Валидация ввода и работа с секретами

Валидируй на границе, parse don’t validate

Считай каждый байт, пересекающий край процесса — тело запроса, query-строку, route-параметры, заголовки, даже переменные окружения — враждебным, пока не доказано обратное. Сеньорская дисциплина — parse, don’t validate (разбирай, не валидируй): на входе прогоняй сырой ввод через схему (zod, ajv, Joi), которая утверждает тип, диапазон, длину и allowlist форм, и отдавай остальному коду типизированное значение, которому он может доверять. Если ввод не совпадает, отклони его с 400 — не «санитизируй» молча, вырезая символы, потому что санитизация тихо мутирует ввод атакующего в нечто, что может остаться опасным и теперь ещё и неверно.

import { z } from "zod";

const CreateUser = z.object({
  email: z.string().email().max(254),
  age: z.number().int().min(13).max(120),
  role: z.enum(["member", "admin"]), // allowlist, а не свободная строка
});

app.post("/users", (req, res) => {
  const parsed = CreateUser.safeParse(req.body);
  if (!parsed.success) return res.status(400).json({ error: "invalid" });
  createUser(parsed.data); // parsed.data полностью типизирован, ему можно доверять
});

Сюда же относится ещё один контроль на границе: ограничь размер тела. Безграничное JSON-тело позволяет атакующему прислать сотни мегабайт и исчерпать память — тривиальный отказ в обслуживании. Поставь лимит (express.json({ limit: "100kb" })), чтобы парсер отклонял раздутые payload до того, как они дойдут до кучи.

Семейство инъекций: одна защита на каждый вид

Большая часть категории «Injection» из OWASP Top 10 сводится к одному правилу: никогда не давай недоверенным данным стать кодом. У каждого канала своя единственная верная защита, и они не взаимозаменяемы.

Для SQL фикс — параметризованные запросы: драйвер шлёт текст запроса и значения по раздельным каналам, так что база никогда не парсит твои данные как синтаксис. Для shell-команд избегай shell полностью — child_process.execFile/spawn с массивом аргументов передаёт каждый аргумент как литерал, так что значение вроде ; rm -rf / — просто странное имя файла, а не вторая команда. Для путей разрешай до абсолютного пути и подтверждай, что он всё ещё внутри базовой папки. Для ReDoS regex с вложенными квантификаторами вроде /^(a+)+$/ может катастрофически бэктрекать на длинной подобранной строке и заблокировать единственный поток на секунды-минуты.

import { execFile } from "node:child_process";
import path from "node:path";

// ✅ SQL: значения идут отдельно от текста запроса
await db.query("SELECT * FROM users WHERE email = $1", [email]);

// ✅ команда: arg-массив, без shell — ввод не станет новой командой
execFile("convert", [userPath, "-resize", "100x100", outPath]);

// ✅ путь: разреши, потом докажи, что он внутри базовой папки
const base = path.resolve("./reports");
const full = path.resolve(base, req.params.file);
if (!full.startsWith(base + path.sep)) return res.sendStatus(400);

Секреты: env внутрь, никогда в git

Секрет — это всё, что даёт доступ: пароли БД, API-ключи, ключи подписи, токены. Непреложные правила: никогда не хардкодь и никогда не коммить их. Читай конфигурацию из process.env; для локальной разработки грузи файл .env встроенным node --env-file=.env (доступно с Node 20.6) или пакетом dotenv — и добавь .env в .gitignore, чтобы он никогда не попал в репозиторий.

# локальная разработка: грузим env без зависимостей (Node 20.6+)
node --env-file=.env server.js

// читай на старте; падай сразу, если обязательный секрет отсутствует
const dbUrl = process.env.DATABASE_URL;
if (!dbUrl) throw new Error("DATABASE_URL is not set");

В проде вообще не вози .env — используй менеджер секретов (HashiCorp Vault, AWS Secrets Manager, Doppler), который вставляет значения в рантайме, так что секреты никогда не лежат в твоём образе или репозитории. Три привычки отделяют закалённый сервис: не логируй секреты (редакти токены до того, как они попадут в строку лога), ротируй при утечке (закоммиченный .env — это постоянная утечка: он живёт в истории git даже после удаления файла, так что надо ротировать сам секрет, а не просто git rm) и применяй наименьшие привилегии, чтобы утёкший токен мог сделать как можно меньше.