核心用法
本技能提供结构化安全审计框架，专为 Node.js HTTP 服务器与 Web 应用设计，覆盖从代码审查到配置检查的全流程。使用者按 Critical → High → Medium → Low 四级风险优先级执行检查，生成标准化审计报告。
关键操作流程：
1. 硬编码密钥扫描：使用 grep 模式识别源码中的 API 密钥、密码、令牌，强制迁移至环境变量并在缺失时终止进程
2. XSS 排查：定位 innerHTML、模板字符串注入等危险模式，替换为 textContent 或 HTML 转义
3. 注入防护：检查字符串拼接查询、eval()、Function() 等动态执行，改用参数化查询与输入验证
4. CORS 加固：将通配符 * 替换为白名单校验机制
5. 认证绕过审查：验证所有受保护路由（尤其静态文件、Webhook、健康检查端点）均强制执行身份校验
6. 路径遍历防御：使用 path.normalize() + startsWith(allowedDir) + fs.realpathSync() 三层校验
7. 安全头与限流：自动注入 OWASP 推荐响应头，实现基于内存 Map 的 IP 限流（5 次/60 秒）
显著优点
- 风险分级明确：Critical/High/Medium/Low 四级优先级，资源有限时聚焦关键漏洞
- 即查即修：每个检查项附带具体代码模式与修复示例，无需额外搜索
- 覆盖 OWASP Top 10：从注入、失效认证、敏感数据泄露到安全配置错误、XSS 等核心风险
- Node.js 专属：针对 JavaScript 动态特性（
eval、原型链污染等）定制检查逻辑
潜在缺点与局限性
- 静态分析依赖：依赖正则与代码模式匹配，无法检测复杂业务逻辑漏洞（如竞争条件、权限绕过）
- 无自动化工具集成：未内置
semgrep、eslint-plugin-security等扫描工具调用，需人工执行 - 限流方案简易：基于内存 Map 的实现不适合分布式部署，重启即丢失状态
- 依赖审计浅层：仅建议运行
npm audit，未提供供应链深层分析（如恶意包检测） - 无运行时防护：纯审计清单，不含 RASP 或 WAF 部署指导
适合人群
- 开发团队：部署前的代码审查与安全自检
- 安全工程师：快速初筛 Node.js 项目风险
- 技术负责人：建立团队安全基线与 Checklist 文化
- 开源维护者：接收外部 PR 时的安全准入审查
常规风险
- 误报可能：关键词匹配可能标记合法环境变量引用（如注释中的
"secret"） - 遗漏隐蔽漏洞：编码攻击（如 Unicode 规范化绕过、原型污染）需动态测试补充
- 配置漂移：审计后修改代码可能引入新漏洞，需建立 CI 集成或定期复审机制
- 环境变量暴露风险：建议的
process.env模式若搭配错误日志打印，仍可能泄露至监控平台