nodejs

id	sec-nodejs-check
name	Node.js 安全审查
category	security
description	检查 RCE、SSRF、SQL 注入、路径穿越等安全问题，支持 Express/Koa/NestJS
tags	["security","nodejs","backend","ssrf","sql-injection"]
updated_at	2026-01-20T00:00:00.000Z
allowed-tools	["Read","Grep","Glob","Shell"]

Node.js 安全审查

⚠️ 核心规则

1. 永不信任用户输入 - 所有请求数据须 Schema 验证
2. 安全默认 - 使用安全 API（execFile 而非 exec）
3. 纵深防御 - 输入验证 + 参数化查询 + 输出编码

快速开始

/nodejs-security-check                    # 智能扫描 src 目录
/nodejs-security-check file src/xxx.js    # 扫描指定文件
/nodejs-security-check report             # 生成详细报告

问题分级

前缀	含义	处理方式
🔴 严重	可被直接利用	阻止发布
🟡 中等	需特定条件	尽快修复
⚪ 建议	最佳实践	可选优化

检查维度

维度	检查项
输入验证	Schema 验证、HPP 防护、请求体限制
命令执行	exec/spawn 注入、shell: true
文件操作	路径穿越、上传安全、ZipSlip
网络请求	SSRF、私网阻断、DNS 重绑定
数据库	SQL 注入、NoSQL 注入、Mass Assignment
认证授权	JWT 算法、会话安全、权限校验

📦 按需加载资源

资源	URI
完整检查清单	skill://nodejs-security-check/references/checklist.md
修复示例	skill://nodejs-security-check/references/fix-examples.md
评分标准	skill://nodejs-security-check/references/scoring-standard.md

---

📦 可用资源

• skill://nodejs-security-check/references/checklist.md
• skill://nodejs-security-check/references/fix-examples.md
• skill://nodejs-security-check/references/report-format.md
• skill://nodejs-security-check/references/scoring-standard.md
• skill://nodejs-security-check/references/security-toolkit.md

根据 SKILL.md 中的 IF-THEN 规则判断是否需要加载