Web 应用安全评审模板：从输入到权限逐项检查

// ❌ 错误做法：前端校验后直接拼 SQL
app.post('/api/users', async (req, res) => {
  const { phone } = req.body
  // 信任前端传来的数据，直接拼字符串
  const result = await db.query(`SELECT * FROM users WHERE phone = '${phone}'`)
  res.json(result)
})
 
// ✅ 正确做法：后端独立校验 + 参数化查询
import { z } from 'zod'
 
const phoneSchema = z.string().regex(/^1[3-9]\d{9}$/)
 
app.post('/api/users', async (req, res) => {
  const parsed = phoneSchema.safeParse(req.body.phone)
  if (!parsed.success) {
    return res.status(400).json({ error: '手机号格式不合法' })
  }
  // 参数化查询，即使校验被绕过也不会注入
  const result = await db.query('SELECT * FROM users WHERE phone = $1', [parsed.data])
  res.json(result)
})

// ❌ 错误做法：只检查扩展名
app.post('/api/upload', upload.single('avatar'), (req, res) => {
  const ext = path.extname(req.file.originalname).toLowerCase()
  if (ext !== '.jpg' && ext !== '.png') {
    return res.status(400).json({ error: '不支持的文件类型' })
  }
  // 攻击者把 shell.php 改名为 shell.jpg 就能绕过
  fs.rename(req.file.path, `./uploads/${req.file.originalname}`)
})
 
// ✅ 正确做法：扩展名 + MIME 类型 + 文件头 magic bytes 三重检查
const ALLOWED_TYPES = [
  { ext: '.jpg', mime: 'image/jpeg', magic: Buffer.from([0xFF, 0xD8, 0xFF]) },
  { ext: '.png', mime: 'image/png', magic: Buffer.from([0x89, 0x50, 0x4E, 0x47]) },
]
 
async function validateFile(file: Express.Multer.File) {
  const ext = path.extname(file.originalname).toLowerCase()
  const type = ALLOWED_TYPES.find(t => t.ext === ext)
  if (!type || type.mime !== file.mimetype) return false
 
  const fd = await fs.promises.open(file.path, 'r')
  const buf = Buffer.alloc(4)
  await fd.read(buf, 0, 4, 0)
  await fd.close()
  return buf.equals(type.magic)
}

// ❌ 错误做法：只检查登录，不检查归属
app.get('/api/orders/:id', authMiddleware, async (req, res) => {
  const order = await db.query('SELECT * FROM orders WHERE id = $1', [req.params.id])
  // 任何登录用户都能查看任意订单
  res.json(order)
})
 
// ✅ 正确做法：查询条件绑定当前用户 ID
app.get('/api/orders/:id', authMiddleware, async (req, res) => {
  const order = await db.query(
    'SELECT * FROM orders WHERE id = $1 AND user_id = $2',
    [req.params.id, req.user.id]
  )
  if (!order) {
    return res.status(404).json({ error: '订单不存在' })
  }
  res.json(order)
})

// ❌ 错误做法：逐个接口加权限中间件，容易遗漏
app.delete('/api/admin/users/:id', adminOnly, async (req, res) => { /* ... */ })
app.get('/api/admin/logs', adminOnly, async (req, res) => { /* ... */ })
// 新增接口时忘记加 adminOnly
app.post('/api/admin/config', async (req, res) => { /* 任何人都能改配置 */ })
 
// ✅ 正确做法：路由分组统一挂载
const adminRouter = Router()
adminRouter.use(adminOnly) // 所有 admin 路由共享权限检查
 
adminRouter.delete('/users/:id', async (req, res) => { /* ... */ })
adminRouter.get('/logs', async (req, res) => { /* ... */ })
adminRouter.post('/config', async (req, res) => { /* 自动继承 adminOnly */ })
 
app.use('/api/admin', adminRouter)

// ❌ 错误做法：客户端生成 Token + 退出不清理会话
app.post('/login', async (req, res) => {
  const { email, password } = req.body
  const user = await verifyUser(email, password)
  if (!user) return res.status(401).json({ error: '登录失败' })
  // 用时间戳做 Token，可预测
  const token = Buffer.from(`${user.id}:${Date.now()}`).toString('base64')
  res.json({ token })
})
 
// 退出接口只清除前端 Cookie，服务端 session 仍然有效
app.post('/logout', (req, res) => {
  res.clearCookie('token')
  res.json({ message: '已退出' })
})
 
// ✅ 正确做法：crypto.randomBytes 生成 + 退出时服务端销毁
import crypto from 'crypto'
 
app.post('/login', async (req, res) => {
  const { email, password } = req.body
  const user = await verifyUser(email, password)
  if (!user) return res.status(401).json({ error: '登录失败' })
  const token = crypto.randomBytes(32).toString('hex')
  await redis.set(`session:${token}`, user.id, 'EX', 86400) // 24 小时过期
  res.cookie('session_id', token, {
    httpOnly: true,
    secure: true,
    sameSite: 'strict',
    maxAge: 86400 * 1000,
  })
})
 
app.post('/logout', async (req, res) => {
  const token = req.cookies.session_id
  if (token) {
    await redis.del(`session:${token}`) // 服务端销毁
  }
  res.clearCookie('session_id')
  res.json({ message: '已退出' })
})

// ❌ 错误做法：明文存密码 + 日志打印完整请求体
const hashedPassword = crypto.createHash('md5').update(password).digest('hex')
logger.info('用户登录', { email, password }) // 日志里明文密码
 
// ✅ 正确做法：bcrypt + 日志脱敏
import bcrypt from 'bcrypt'
const hashedPassword = await bcrypt.hash(password, 12)
 
logger.info('用户登录', {
  email,
  password: '***', // 敏感字段必须脱敏
})

// ❌ 错误做法：不验证签名直接处理回调
app.post('/webhook/payment', (req, res) => {
  const { orderId, status } = req.body
  if (status === 'success') {
    updateOrderStatus(orderId, 'paid') // 任何人都能伪造这个请求
  }
  res.status(200).send('ok')
})
 
// ✅ 正确做法：验证 HMAC 签名
import crypto from 'crypto'
 
app.post('/webhook/payment', (req, res) => {
  const signature = req.headers['x-payment-signature'] as string
  const expected = crypto
    .createHmac('sha256', process.env.PAYMENT_WEBHOOK_SECRET!)
    .update(JSON.stringify(req.body))
    .digest('hex')
 
  if (!crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected))) {
    return res.status(401).json({ error: '签名无效' })
  }
  // 签名验证通过，处理业务逻辑
  updateOrderStatus(req.body.orderId, 'paid')
  res.status(200).send('ok')
})