安全防护中间件.md 11 KB
安全防护中间件
本文档引用的文件
- security.ts
- auth.ts
- rate-limiter.ts
- app.ts
- index.ts
- errorHandler.ts
- usageLimit.ts
- index.ts
- auth.controller.ts
- tts.controller.ts
- auth.js
- nginx配置
目录
简介
AI有声书生成平台的安全防护中间件是一个综合性的安全解决方案，旨在保护系统免受常见Web攻击和滥用行为的影响。该中间件集成了多种安全机制，包括XSS防护、SQL注入防护、敏感数据脱敏、请求头验证、限流控制等，为平台提供了多层次的安全保障。
本中间件采用Koa.js框架构建，通过中间件链的方式在请求处理流程中实施各种安全策略。它不仅提供了基础的安全防护，还与认证中间件、限流中间件等其他组件协同工作，形成完整的安全防护体系。
项目结构
安全中间件在项目中的组织结构如下：
graph TB
subgraph "安全中间件模块"
A[security.ts<br/>XSS防护]
B[security.ts<br/>SQL注入防护]
C[security.ts<br/>敏感数据脱敏]
end
subgraph "认证中间件"
D[auth.ts<br/>JWT认证]
E[auth.ts<br/>可选认证]
end
subgraph "限流中间件"
F[rate-limiter.ts<br/>通用限流]
G[rate-limiter.ts<br/>登录限流]
H[rate-limiter.ts<br/>短信限流]
I[rate-limiter.ts<br/>TTS限流]
end
subgraph "应用入口"
J[app.ts<br/>中间件注册]
end
A --> J
B --> J
C --> J
D --> J
F --> J
G --> J
H --> J
I --> J
图表来源
- security.ts:1-154
- auth.ts:1-81
- rate-limiter.ts:1-120
- app.ts:61-82
章节来源
- security.ts:1-154
- auth.ts:1-81
- rate-limiter.ts:1-120
- app.ts:61-82
核心组件
XSS防护中间件
XSS（跨站脚本攻击）防护是Web应用安全的重要组成部分。该中间件通过双重防护机制来保护系统：
- 请求体过滤：对所有传入的请求体进行XSS代码清理
- 查询参数过滤：对URL查询参数进行同样的安全处理
响应头设置：设置浏览器安全响应头
flowchart TD A[请求到达] --> B{检查请求体} B --> |存在| C[递归清理对象] B --> |不存在| D[检查查询参数] C --> E[清理字符串] E --> F[设置安全响应头] D --> |存在| C D --> |不存在| F F --> G[继续处理] H[字符串清理规则] --> I[HTML标签转义] I --> J[JavaScript协议过滤] J --> K[事件处理器过滤] K --> L[脚本标签过滤]
图表来源
- security.ts:7-27
- security.ts:32-58
SQL注入防护中间件
SQL注入是数据库安全的主要威胁之一。该中间件采用主动检测机制：
- 参数扫描：检查所有请求参数（查询参数和请求体）
- 模式匹配：使用正则表达式检测常见的SQL注入模式
- 实时拦截：发现恶意输入时立即拒绝请求
章节来源
- security.ts:60-102
敏感数据脱敏中间件
为了保护用户隐私和系统安全，中间件实现了多层数据脱敏机制：
- 自动脱敏：对响应数据中的敏感字段进行脱敏处理
- 密码脱敏：特殊处理密码字段
- 联系方式脱敏：对手机号、邮箱等敏感信息进行部分隐藏
章节来源
- security.ts:104-154
架构概览
安全中间件在整个系统架构中的位置和交互关系如下：
graph TB
subgraph "客户端层"
A[浏览器/移动应用]
end
subgraph "网关层"
B[Nginx反向代理]
end
subgraph "应用层"
C[Koa应用]
D[安全中间件链]
E[认证中间件]
F[限流中间件]
G[业务逻辑]
end
subgraph "数据层"
H[MySQL数据库]
I[Redis缓存]
J[存储服务]
end
A --> B
B --> C
C --> D
D --> E
D --> F
E --> G
F --> G
G --> H
G --> I
G --> J
subgraph "安全策略"
K[CORS配置]
L[HSTS设置]
M[安全响应头]
end
B --> K
B --> L
C --> M
图表来源
- app.ts:61-82
- nginx配置:129-131
章节来源
- app.ts:61-82
- nginx配置:129-131
详细组件分析
认证中间件集成
认证中间件与安全中间件紧密协作，共同提供身份验证和授权保护：
sequenceDiagram
participant Client as 客户端
participant Security as 安全中间件
participant Auth as 认证中间件
participant Service as 业务服务
Client->>Security : 请求带Token的API
