Node.js 上线前必查的 6 项：HTTP 响应头安全与 Helmet 配置完整指南

Node.js 上线前必查的 6 项：HTTP 响应头安全与 Helmet 配置完整指南

【免费下载链接】nodebestpractices✅ The Node.js best practices list (July 2026)项目地址: https://gitcode.com/GitHub_Trending/no/nodebestpractices

现在对接口执行一次curl -I，你可能只看到两个响应头：content-type和date。这意味着 HTTP 响应头安全还是一张白纸——XSS、点击劫持、MIME 嗅探全都有机可乘。本文来自 nodebestpractices 项目的安全实践方向，按"上线前必查 6 项"的顺序讲清楚问题出在哪，以及如何用 Helmet 一行代码解决其中大部分。

上线前安全检查：你的应用响应头到底有几个？

先说个场景。某次发布评审，依赖扫描干干净净，npm audit没有任何红字。结果有人顺手 curl 了一下 API，响应头返回得"毫无防备"——没有X-Frame-Options，没有Strict-Transport-Security，连服务器版本都裸奔。依赖安全做完了，HTTP 响应头安全却被整段遗忘，这是最常见的盲区。

查自己也很简单：终端里敲一次curl -I https://your-domain/，或者浏览器 F12 进 Network 面板，随便点一个请求看 Response Headers。你能一口气说出哪几个头？说不出，就是这篇文章要解决的问题。

踩坑最容易的是三个错误：

1. 手写res.setHeader逐个配。漏一个就少一层防护，新增路由时又忘了加。
2. 上生产直接开严格的Content-Security-Policy。忘了白名单某个 CDN，页面当场白屏。
3. 配完 HSTS 不再回头看。浏览器会缓存这个策略，maxAge 一旦给大，回头都难。

Helmet 一行接入：它默认帮你配了什么

别自己造轮子。Helmet 是 Express 生态里的安全头中间件集合，挂上去就是一份合理的默认值，基本都是"低风险高收益"的项：

接入就几行：

// app.js —— Helmet 一行接入，默认即获得一组安全响应头 const express = require('express'); const helmet = require('helmet'); const app = express(); app.use(helmet()); // 默认组：nosniff、X-Frame-Options、Referrer-Policy、HSTS 等 // HSTS：生产环境强制 HTTPS，有效期一年 app.use(helmet.hsts({ maxAge: 31536000, includeSubDomains: true })); // CSP：先用 reportOnly 观察，不阻断 app.use(helmet.contentSecurityPolicy({ directives: { defaultSrc: ["'self'"] }, reportOnly: true }));

npm install helmet装好即可；koa 项目用koa-helmet，思路一致。

上线前必查 6 项：每项改成什么

默认值给你打底 60 分，剩下 40 分要定制。不逐个展开了，直接给操作清单：

两个重点头补一句思路。HSTS 相当于往浏览器上钉一块"此路不通 HTTP"的牌子：浏览器看到后，接下来 maxAge 秒内只走 HTTPS 访问你，降级攻击直接被掐死。CSP 则是页面的"资源加载白名单"——脚本、图片、iframe 不在名单上就不许加载，攻击者就算找到 XSS 注入点，注入的脚本也跑不起来。这也是 Content-Security-Policy 被称为防 XSS 响应头的原因。

CSP 踩坑排查：reportOnly 先行

Content-Security-Policy 配置最容易踩的坑是"一开就炸"。标准打法分两步：

1. 先跑reportOnly: true。违规只上报、不阻断，浏览器控制台能看到所有违规项，也可以配reportUri把上报集中到一个接口，方便统计。
2. 白名单稳定后去掉reportOnly，正式生效。

常见的违规原因和解法：内联事件属性或内联<script>，用 nonce 或 hash 替代；CDN 域名忘了加，补进scriptSrc；跨域 API 调用需要connectSrc。别手痒直接加'unsafe-inline'——一加，CSP 就废了一半，只能当过渡手段，并给自己排上移除期限。

一个小提醒：纯 JSON 接口（不输出 HTML）的 API，CSP 基本是摆设，你的精力应该放在 HSTS 和Referrer-Policy上。

如何验证：一条命令 + 上线自查清单

验证很简单：跑一次curl -I https://your-domain/看返回的头，或者在浏览器 F12 的 Network 面板里对照下面这张表，逐项打勾：

再提两个注意点：HSTS 只在 HTTPS 响应上生效，开发环境没有 HTTPS 就别开，或把 maxAge 给小；X-XSS-Protection已是过时头，现代浏览器建议设0并完全依赖 CSP，Helmet 默认值已经替你处理了。

想深入每个响应头的来龙去脉，可看本仓库安全章节：sections/security/secureheaders.md。

【免费下载链接】nodebestpractices✅ The Node.js best practices list (July 2026)项目地址: https://gitcode.com/GitHub_Trending/no/nodebestpractices