Node.js在CentOS上的安全性与加固要点
总体结论
在CentOS上运行Node.js可以达到较高的安全水平，但安全性取决于系统配置、Node.js版本与依赖管理、进程运行方式以及网络边界防护等多环节的协同。采用最小权限运行、及时更新、HTTPS/反向代理、依赖审计与防火墙等措施，能够显著降低风险；相反，直接使用root运行、暴露端口到公网、长期不更新依赖都会带来高危隐患。
关键安全控制清单
- 系统与账户
- 仅保留必要的root与特权账户，锁定或删除无用账号；为root设置会话TMOUT自动注销；通过**/etc/pam.d/su限制可切换至root的组；必要时用chattr +i保护/etc/passwd、/etc/shadow、/etc/group、/etc/gshadow**等关键文件。
- 网络与端口
- 启用firewalld，仅放行22/80/443及业务必需端口；将应用置于内网或仅本机监听，由Nginx/Apache反向代理对外提供HTTPS。
- Node.js安装与运行
- 使用NodeSource或NVM安装与切换版本，保持Node.js与npm为最新稳定版；应用以非root用户运行；生产用PM2守护进程并配置日志轮转与集群模式。
- 传输与应用层安全
- 全站启用TLS/HTTPS（优先Let’s Encrypt）；使用Helmet设置安全响应头；严格CORS白名单；限制请求体大小防DoS；对密码等敏感比较使用crypto.timingSafeEqual防时序攻击；对用户输入做校验与输出编码，防范XSS/SQL注入；启用限流与CSRF保护（如表单场景）。
快速加固示例
- 系统与防火墙
- 更新系统与依赖：sudo yum update -y
- 启动并持久化防火墙：sudo systemctl enable --now firewalld
- 放行必要端口：sudo firewall-cmd --permanent --add-service=http --add-service=https --add-port=22/tcp && sudo firewall-cmd --reload
- Node.js安装与运行
- 使用NodeSource安装（示例为16.x，可按需调整版本）：curl -sL https://rpm.nodesource.com/setup_16.x | sudo bash - && sudo yum install -y nodejs
- 验证版本：node -v && npm -v
- 以非root运行（示例用户为nodeapp）：sudo useradd -m -s /sbin/nologin nodeapp；将应用目录属主设为nodeapp并切换用户启动
- 进程守护：sudo npm i -g pm2；pm2 start app.js -u nodeapp --name “myapp”；pm2 save && pm2 startup
- 应用层安全
- 全站HTTPS：使用Certbot/Nginx申请并自动配置证书；或在Node.js中配置TLS证书与强加密套件
- 安全中间件与限流（以Express为例）：
- const helmet = require(‘helmet’); const rateLimit = require(‘express-rate-limit’); const cors = require(‘cors’);
- app.use(helmet()); app.use(cors({ origin: ‘https://yourdomain.com’, credentials: true }));
- app.use(express.json({ limit: ‘50kb’ })); app.use(‘/api/’, rateLimit({ windowMs: 15601000, max: 100 }));
- 依赖安全：npm audit fix；必要时配合Snyk进行漏洞监测与修复。
持续运维与监控
- 持续更新Node.js运行时与依赖，定期执行npm audit与安全扫描；对公网暴露面进行最小权限与最小端口审查。
- 集中化日志与监控：使用PM2日志、Nginx访问日志与审计日志；结合Prometheus/Grafana或ELK进行指标与日志分析，设置告警策略。
