Articles of 安全性

NodeJS和AngularJS – 使用客户端证书authentication来保护REST API

我目前正在努力使REST Api服务器(NodeJS + Express + Mongoose)安全,除了我的客户端应用程序(AngularJS 1.6)和我的pipe理应用程序(基于AngularJS 1.6)之外,没有人可以访问路由并获取或放置数据到我的数据库。 所有内容都使用有效的SSL证书在https上运行。 我主要想到两种方法: 共享密钥在特定路由需要“访问密钥” 客户端证书authentication 我没有去。 2,因为在我的想法这是最安全的(请纠正,如果我错了:)) 所以我设置我的API服务器在https上运行,并请求一个有效的客户端证书: var options = { ca: fs.readFileSync(__dirname + "/cert/server.ca"), key: fs.readFileSync(__dirname + "/cert/server.key"), cert: fs.readFileSync(__dirname + "/cert/server.crt"), requestCert: true, rejectUnauthorized: false }; https.createServer(options, app) .listen(PORT, () => { console.log(`up and running @: ${os.hostname()} on port: ${PORT}`); console.log(`enviroment: ${process.env.NODE_ENV}`); }); 我通过以下方式直接在应用程序中处理未经使用的用户的拒绝: if […]

访问一个NodeJSvariables?

为了安全起见,有没有办法在服务器和/或客户端JavaScript中访问和打印控制台(或嗅探)variables? 你会认为安全的存储variables的密码来encryption帐户敏感数据(然后混淆.js文件)?

我想在S3中存储用户的个人资料图像,并将其显示在客户端 – 将S3对象展示给移动客户端的最佳做法是什么?

所以我有一个Android聊天应用程序,用户可以创build个人资料照片。 这些照片被发送到我的节点JS后端,我上传到我的AWS S3存储桶。 我将关键字存储在我的SQL数据库下的“ user ”表中的“ image_path ”列中。 现在,当用户访问应用中的多个其他用户的聊天室时,他们应该能够看到其他用户的个人资料照片。 目前,在join聊天室时,所有用户及其“ image_path ”列表被返回给客户端。 我正在考虑如何以有效的方式向用户展示个人资料图片,而不会违反最佳安全做法。 我正在考虑的第一个解决scheme如下: 使S3桶读取公共 客户端现在可以通过“ bucket-name.s3.amazonaws.com/image_path ”请求直接访问其他用户的个人资料图片。 我对这个方法的担心是S3显示下面的警告,这让我觉得这种方法有些严重的错误: You have provided public access to this bucket. We highly recommend that you never grant any kind of public access to your S3 bucket. 我正在考虑的第二个解决scheme是: 当在聊天室中检索用户时,遍历每个用户,从每个用户的“ image_path ”创build一个预先签名的URL,在X时间后过期,然后将其返回给客户端 我看到了一些问题。 首先,如果用户在聊天室中停留的时间长于预先签名的url的到期时间,该怎么办? 实现这个刷新逻辑听起来像头痛。 而且,生成所有预先签名的URL似乎会在后端花费很长时间。 推荐哪两种方法? 还有其他的select我应该考虑吗? 更新:所以目前我正在诉诸第一个方法,它工作正常 – […]

用多个客户端testing节点应用程序

我是服务器端编程的新手。 所以这个问题可能看起来很基础。 我写了一个节点应用程序,我想通过多个客户端进行testing。 我怎样才能运行我的本地networking应用程序给其他客户端的本地IP,他们可以访问应用程序? 我试图听192.168.10.10的IP,但似乎节点没有这样做的权限。 我怎样才能做到这一点? 我在Mac OSX上

