp -> webpack -> parcel ?
• http server
– connect express koa eggjs hapi fastify
• npm rank
• awesome-micro-npm-packages

http & express & koa

koa
koa和express的异步处理不同
koa的异常处理更方便

选择什么框架

cache & db

• redis & lru-cache：临时性的缓存可用redis
• mongodb & mongoose