Claude Code 安全最佳实践

# 安全审查提示词
claude --security-review src/auth/login.ts

# 输出示例
## 安全审查报告

### 🔴 高风险问题

1. SQL 注入 (第 45 行)
   ```javascript
   const query = `SELECT * FROM users WHERE email = '${email}'`;

# .env 文件（不要提交到 Git）
# .env.example（提交，作为模板）

# .env 内容
DATABASE_URL=postgresql://user:pass@host:5432/db
JWT_SECRET=your-secret-key-here
API_KEY=sk-xxx
REDIS_PASSWORD=xxx

# .env.example 模板
DATABASE_URL=postgresql://user:password@host:5432/db
JWT_SECRET=your-jwt-secret
API_KEY=your-api-key

// ✅ 正确方式
import dotenv from 'dotenv';
dotenv.config();

const dbUrl = process.env.DATABASE_URL;
const jwtSecret = process.env.JWT_SECRET;

// ✅ 使用环境变量构建配置
const config = {
  database: {
    url: process.env.DATABASE_URL,
  },
  jwt: {
    secret: process.env.JWT_SECRET,
    expiresIn: '7d',
  },
};

-- ✅ 使用参数化查询
SELECT * FROM users WHERE email = $1 AND password_hash = $2

-- ❌ 禁止字符串拼接
SELECT * FROM users WHERE email = '" + email + "'

// ✅ Node.js + PostgreSQL
const result = await db.query(
  'SELECT * FROM users WHERE email = $1 AND password_hash = $2',
  [email, passwordHash]
);

// ✅ Node.js + MongoDB
const user = await User.findOne({
  email: email,
  password: passwordHash,
});

// ❌ 禁止字符串拼接
const query = `SELECT * FROM users WHERE email = '${email}'`;

// ✅ 使用 Joi/Zod 进行输入验证
import Joi from 'joi';

const userSchema = Joi.object({
  email: Joi.string().email().required(),
  password: Joi.string().min(8).required(),
  age: Joi.number().integer().min(0).max(150).optional(),
});

// 验证
const { error, value } = userSchema.validate(req.body);
if (error) {
  return res.status(400).json({ error: error.message });
}

// ✅ 使用 express-rate-limit
import rateLimit from 'express-rate-limit';

const apiLimiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15 分钟
  max: 100, // 限制 100 次请求
  message: '请求过于频繁，请稍后再试',
});

// 应用到 API 路由
app.use('/api', apiLimiter);

// 登录接口更严格的限制
const loginLimiter = rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 5, // 15 分钟只能尝试 5 次
  message: '登录尝试次数过多，请 15 分钟后再试',
});

app.post('/api/login', loginLimiter, authController.login);

// ✅ 使用 multer + 文件验证
import multer from 'multer';
import path from 'path';

const storage = multer.diskStorage({
  destination: (req, file, cb) => {
    cb(null, 'uploads/');
  },
  filename: (req, file, cb) => {
    // 使用随机文件名
    const uniqueSuffix = Date.now() + '-' + Math.round(Math.random() * 1E9);
    cb(null, uniqueSuffix + path.extname(file.originalname));
  },
});

const fileFilter = (req, file, cb) => {
  // 验证文件类型
  const allowedTypes = ['image/jpeg', 'image/png', 'image/gif'];
  if (allowedTypes.includes(file.mimetype)) {
    cb(null, true);
  } else {
    cb(new Error('不支持的文件类型'), false);
  }
};

const upload = multer({
  storage,
  fileFilter,
  limits: {
    fileSize: 5 * 1024 * 1024, // 5MB
  },
});

// ✅ 使用 helmet 设置安全头
import helmet from 'helmet';

app.use(helmet());

// 自定义配置
app.use(helmet.contentSecurityPolicy({
  directives: {
    defaultSrc: ["'self'"],
    scriptSrc: ["'self'", "'unsafe-inline'"],
    styleSrc: ["'self'", "'unsafe-inline'"],
    imgSrc: ["'self'", "data:", "https:"],
  },
}));

// CORS 配置
app.use(cors({
  origin: process.env.ALLOWED_ORIGINS?.split(','),
  credentials: true,
}));

// ✅ 安全 Cookie 设置
app.use(session({
  secret: process.env.SESSION_SECRET,
  resave: false,
  saveUninitialized: false,
  cookie: {
    secure: true, // HTTPS
    httpOnly: true, // 防止 XSS
    sameSite: 'strict', // CSRF 防护
    maxAge: 24 * 60 * 60 * 1000, // 24 小时
  },
}));