Безопасная обработка пользовательского ввода в Node.js

Каждый API на Node.js получает данные, которым не может полностью доверять. JSON-тела запросов, строки запроса, поля форм и загружаемые файлы — всё это приходит из внешнего мира, и любой из этих источников может нести вредоносную нагрузку. SQL-инъекции, NoSQL-инъекции, инъекции команд, загрязнение прототипов — все эти атаки имеют общую точку входа: невалидированный пользовательский ввод, достигающий бизнес-логики, базы данных или команды оболочки. В этой статье рассматриваются практические паттерны, которые их останавливают.

Сначала валидация, потом обработка

Самое эффективное правило безопасной обработки запросов в Node.js API: никогда не позволяйте необработанным данным запроса касаться логики вашего приложения. Валидируйте форму и тип каждого входящего значения, прежде чем использовать его.

Валидация на основе схем — это наиболее чистый подход. Библиотеки вроде Zod и Joi позволяют точно объявить, как должен выглядеть запрос, и отклонить всё, что не соответствует.

import { z } from "zod"

const RegisterSchema = z.object({
  username: z.string().min(3).max(20).regex(/^[a-zA-Z0-9_]+$/),
  email: z.string().email(),
  password: z.string().min(10),
})

app.post("/register", (req, res) => {
  const result = RegisterSchema.safeParse(req.body)
  if (!result.success) {
    return res.status(400).json({ errors: result.error.flatten() })
  }
  // result.data теперь безопасен для использования
})

Это подход белого списка: вы определяете, что разрешено, и всё остальное отклоняется. Это гораздо надёжнее, чем попытки создать чёрный список опасных символов. Тот же принцип подчёркивается в OWASP Input Validation Cheat Sheet.

Предотвращение инъекционных атак

SQL и NoSQL инъекции

Никогда не конкатенируйте пользовательский ввод в запросы. Используйте параметризованные выражения для SQL:

// ❌ Уязвимо
const query = `SELECT * FROM users WHERE email = '${req.body.email}'`

// ✅ Безопасно
const result = await db.query("SELECT * FROM users WHERE email = $1", [email])

NoSQL базы данных имеют свой собственный риск инъекций. Операторы MongoDB вроде $gt могут быть внедрены через JSON-тела, если вы передаёте объекты напрямую:

// ❌ Уязвимо — req.body.username может быть { $gt: "" }
User.find({ username: req.body.username })

// ✅ Безопасно — сначала принудительно приведите к ожидаемому типу
User.find({ username: String(req.body.username) })

На практике валидация схемы должна гарантировать, что поле является строкой (например, с помощью z.string()), прежде чем оно достигнет уровня запросов.

Инъекции команд

Если ваш API вызывает системные команды, полностью избегайте child_process.exec() — он передаёт аргументы через оболочку и тривиально эксплуатируется. Используйте вместо этого execFile() или spawn() с явными массивами аргументов:

import { execFile } from "child_process"

// ✅ Аргументы передаются напрямую, не интерпретируются оболочкой
execFile("convert", [userSuppliedFilename, outputPath], (err, stdout) => {
  // обработка результата
})

Всё равно валидируйте и создавайте белый список значений аргументов. Если операция высокорисковая, выполняйте её внутри изолированного контейнера.

Избегайте массового присваивания и загрязнения прототипов

Массовое присваивание происходит, когда вы распространяете тело запроса напрямую на модель:

// ❌ Пользователь может отправить { role: "admin" }
const user = await User.create({ ...req.body })

// ✅ Выбирайте только те поля, которые ожидаете
const user = await User.create({
  username: result.data.username,
  email: result.data.email,
})

Загрязнение прототипов более тонкое. Слияние недоверенных объектов может позволить атакующему внедрить свойства вроде __proto__ или constructor.prototype, которые влияют на каждый объект в вашем процессе. Избегайте утилит глубокого слияния на необработанных данных запроса. Если вам необходимо слияние, сначала валидируйте ввод и создавайте промежуточные объекты с помощью Object.create(null), чтобы они не наследовались от цепочки прототипов по умолчанию. OWASP Prototype Pollution Prevention Cheat Sheet предоставляет дополнительные рекомендации.

Ограничьте размер и структуру запроса

Большие или глубоко вложенные нагрузки могут вызвать проблемы с отказом в обслуживании. Устанавливайте ограничения размера тела на уровне парсера:

app.use(express.json({ limit: "50kb" }))

Для загрузки файлов используйте multer с явными ограничениями fileSize и files, и валидируйте MIME-типы — никогда не доверяйте только расширению файла.

Заключение

Безопасная обработка пользовательского ввода в Node.js сводится к одному принципу: определите, как выглядит валидный ввод, примените это на границе и никогда не пропускайте ничего другого. Валидация схем, параметризованные запросы, явная передача аргументов и строгий выбор полей покрывают большинство реальных поверхностей атак. Применяйте эти паттерны последовательно на уровне запросов, прежде чем данные достигнут какой-либо последующей логики, и большинство уязвимостей класса инъекций просто не найдут места для внедрения.

Часто задаваемые вопросы

Gain Debugging Superpowers

Unleash the power of session replay to reproduce bugs, track slowdowns and uncover frustrations in your app. Get complete visibility into your frontend with OpenReplay — the most advanced open-source session replay tool for developers. Check our GitHub repo and join the thousands of developers in our community.