Security->>Security : XSS/SQL注入检查
Security->>Auth : 继续处理
Auth->>Auth : 验证JWT Token
Auth->>Service : 验证通过，传递用户信息
Service->>Client : 返回受保护资源
Note over Security,Auth : 安全中间件先于认证执行
图表来源
- auth.ts:7-49
- security.ts:60-84
限流中间件配置
系统实现了多层级的限流策略，针对不同的业务场景提供相应的保护：
classDiagram
class RateLimiter {
+points : number
+duration : number
+blockDuration : number
+keyGenerator(ctx) : string
+consume(key, points) : Promise
}
class ApiRateLimiter {
+points : 100
+duration : 60
+keyGenerator : ip-based
}
class LoginRateLimiter {
+points : 5
+duration : 60
+blockDuration : 300
+keyGenerator : login : {ip}
}
class SmsRateLimiter {
+points : 1
+duration : 60
+blockDuration : 3600
+keyGenerator : sms : {phone}
}
class TtsRateLimiter {
+points : 20
+duration : 60
+keyGenerator : tts : {userId}
}
RateLimiter <|-- ApiRateLimiter
RateLimiter <|-- LoginRateLimiter
RateLimiter <|-- SmsRateLimiter
RateLimiter <|-- TtsRateLimiter
图表来源
- rate-limiter.ts:4-43
- rate-limiter.ts:77-120
CORS策略配置
跨域资源共享（CORS）策略在应用启动时进行全局配置：
| 配置项 | 值 | 说明 |
|---|---|---|
| origin | '*' | 允许所有域名访问 |
| allowMethods | ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS'] | 允许的HTTP方法 |
| allowHeaders | ['Content-Type', 'Authorization'] | 允许的请求头 |
章节来源
- app.ts:69-73
安全响应头配置
系统设置了多个重要的安全响应头来增强浏览器安全性：
| 响应头 | 值 | 作用 |
|---|---|---|
| X-XSS-Protection | 1; mode=block | 启用XSS过滤器并阻止页面渲染 |
| X-Content-Type-Options | nosniff | 防止MIME类型嗅探 |
| X-Frame-Options | DENY | 防止点击劫持攻击 |
| Content-Security-Policy | default-src 'self' | 限制内容来源为同源 |
章节来源
- security.ts:19-23
依赖关系分析
安全中间件与其他组件之间的依赖关系如下：
graph LR
subgraph "外部依赖"
A[@koa/cors]
B[koa-body]
C[rate-limiter-flexible]
D[jsonwebtoken]
end
subgraph "内部模块"
E[security.ts]
F[auth.ts]
G[rate-limiter.ts]
H[errorHandler.ts]
I[usageLimit.ts]
end
subgraph "配置模块"
J[index.ts]
end
A --> E
B --> E
C --> G
D --> F
E --> H
F --> H
G --> H
I --> H
E --> J
F --> J
G --> J
图表来源
- app.ts:3-6
- security.ts:1-4
- rate-limiter.ts:1-2
章节来源
- app.ts:3-6
- security.ts:1-4
- rate-limiter.ts:1-2
性能考虑
中间件执行顺序优化
安全中间件的执行顺序经过精心设计以平衡安全性和性能：
- 早期拦截：XSS和SQL注入检查在认证之前执行，避免不必要的计算开销
- 条件执行：某些检查只在特定条件下执行，减少对正常请求的影响
- 缓存策略：限流器使用Redis进行分布式缓存，提高性能
内存管理
系统实现了智能的内存管理策略：
- 动态限流器创建：按需创建和复用限流器实例
- Redis降级：当Redis不可用时自动切换到内存限流器
- 键空间管理：合理设置键的过期时间和命名空间
故障排除指南
常见安全问题诊断
| 问题类型 | 症状 | 排查步骤 | 解决方案 |
|---|---|---|---|
| XSS攻击尝试 | 请求被拒绝，返回400状态码 | 检查请求参数是否包含 |