Cad iad na cleachtais sábháilteachta príomhúla do app Node.js?

Question

Accepted Answer

Is ionann a bheith ag socrú Node app agus a bheith ag cosaint i gcoinne dhochmainte choitianta an ghréasáin (an OWASP Top 10) ar ilchiseal — láimhseáil ionchur, fíordheimhniú, spleáchais, agus cumraitheoireacht. Tá sábháilteacht sraitheach (cosaint i ndoimhneacht), ní leigheas singil.

## 1. Bailíochtaigh agus glan gach ionchur

```js
import { z } from "zod";
// never trust client input — validate shape/type before using it
const schema = z.object({ email: z.string().email(), age: z.number().min(0) });
const data = schema.parse(req.body); // rejects malformed/malicious input
```

## 2. Cosc ar instealladh (SQL, NoSQL, ordú)

```js
// ❌ string concatenation → SQL injection
db.query(`SELECT * FROM users WHERE id = ${req.params.id}`);
// ✅ parameterized queries — input is data, never executable SQL
db.query("SELECT * FROM users WHERE id = $1", [req.params.id]);
```

Úsáid fhiarainn bharamhailacha i gcónaí / ORM, agus ná tóg orduithe riamh ó ionchur úsáideora (féach instealladh ordaithe le `child_process`).

## 3. Fíordheimhniú & rúnda

```text
✓ Hash passwords with bcrypt/argon2/scrypt (slow + salted) — never plain/SHA
✓ Store secrets in env vars, never in code/git
✓ Use httpOnly, secure, sameSite cookies for sessions (XSS-resistant)
✓ Sign/verify JWTs properly; keep tokens short-lived
```

## 4. Socraigh ceanntásca sábháilteachta & teorainn ar ráta

```js
import helmet from "helmet";
import rateLimit from "express-rate-limit";

app.use(helmet()); // sets secure HTTP headers (CSP, HSTS, X-Frame-Options, etc.)
app.use(rateLimit({ windowMs: 60_000, max: 100 })); // throttle abuse/brute-force
```

Cuireann `helmet` ceanntásca cosantacha i bhfeidhm; cosnaíonn teorainn ar ráta i gcoinne fhórsúil-dhréim agus DoS.

## 5. Coinnigh spleáchais slán (slabhra soláthair)

```bash
npm audit          # check installed packages for known vulnerabilities
npm audit fix
# + keep deps updated; review postinstall scripts; pin versions via the lockfile
```

Is é formhór an chóid Node ná pacáistí tríú páirtí — is veicteoir ionsaithe mór í spleáchais bhocht. Déan iniúchadh agus nuashonraigh go rialta.

## 6. Gné eile riachtanacha

```text
✓ Use HTTPS (TLS) everywhere; redirect HTTP → HTTPS
✓ Don't leak error details/stack traces to clients in production
✓ Escape output to prevent XSS (frameworks usually do this)
✓ Implement proper authorization (not just authentication) — check permissions per action
✓ CORS configured to an allowlist, not "*" for credentialed APIs
✓ Limit request body size to prevent payload-based DoS
```

## Cén fáth a bhfuil tábhacht air

Is spriocanna leanúnacha iad feidhmchlár gréasáin, agus tá feidhmchláir Node nochtaithe don raon iomlán dichéilí ghréasáin — instealladh, fíordheimhniú briste, XSS, spleáchais bhocht, drochchumraitheoireacht.

Ní leor beart singil; tá sábháilteacht **sraitheach**: bailíochtaigh ionchur, cuir fiarainn ar fhiarainn ar fhiarainn, déan hash ar fhocail-fhaire i gceart, bainistríonn rúnda go sábhálte, socraigh ceanntásca cosantacha, teorainn ar ráta, déan iniúchadh ar spleáchais, agus úsáid HTTPS.

Tá a bheith i bhfios ar na cleachtais seo (agus na rioscaí OWASP taobh thiar díobh) ina chúram riachtanach do gach duine atá ag tógáil seirbhísí Node táirgeachta — is féidir le ciseal amháin ar ligadh di (instealladh, rúnda leagtha ar foluain, spleáchais gan pháitse) an córas ar fad a chur i mbaol.