Deno与Secure TypeScript：安全的后端开辟

数据人与超自然意识  金牌会员 | 2024-11-19 20:51:14 | 显示全部楼层 | 阅读模式
打印 上一主题 下一主题
楼主

主题 994|帖子 994|积分 2982

Deno 是一个当代的后端 JavaScript/TypeScript 运行时，由 Node.js 的创始人 Ryan Dahl 创建。Deno 提供了很多内置的安全特性，使得后端开辟更加安全可靠。
Deno 简介

特点


  • 安全性：默认情况下禁用文件系统访问、网络访问等权限，必须显式授予。
  • 模块化：支持 ES 模块语法，无需额外的模块加载器。
  • 内置工具：提供了很多内置工具，如 HTTP 服务器、WebSocket 服务器等。
  • 跨平台：支持 Windows、macOS 和 Linux。
TypeScript 简介



  • 范例安全：提供强范例查抄，避免运行时错误。
  • 静态范例查抄：在编译阶段发现范例错误，进步代码质量。
  • 工具支持：丰富的 IDE 和编辑器支持，进步开辟效率。
安全性基础

权限管理


  • Deno 默认禁用所有权限，必须显式授予。
  • 权限包括文件系统访问、网络访问、情况变量访问等。
代码隔离


  • 每个模块都在沙箱情况中运行，防止恶意代码影响全局。
Deno 安装与基本利用

安装 Deno
  1. curl -fsSL https://deno.land/x/install/install.sh | sh
  2. deno --version
复制代码
创建项目
  1. mkdir my-deno-app
  2. cd my-deno-app
复制代码
编写基本代码
  1. // main.ts
  2. console.log("Hello, Deno!");
复制代码
运行代码
  1. deno run main.ts
复制代码
权限管理

默认权限
默认情况下，Deno 不允许任何权限。
  1. deno run --allow-read main.ts
复制代码
显式授予权限
授予读权限。
  1. deno run --allow-read main.ts
复制代码
权限组合
授予读和写权限。
  1. deno run --allow-read --allow-write main.ts
复制代码
HTTP 服务器

创建 HTTP 服务器
  1. // server.ts
  2. import { serve } from "https://deno.land/std@0.188.0/http/server.ts";
  4. const handler = (req: Request) => {
  5.   if (req.method === "GET") {
  6.     return new Response("Hello, World!");
  7.   }
  8.   return new Response("Method not allowed", { status: 405 });
  9. };
  11. serve(handler);
复制代码
运行 HTTP 服务器
  1. deno run --allow-net server.ts
复制代码
访问服务器
  1. curl http://localhost:8000
复制代码
安全的 HTTP 哀求

发送 HTTP 哀求
  1. // request.ts
  2. import { serve } from "https://deno.land/std@0.188.0/http/server.ts";
  3. import { fetch } from "https://deno.land/std@0.188.0/fetch/mod.ts";
  5. const handler = async (req: Request) => {
  6.   const response = await fetch("https://api.example.com/data");
  7.   const data = await response.json();
  8.   return new Response(JSON.stringify(data), { headers: { "Content-Type": "application/json" } });
  9. };
  11. serve(handler);
复制代码
运行哀求处理程序
  1. deno run --allow-net request.ts
复制代码
访问哀求处理程序
  1. curl http://localhost:8000
复制代码
数据验证与范例安全

数据验证
  1. // validator.ts
  2. import { serve } from "https://deno.land/std@0.188.0/http/server.ts";
  3. import { z } from "https://deno.land/x/zod@v3.21.4/mod.ts";
  5. interface User {
  6.   id: number;
  7.   name: string;
  8.   email: string;
  9. }
  11. const userSchema = z.object({
  12.   id: z.number(),
  13.   name: z.string().min(1),
  14.   email: z.string().email(),
  15. });
  17. const handler = async (req: Request) => {
  18.   const url = new URL(req.url);
  19.   const params = Object.fromEntries(url.searchParams.entries());
  20.   const result = userSchema.safeParse(params);
  22.   if (!result.success) {
  23.     return new Response(result.error.message, { status: 400 });
  24.   }
  26.   const user: User = result.data;
  27.   return new Response(JSON.stringify(user), { headers: { "Content-Type": "application/json" } });
  28. };
  30. serve(handler);
复制代码
运行验证处理程序
  1. deno run --allow-net validator.ts
复制代码
访问验证处理程序
  1. curl "http://localhost:8000?id=1&name=John&email=john@example.com"
复制代码
安全的数据库利用

