node.js - 我在 app.use 语句中放置 app.use(helmet... 的位置是否重要？

Question

我有一个 node.js 应用程序，我在其中使用多个 app.use 语句。我想app.use(helmet.frameguard({ action: 'deny' }));通过防止我的网站出现在 iframe 中来包含防止点击劫持的行，我想问一下我按照 app.use 语句的顺序放置这一行是否重要？我是否需要将它放在所有其他 app.use 语句中的特定位置（例如app.use(cookie-parser());）

Answer 1

我的意思是，所有中间件逐行运行，或者你可以说是同步的。

只要确保你应该把它放在路由初始化之上（因为如果它去路由，你可能只从那里返回函数响应，所以它不会去下一个中间件，因为响应已经发送）。可以将其粘贴在 cookie-parser 的上方或下方。

Answer 2

总结：我建议先放helmet()。

头盔维护者在这里。这更像是一个 Express 问题，而不是一个 Helmet 问题。

Express 应用程序按顺序运行它们的中间件。例如，以下将为每个请求打印foo, then bar：

function fooMiddleware(req, res, next) {
  console.log("foo");
  next();
}

function barMiddleware(req, res, next) {
  console.log("bar");
  next();
}

app.use(fooMiddleware);
app.use(barMiddleware);

// ...

或者，这将打印bar，然后foo：

app.use(barMiddleware);
app.use(fooMiddleware);

因此，如果您希望将 Helmet 的标头应用于所有响应，请将它们放在首位很重要。

例如，这将为每个请求设置 Helmet 标头：

const app = express();

app.use(helmet());

// ...

但是这个可能不会，因为静态文件中间件可能会先得到它：

const app = express();

app.use(express.static("./static_files"));

app.use(helmet());

// ...

值得注意的是，路由处理程序（如app.get('/foo')）在概念上与中间件非常相似。这两个代码片段几乎相同（尽管您应该在实际应用程序中使用前者）：

app.get("/foo", (req, res) => {
  res.send("Hello world!");
});

app.use((req, res, next) => {
  if (req.method === "GET" && req.url === "/foo") {
    res.send("Hello world!");
  } else {
    next();
  }
});