debian如何保护nodejs

在 Debian 上“保护 Node.js”通常指几个不同层面，下面按最常见场景系统说明，你可以按需取用。

一、系统层面保护 Node.js 运行环境

1. 使用非 root 用户运行

永远不要以 root 运行 Node 服务：

adduser nodeapp
su - nodeapp

启动方式：

node app.js

或用 systemd 指定用户：

[Service]
User=nodeapp
Group=nodeapp

2. 使用 systemd 限制权限（推荐）

编辑服务文件 /etc/systemd/system/nodeapp.service：

[Service]
ExecStart=/usr/bin/node /opt/app/app.js
User=nodeapp
WorkingDirectory=/opt/app

# 安全限制
NoNewPrivileges=true
ProtectSystem=strict
ProtectHome=true
PrivateTmp=true
ReadOnlyPaths=/
ReadWritePaths=/opt/app/logs
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
AmbientCapabilities=CAP_NET_BIND_SERVICE

systemctl daemon-reload
systemctl enable --now nodeapp

二、网络安全与端口保护

1. 不要用 80/443 直接给 Node

使用 nginx 反向代理：

server {
    listen 80;
    server_name example.com;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
    }
}

Node 只监听 127.0.0.1：

app.listen(3000, '127.0.0.1');

2. 防火墙（ufw）

ufw allow 22
ufw allow 80
ufw allow 443
ufw enable

三、Node.js 应用本身保护

1. 固定 Node 版本（避免被篡改）

使用 NodeSource 或 nvm：

curl -fsSL https://deb.nodesource.com/setup_20.x | bash -
apt install -y nodejs

检查版本：

node -v
npm -v

2. 依赖安全

定期审计：

npm audit
npm audit fix

生产环境安装：

npm ci --omit=dev

3. 防止代码注入

不使用 eval
不使用用户输入拼接命令
使用 helmet：

npm install helmet

const helmet = require('helmet');
app.use(helmet());

四、文件与权限保护

1. 目录权限

chown -R nodeapp:nodeapp /opt/app
chmod -R 750 /opt/app

2. 禁止写执行目录

ReadWritePaths=/opt/app/logs
ReadOnlyPaths=/opt/app

五、日志与监控

journalctl -u nodeapp -f

安装 fail2ban 防暴力：

apt install fail2ban

六、自动更新安全补丁

apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades

七、常见“保护 Node.js”的误解

❌ 杀毒软件保护 Node
❌ 只靠防火墙
✅ 最小权限 + 反向代理 + 依赖审计

如果你能说明：

是 服务器安全 / 代码安全 / 运行安全
是否 公网暴露
使用 Express / Nest / 原生

我可以给你更精确的 Debian + Node.js 安全方案。