毗连数据库
  1. // database.ts
  2. import { serve } from "https://deno.land/std@0.188.0/http/server.ts";
  3. import { sql } from "https://deno.land/x/sqlite@v3.4.2/mod.ts";
  5. const db = sql.open(":memory:");
  7. const createTable = `
  8.   CREATE TABLE IF NOT EXISTS users (
  9.     id INTEGER PRIMARY KEY AUTOINCREMENT,
  10.     name TEXT NOT NULL,
  11.     email TEXT NOT NULL UNIQUE
  12.   );
  13. `;
  15. db.query(createTable);
  17. const insertUser = `
  18.   INSERT INTO users (name, email) VALUES (?, ?);
  19. `;
  21. const selectUsers = `
  22.   SELECT * FROM users;
  23. `;
  25. const handler = async (req: Request) => {
  26.   const url = new URL(req.url);
  27.   const name = url.searchParams.get("name");
  28.   const email = url.searchParams.get("email");
  30.   if (!name || !email) {
  31.     return new Response("Missing parameters", { status: 400 });
  32.   }
  34.   try {
  35.     db.query(insertUser, [name, email]);
  36.     const users = db.query(selectUsers).fetchAll();
  37.     return new Response(JSON.stringify(users), { headers: { "Content-Type": "application/json" } });
  38.   } catch (error) {
  39.     return new Response(error.message, { status: 500 });
  40.   }
  41. };
  43. serve(handler);
复制代码
运行数据库处理程序
  1. deno run --allow-net --allow-read --allow-write database.ts
复制代码
访问数据库处理程序
  1. curl "http://localhost:8000?name=John&email=john@example.com"
复制代码
日志与错误处理

日志记载
  1. // logger.ts
  2. import { serve } from "https://deno.land/std@0.188.0/http/server.ts";
  3. import { format } from "https://deno.land/std@0.188.0/datetime/mod.ts";
  5. const handler = async (req: Request) => {
  6.   const now = format(new Date(), "yyyy-MM-dd HH:mm:ss");
  7.   console.log(`${now} - ${req.method} - ${req.url}`);
  9.   return new Response("OK");
  10. };
  12. serve(handler);
复制代码
错误处理
  1. // error-handler.ts
  2. import { serve } from "https://deno.land/std@0.188.0/http/server.ts";
  4. const handler = async (req: Request) => {
  5.   try {
  6.     // Perform some operation
  7.     return new Response("OK");
  8.   } catch (error) {
  9.     console.error(error);
  10.     return new Response(error.message, { status: 500 });
  11.   }
  12. };
  14. serve(handler);
复制代码
安全的最佳实践

