debian nodejs如何安全加固

在 Debian 上运行 Node.js 时，“安全加固”通常分为 系统层、Node 运行时、应用层、依赖与运维 四个方面。下面给出一套可落地的最佳实践。

一、系统层加固（Debian）

1. 使用官方 / 稳定源安装 Node.js

避免使用未知 PPA：

# 使用 NodeSource（推荐）
curl -fsSL https://deb.nodesource.com/setup_20.x | bash -
apt install -y nodejs

或直接使用 Debian backports 中的版本。

2. 最小化安装与权限

禁用 root 运行 Node 服务
创建专用用户：

useradd -r -s /usr/sbin/nologin nodeapp

3. 防火墙与端口

只开放必要端口（如 443）
使用 ufw 或 nftables

ufw allow 443/tcp
ufw enable

4. 系统更新策略

apt update && apt upgrade -y
unattended-upgrades

二、Node.js 运行时加固

1. 不使用 root 运行 Node

su nodeapp -s /bin/bash -c "node server.js"

或用 systemd：

[Service]
User=nodeapp
Group=nodeapp

2. 使用 LTS 版本

避免使用 EOL 版本（如 Node 14/16）。

3. 限制运行时权限

禁用不必要的原生模块
使用 --disable-proto=delete 防止原型污染（Node 12+）

三、应用层安全

1. 依赖安全（最重要）

npm audit
npm audit fix

使用：

npm ci（锁定版本）
package-lock.json 提交到仓库

进阶：

npx snyk test

2. 防常见 Web 攻击

使用 Express 时：

const helmet = require('helmet');
app.use(helmet());

防注入：

使用 ORM（Prisma / Sequelize）
禁止字符串拼接 SQL

3. 输入校验

joi / zod
严格限制请求体大小

express.json({ limit: '100kb' })

4. 错误与日志

不向客户端暴露 stack
使用 winston / pino

四、运行与运维安全

1. 使用 systemd 管理

[Service]
ExecStart=/usr/bin/node /opt/app/server.js
Restart=on-failure
NoNewPrivileges=true
ProtectSystem=strict

2. 反向代理

使用 Nginx + TLS
启用 HSTS

add_header Strict-Transport-Security "max-age=31536000";

3. 容器化（可选但推荐）

使用 node:20-slim
非 root 用户
只读文件系统

五、安全 checklist（快速版）

✅ 非 root 运行
✅ LTS Node
✅ npm audit 0 高危
✅ helmet
✅ 输入校验
✅ TLS
✅ 自动更新
✅ 日志审计

如果你愿意，我可以：

针对 Express / NestJS / Koa 给具体配置
帮你写 systemd / Dockerfile 安全模板
做一次 Node 安全自查清单

你当前是哪种使用场景？（Web 服务 / CLI / 微服务）