保护Node js运行时或禁用调试/检测

Question

我有一个运行在nodejs上的JavaScript应用程序。它读取stdin以获取用户名和密码以访问一些在线服务。

如果需要重新登录，这些凭证保留在应用程序运行期间（24/7）的整个变量中。

访问服务器的人是否可以“调试”应用程序并获取这些变量，就像人们在浏览器中一样？或任何其他方式。

我对节点的内部工作仍然有点不甚了解。编程： 该应用程序正在Docker容器上运行！

Answer 1

这取决于服务器。如果他们拥有root或Administrator管理员，他们可以通过多种方式获得访问权限，直至包括直接从内存中读取它们。如果他们使用的是标准帐户，那么只要他们没有与您的应用在同一个帐户上运行，则可能会更安全。这总是一种可能性，但您可以通过使用单独的帐户，限制操作系统用户对机器的访问以及至少对凭证进行加密来最大限度地降低风险。还要确保权限已设置，以便他们不能写入或读取应用程序代码，并且如果他们不应该执行它，也要阻止它。至于调试节点，我的理解是你必须在调试模式下显式运行它。但还有其他方法可以肯定，所以最好限制访问权限，特别是对服务器的物理访问权限，并使用加密。更好的是，如果你能以加密形式卸载这些证书并清除任何持有它们的变量。