最小权限原则
只授予须要的权限。
  1. deno run --allow-net --allow-read main.ts
复制代码
输入验证
对所有外部输入进行严酷验证。
  1. const userSchema = z.object({
  2.   id: z.number(),
  3.   name: z.string().min(1),
  4.   email: z.string().email(),
  5. });
复制代码
加密敏感数据
对敏感数据进行加密处理。
  1. import { crypto } from "https://deno.land/std@0.188.0/crypto/mod.ts";
  3. const secret = crypto.randomUUID();
  4. const encryptedData = crypto.encrypt(secret, sensitiveData);
复制代码
安全的数据库利用
利用参数化查询防止 SQL 注入。
  1. const insertUser = `
  2.   INSERT INTO users (name, email) VALUES (?, ?);
  3. `;
  5. db.query(insertUser, [name, email]);
复制代码
安全的会话管理
利用安全的会话管理机制。
  1. import { serve, Cookie } from "https://deno.land/std@0.188.0/http/server.ts";
  3. const handler = async (req: Request) => {
  4.   const sessionCookie = req.headers.get("Cookie");
  5.   let sessionId = null;
  7.   if (sessionCookie) {
  8.     const cookie = new Cookie(sessionCookie);
  9.     sessionId = cookie.get("session_id")?.value;
  10.   }
  12.   if (!sessionId) {
  13.     sessionId = crypto.randomUUID();
  14.     const cookie = new Cookie({
  15.       name: "session_id",
  16.       value: sessionId,
  17.       httpOnly: true,
  18.       secure: true,
  19.       sameSite: "strict",
  20.     });
  22.     return new Response("Session created", {
  23.       headers: { "Set-Cookie": cookie.toString() },
  24.     });
  25.   }
  27.   // Perform session-related operations
  28.   return new Response("OK");
  29. };
  31. serve(handler);
复制代码
利用 HTTPS
确保所有通信都利用 HTTPS。
  1. const server = serve({ port: 443, hostname: "example.com", secure: true });
复制代码
CORS 计谋
设置得当的 CORS 计谋。
  1. const handler = async (req: Request) => {
  2.   const origin = req.headers.get("Origin");
  4.   if (origin === "https://example.com") {
  5.     return new Response("OK", {
  6.       headers: { "Access-Control-Allow-Origin": origin },
  7.     });
  8.   }
  10.   return new Response("Not allowed", { status: 403 });
  11. };
  13. serve(handler);
复制代码
安全的文件上传
对上传文件进行严酷的验证和限定。
  1. import { serve } from "https://deno.land/std@0.188.0/http/server.ts";
  2. import { parseMultipartFormData } from "https://deno.land/std@0.188.0/mime/multipart/form_data/parser.ts";
  4. const handler = async (req: Request) => {
  5.   const formData = await parseMultipartFormData(req, { maxFileSize: 1024 * 1024 * 5 }); // 5MB limit
  7.   if (!formData.has("file")) {
  8.     return new Response("File missing", { status: 400 });
  9.   }
  11.   const file = formData.get("file");
  13.   if (!file) {
  14.     return new Response("Invalid file", { status: 400 });
  15.   }
  17.   const fileName = file.name;
  18.   const fileSize = file.size;
  19.   const fileType = file.type;
  21.   if (fileType !== "image/jpeg" && fileType !== "image/png") {
  22.     return new Response("Unsupported file type", { status: 400 });
  23.   }
  25.   // Save the file securely
  26.   const filePath = `./uploads/${fileName}`;
  27.   const fileStream = Deno.openSync(filePath, { write: true, create: true });
  28.   await fileStream.write(file.data);
  29.   fileStream.close();
  31.   return new Response("File uploaded successfully");
  32. };
  34. serve(handler);
复制代码
安全的情况变量管理
利用情况变量存储敏感信息。
  1. const apiKey = Deno.env.get("API_KEY");
  2. const apiSecret = Deno.env.get("API_SECRET");
复制代码
定期审计与更新
定期进行安全审计，并及时更新依赖库。
  1. deno upgrade
复制代码
安全的认证与授权

JWT认证
利用 JWT 进行用户认证。
  1. import { serve } from "https://deno.land/std@0.188.0/http/server.ts";
  2. import { jwt } from "https://deno.land/x/djwt@v2.2/mod.ts";
  4. const secret = Deno.env.get("JWT_SECRET");
  6. const handler = async (req: Request) => {
  7.   const authHeader = req.headers.get("Authorization");
  9.   if (!authHeader || !authHeader.startsWith("Bearer ")) {
  10.     return new Response("Unauthorized", { status: 401 });
  11.   }
  13.   const token = authHeader.slice(7); // Remove "Bearer " prefix
  15.   try {
  16.     const decodedToken = await jwt.decode(token, { secret });
  17.     return new Response("Authenticated");
  18.   } catch (error) {
  19.     return new Response("Invalid token", { status: 401 });
  20.   }
  21. };
  23. serve(handler);
复制代码
角色与权限
利用角色和权限进行细粒度控制。
  1. const userRoles = {
  2.   admin: ["read", "write", "delete"],
  3.   user: ["read"],
  4. };
  6. const handler = async (req: Request) => {
  7.   const authHeader = req.headers.get("Authorization");
  8.   const token = authHeader.slice(7); // Remove "Bearer " prefix
  9.   const decodedToken = await jwt.decode(token, { secret });
  11.   const role = decodedToken.role;
  12.   const permissions = userRoles[role];
  14.   if (!permissions.includes("write")) {
  15.     return new Response("Permission denied", { status: 403 });
  16.   }
  18.   // Perform write operation
  19.   return new Response("Write successful");
  20. };
  22. serve(handler);
复制代码
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
回复

使用道具 举报

0 个回复

倒序浏览
返回列表

快速回复

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 or 立即注册

本版积分规则

数据人与超自然意识

金牌会员
这个人很懒什么都没写!

楼主热帖

标签云

运维 CIO 存储 服务器
微信订阅号
微信服务号
微信客服
小程序
H5
关于我们 商务合作 网站地图
©Copyright 2022-2024 杭州祥升科技有限公司 版权所有 浙ICP备20004199号
快速回复 返回顶部 返回列表