数据消毒难题：如何让 Checkmarx 通过 Node/Express 应用程序扫描

2024-03-17 17:13:31

如何通过 Checkmarx 对 Node/Express 的扫描，去除数据消毒漏洞

简介

Checkmarx 是一种静态应用程序安全测试 (SAST) 工具，可帮助识别 Node.js 应用程序中的安全漏洞。然而，它经常会标记像 request.path 和 request.url 这样的属性为“未正确消毒或验证”，即使已经尝试了各种数据消毒工具和 JavaScript 解决方案。

本文将深入探讨此问题的根本原因，并提供逐步解决方法，以确保应用程序通过 Checkmarx 扫描。

问题根源

Checkmarx 扫描主要关注输入验证和数据消毒。在 Node/Express 应用程序中，从请求对象访问的属性可能会包含恶意输入，需要在使用前进行验证和消毒。

解决方法

1. 输入验证

使用 Express 内置中间件或第三方库（如 Express Validator 或 Joi）验证请求数据类型、长度、范围和其他限制。

2. 数据消毒

使用数据消毒库（如 DOMPurify、XSS、XSS-filters 或 Node-ESAPI）删除或编码恶意输入。

3. 手动验证

对于自定义输入或 Checkmarx 扫描器无法识别的库，请手动验证数据是否安全。

4. 配置 Checkmarx 扫描器

确保 Checkmarx 扫描器已正确配置，可以识别已实施的消毒机制。

代码示例

以下 Node.js/Express 代码示例展示了如何实现输入验证和数据消毒：

const express = require('express');
const sanitize = require('sanitize-html');

const app = express();

app.use(express.json());
app.use(express.urlencoded({ extended: true }));

const sanitizer = sanitize.sanitizeHtml;

app.post('/api/submit', (req, res) => {
  const userInput = sanitizer(req.body.input);

  // 进一步处理已消毒的用户输入...
});

app.listen(3000, () => {
  console.log('Server is listening on port 3000');
});