30、应用程序加固：安全与可扩展性指南

应用程序加固：安全与可扩展性指南

1. 防止命令注入和 SQL 注入

注入攻击是指入侵者利用解释器的语法发送基于文本的攻击。SQL 注入是通过用户输入注入部分或完整的 SQL 查询，这可能会暴露敏感信息并造成破坏。同样，命令注入是攻击者在远程 Web 服务器上运行操作系统命令的一种技术，甚至可能导致密码泄露。

为了防范这些攻击，我们应始终对用户输入进行过滤和清理。使用 JavaScript 的 eval 语句也会为注入攻击打开大门。如果使用 PostgreSQL，可以使用 node-postgres （https://www.npmjs.com/package/pg），它提供了位置查询参数。以下是一些常见的防御注入攻击的技术：
- 转义用户输入 ：许多库都提供了此功能。
- 参数化 SQL 查询 ：创建使用位置查询参数的查询，并将值填充到这些参数中。
- 避免使用 eval() 处理用户输入 ：这是注入命令的一种方式，应完全避免。

此外，Express 应用程序容易受到 MongoDB 攻击。如果不明确设置查询选择器，数据将容易受到简单查询的攻击。例如：

// 不安全的查询
db.users.find({user: user, pass: pass});

// 安全的查询
db.users.find({user: { $in: [user] }, pass: