Quali sono le principali best practice di sicurezza per un'app Node.js?

Question

Accepted Answer

Proteggere un'app Node significa difendersi dalle vulnerabilità web comuni (OWASP Top 10) su più livelli — gestione dell'input, autenticazione, dipendenze e configurazione. La sicurezza è stratificata (difesa in profondità), non una singola correzione.

## 1. Convalida e sanitizza tutto l'input

```js
import { z } from "zod";
// never trust client input — validate shape/type before using it
const schema = z.object({ email: z.string().email(), age: z.number().min(0) });
const data = schema.parse(req.body); // rejects malformed/malicious input
```

## 2. Previeni l'iniezione (SQL, NoSQL, comando)

```js
// ❌ string concatenation → SQL injection
db.query(`SELECT * FROM users WHERE id = ${req.params.id}`);
// ✅ parameterized queries — input is data, never executable SQL
db.query("SELECT * FROM users WHERE id = $1", [req.params.id]);
```

Usa sempre query parametrizzate / un ORM, e non costruire mai comandi dall'input dell'utente (vedi command injection con `child_process`).

## 3. Autenticazione & segreti

```text
✓ Hash passwords with bcrypt/argon2/scrypt (slow + salted) — never plain/SHA
✓ Store secrets in env vars, never in code/git
✓ Use httpOnly, secure, sameSite cookies for sessions (XSS-resistant)
✓ Sign/verify JWTs properly; keep tokens short-lived
```

## 4. Imposta header di sicurezza & rate-limit

```js
import helmet from "helmet";
import rateLimit from "express-rate-limit";

app.use(helmet()); // sets secure HTTP headers (CSP, HSTS, X-Frame-Options, etc.)
app.use(rateLimit({ windowMs: 60_000, max: 100 })); // throttle abuse/brute-force
```

`helmet` aggiunge header protettivi; il rate limiting difende da brute-force e DoS.

## 5. Mantieni le dipendenze sicure (supply chain)

```bash
npm audit          # check installed packages for known vulnerabilities
npm audit fix
# + keep deps updated; review postinstall scripts; pin versions via the lockfile
```

La maggior parte del codice Node è pacchetti di terze parti — le dipendenze vulnerabili sono un vettore di attacco importante. Audita e aggiorna regolarmente.

## 6. Altre cose essenziali

```text
✓ Use HTTPS (TLS) everywhere; redirect HTTP → HTTPS
✓ Don't leak error details/stack traces to clients in production
✓ Escape output to prevent XSS (frameworks usually do this)
✓ Implement proper authorization (not just authentication) — check permissions per action
✓ CORS configured to an allowlist, not "*" for credentialed APIs
✓ Limit request body size to prevent payload-based DoS
```

## Perché è importante

Le app web sono bersagli costanti, e le app Node sono esposte all'intera gamma di vulnerabilità web — iniezione, autenticazione compromessa, XSS, dipendenze vulnerabili, errori di configurazione.

Nessuna singola misura è sufficiente; la sicurezza è **stratificata**: convalida l'input, parametrizza le query, fai l'hash delle password correttamente, gestisci i segreti in modo sicuro, imposta header protettivi, applica rate-limiting, audita le dipendenze, e usa HTTPS.

Comprendere queste pratiche (e i rischi OWASP dietro di esse) è una responsabilità essenziale per chiunque costruisca servizi Node in produzione — un singolo livello trascurato (un'iniezione, un segreto rivelato, una dipendenza non patchata) può compromettere l'intero sistema.