Firefox中的Websockets不能使用多个HTTPS页面

我有一个websocket客户端 – 服务器应用程序。 这是客户的简化代码: const HOST = "wss://localhost:8000"; const SUB_PROTOCOL= "sub-protocol"; var websocket = new WebSocket(HOST, SUB_PROTOCOL); websocket.onopen = function(evt) { … }; websocket.onclose = function(evt) { … }; websocket.onerror = function(evt) { … }; websocket.onmessage = function(evt) { … }; 这里的服务器: const PORT = 8000; const SUBPROTOCOL = 'sub-protocol'; var WebSocketServer = require('websocket').server; var […]

Node.js文件安全

我即将开始创build一个网站,该网站从客户端(不涉及用户帐户)获取表单input(下拉菜单,辐射盒等)的值,并执行这些值的计算。 这些计算是相当敏感的,我知道客户端JavaScript不能安全。 是否有可能拉这些客户端的值,并运行计算服务器端node.js? 如果是这样,那有多安全? 还有什么其他的预防措施可以采取? 如果这是不可能的或安全的,还有什么其他解决scheme?

ACME – 使用SAN获取子域的证书

我对即将到来的自动证书pipe理环境(ACME)感兴趣。 我下载了演示,并试用了我的主域名。 我仍然有一个问题:使用常规authentication过程,我能够获得与SAN的证书,所以我可以将其设置在我的服务器(Node.js),并为所有子域(这是虚拟主机)提供服务。 问题是, 目前的草案说明如下: 关键授权 可以重复该过程以将多个标识符关联到密钥对(例如,请求具有多个标识符的证书) 这是否意味着即使它们是同一主域(“主标识符”)的一部分,我也需要为每个子域颁发由相同密钥生成的新证书? 谢谢你的答案。

用于客户端 – 服务器通信和安全的api-key

我需要一些build议。 我想build立一个JS应用程序,将在客户端浏览器上运行,并与我的服务器与Ajax通信。 问题是我想给这个客户端一些API密钥,所以我可以在我的服务器上授权。 安全明智的问题,因为只要这个关键是通过ajax调用发送,任何人都可以复制此调用。 我不想问客户端创build一些代理服务器,并“请求”。 我希望它是直接从客户端到我的服务器。 除了通过他的IP或域来validation客户,最佳做法是什么?

保护自己免受nodejs中的sql注入的最好方法

这是设置。 我使用ajax发送一个POST,在这里我将过程的参数发送到nodejs服务器。 在这个特定的情况下,用户名和代码。 此POST将request.get调用到执行使用这两个参数的过程的Web服务。 例如 app.post('url/:username/:code', function(req,res,next){ var procedure = 'EXECUTE procedureName'+req.params.code; request.get('myWslink/myService.asmx/service? callback=&userName='+req.params.username+'&procedureName='+procedure, function(){}); }); 前端用户无法看到我的web服务url,我的request.get url或我的过程名称,但他仍然可以看到正在发送的参数(用户名,代码),他可以更改这些参数,使他执行一个他不应该执行的过程。 他也可以多次调用一个POST请求,如果是一个插入过程,用一堆垃圾填充数据库。 保护自己免受这些攻击的最好办法是什么?

ReST API:我应该将访问令牌与数据库中的用户关联起来吗?

我正在nodeJS服务器上构build安全的ReST API,以便我的Android应用程序可以访问我网站上的数据。 根据阅读一些其他职位,我已经明白,我应该使用访问令牌。 所以我的想法是做到以下几点: 1)当用户loginAndroid应用程序时,应用程序向我的网站上的/api/login发送一个请求,提供用户名和密码(这当然需要通过SSL来防止窃听)。 2)我的服务器validation用户名+密码是否匹配,如果是,则用访问令牌进行响应。 3)应用程序使用这个访问令牌来完成对我的API的所有后续请求。 我的问题是我应该存储访问令牌在我的服务器上的数据库? 具体而言,我是否应该存储访问令牌与特定用户关联的事实? 我看过的大多数教程都没有这样做,但是如果我不这样做,那么用这个访问令牌来修改或者查看另一个用户的数据是什么呢? 我不需要将访问令牌与数据库中的用户配对?