Helmet是一系列帮助增强Node.JS之Express/Connect等Javascript Web应用安全的中间件。
一些著名的对Web攻击有XSS跨站脚本， 脚本注入 clickjacking 以及各种非安全的请求等对Node.js的Web应用构成各种威胁，使用Helmet能帮助你的应用避免这些攻击。
安装Helmet:
npm install helmet --save
在Express使用Helmet:
<span style="color:#666666"><span style="color:#333333"><span style="color:#0000aa"><em>// Load required modules</em></span><span style="color:black">
<strong>var</strong> express = require('express');
<strong>var</strong> helmet = require('helmet');
</span><span style="color:#0000aa"><em>// Create our Express application</em></span><span style="color:black">
<strong>var</strong> app = express();
</span><span style="color:#0000aa"><em>// Simple endpoint</em></span><span style="color:black">
app.get('/', function(req, res) {
res.send('Time to secure your application...');
});
</span><span style="color:#0000aa"><em>// Start the server</em></span><span style="color:black">
app.listen(3000);
<p>
</span></span></span>
|
Helmet安全功能有:
1crossdomain是用来服务crossdomain.xml
2.contentSecurityPolicy是设置Content Security Policy，防止XSS攻击。
3.hidePoweredBy可以移除 X-Powered-By 头部
4.hsts用于 HTTP Strict Transport Security
5.ieNoOpen设置IE8+的 sets X-Download-Options
6.noCache 失效客户端缓存
7.noSniff能避免客户端进行MIME类型进行嗅探。
8.frameguard阻止clickjacking
9.xssFilter能够增加一些小的XSS保护功能。
调用app.use(helmet());可以缺省激活上述9项功能的7项，排除的两项是contentSecurityPolicy 和noCache。
使用Content Security Policy (CSP) 防御XSS攻击案例代码：
<span style="color:#666666"><span style="color:#333333"><span style="color:#0000aa"><em>// Load required modules</em></span><span style="color:black">
<strong>var</strong> express = require('express');
<strong>var</strong> helmet = require('helmet');
</span><span style="color:#0000aa"><em>// Create our Express application</em></span><span style="color:black">
<strong>var</strong> app = express();
</span><span style="color:#0000aa"><em>// Implement CSP with Helmet</em></span><span style="color:black">
app.use(helmet.csp({
defaultSrc: [</span><span style="color:#00bb00">"'self'"</span><span style="color:black">],
scriptSrc: ['*.google-analytics.com'],
styleSrc: [</span><span style="color:#00bb00">"'unsafe-inline'"</span><span style="color:black">],
imgSrc: ['*.google-analytics.com'],
connectSrc: [</span><span style="color:#00bb00">"'none'"</span><span style="color:black">],
fontSrc: [],
objectSrc: [],
mediaSrc: [],
frameSrc: []
}));
</span><span style="color:#0000aa"><em>// Simple endpoint</em></span><span style="color:black">
app.get('/', function(req, res) {
res.send('Time to secure your application...');
});
</span><span style="color:#0000aa"><em>// Start the server</em></span><span style="color:black">
app.listen(3000);
<p>
</span></span></span>
|
具体使用和说明除了参考其Github说明外，还可以参考这篇文章：Protect Your Node App's Noggin With Helmet
