目录

• 工具
  • Web 框架加固
  • 静态代码分析
  • 动态应用安全测试
  • 输入/输出验证
  • 安全组合
  • CSRF
  • 漏洞与安全公告
  • 安全加固
• 数据源
• 安全事件
• 教育
  • 黑客演练场
  • 文章
  • 研究论文
  • 书籍
  • 路线图
• 公司

工具

Web 框架加固

• Helmet - Helmet 通过设置各种 HTTP 头来帮助你保护 Express 应用的安全。
• koa-helmet - koa-helmet 通过设置各种 HTTP 头来帮助你保护 Koa 应用的安全。
• blankie - 适用于 hapi 的 CSP 插件。
• fastify-helmet - fastify-helmet 通过设置重要的安全头来帮助你保护 fastify 应用的安全。
• nis2-express-middleware - 用于满足欧盟 NIS2 合规要求的综合性 Express.js 中间件（日志记录、主动防御和安全默认配置）。
• nuxt-security - 🛡 基于 OWASP Top 10 和 Helmet 的 Nuxt 安全模块。
• reporting-api - 用于收集 CSP、COOP/COEP、Permissions-Policy、NEL、崩溃和弃用报告的 Express 中间件（Reporting API v0/v1 以及旧版 report-uri）。

GitHub Actions 与 CI/CD 安全

• New dependencies advisor - 该 GitHub Action 会在拉取请求中添加评论，提供有关新增 npm 依赖的包健康信息。
• OpenSSF Scorecard Monitor - 通过自动化的 Markdown 和 JSON 报告以及可选的 GitHub issue 提醒，简化组织内的 OpenSSF Scorecard 跟踪工作。

静态代码分析

• eslint-plugin-security - 用于 Node 安全的 ESLint 规则。该项目有助于识别潜在的安全热点，但会误报大量需要人工分诊的误报。
• tslint-plugin-security - 用于 Node 安全的 TSLint 规则。该项目有助于识别潜在的安全热点，但会误报大量需要人工分诊的误报。
• safe-regex - 通过将星号高度限制为 1 来检测可能具有灾难性指数时间复杂度的正则表达式。
• vuln-regex-detector - 该模块可让你检查正则表达式是否存在漏洞。在 JavaScript 中，正则表达式（regexes）可能“存在漏洞”：容易受到灾难性回溯的影响。如果你的应用程序在客户端使用，这可能造成性能问题。在服务器端，这可能使你面临正则表达式拒绝服务（REDOS）攻击。
• regolith - 为 TypeScript 打造的正则表达式库，旨在防止 ReDoS 攻击。我为 Rust Regex 库编写了 TypeScript 绑定，以防止正则表达式拒绝服务攻击。
• git-secrets - 防止你将机密信息和凭据提交到 git 仓库。
• DevSkim - DevSkim 是一组 IDE 插件和规则，提供安全“linting”能力。它还支持 CLI，因此可以集成到 CI/CD 流水线中。
• ban-sensitive-files - 根据文件名规则库检查待提交的文件名，以防止在 Git 中存储敏感文件。它还会检查某些文件是否包含敏感内容（例如 .npmrc 文件中的 authToken）。
• NodeJSScan - 面向 Node.js 应用程序的静态安全代码扫描器。它包含简洁的 UI，可以指出问题所在位置以及如何修复。
• NodeSecure CLI - Node.js CLI，允许你深入分析给定 npm 包或目录的依赖树。
• Trust But Verify - TBV 将 npm 包与其源仓库进行比较，以确保生成的产物一致。
• lockfile-lint - 对 lockfile 进行 lint，以改进安全性和信任策略，避免恶意包注入及其他不安全配置。
• pkgsign - 用于签名和验证 npm 与 yarn 包的 CLI 工具。
• semgrep - 开源、离线、易于定制的多语言静态分析工具。本列表中的其他一些工具（NodeJSScan）使用 semgrep 作为其引擎。
• npm-scan - 一个可扩展的、基于启发式的已安装 npm 包漏洞扫描工具。
• js-x-ray - JavaScript 和 Node.js SAST 扫描器，能够检测各种已知的恶意代码模式（不安全导入、不安全语句、不安全 RegEx、编码字面量、压缩和混淆代码）。
• cspscanner - CSP Scanner 帮助开发人员和安全专家轻松检查和评估站点的内容安全策略（CSP）。
• eslint-plugin-anti-trojan-source - ESLint 插件，用于检测并防止特洛伊木源代码攻击进入你的代码库。
• sdc-check - 一个小工具，用于告知你项目依赖列表中的潜在风险
• fix-lockfile-integrity - 一个 CLI 工具，用于将 npm lockfile 中较弱的完整性哈希（sha1）修复为更安全的完整性哈希（sha512）。
• Bearer - 一个 CLI 工具，用于根据 OWASP Top 10 发现并帮助你修复代码中的安全和隐私风险。
• GuardDog - GuardDog 是一个 CLI 工具，用于识别恶意的 PyPI 和 npm 包
• repolyze - 分析 git 源代码仓库的健康信号和项目关键指标
• eslint-plugin-node-security - 针对 Node.js 核心 API（fs、child_process、vm、path、Buffer）的 ESLint 规则，可捕获命令注入、路径遍历和代码执行模式，并在每条报告中附带 CWE 参考。

动态应用安全测试

• PurpleTeam - 一个安全回归测试 SaaS 和 CLI，非常适合插入到你的构建流水线中。你无需自己编写任何测试。purpleteam 足够智能，知道如何测试，你只需提供一个 Job 文件，告诉 purpleteam 你想测试什么。

输入验证与输出编码

• node-esapi - node-esapi 是 ESAPI4JS（Enterprise Security API for JavaScript）编码器的最小移植版本。
• escape-html - 转义字符串以便在 HTML 中使用。
• js-string-escape - 转义任意字符串，使其成为双引号或单引号之间的有效 JavaScript 字符串字面量。
• validator - 一个包含字符串验证器和清理器的 npm 库。
• xss-filters - 刚好足够的输出过滤，以防止 XSS！
• DOMPurify - 一个仅针对 DOM、超快速、极其宽容的 XSS 清理器，适用于 HTML、MathML 和 SVG。
• envalid - Envalid 是一个小型库，用于在 Node.js 中验证和访问环境变量。
• data-guardian - data-guardian 是一个小巧、高度可定制的库，可以掩码任意实体中的敏感数据，并有助于实现 OWASP 处处保护数据。
• is-path-inside-secure - is-path-inside-secure 是流行的 is-path-inside npm 包的符号链接感知实现，旨在帮助防止路径遍历漏洞。
• spotlighting-datamarking - spotlighting-datamarking 提供了 Spotlighting 论文技术 的轻量级实现，提供数据分隔、数据标记和可选的 Base64 编码，以帮助将数据与指令分离，并降低对间接提示注入攻击的易感性。
• promptpurify - 面向 LLM 应用的结构化提示防火墙，带有针对提示注入和越狱输入的训练分类器。

安全组合

• pug-plugin-trusted-types - Pug 模板插件使从不可信输入安全地组合 HTML 变得容易，并提供 CSP 和 CSRF 自动魔法。
• safesql - 一个标签模板（mysql`...`），它理解 Postgres 和 MySQL 的查询语法，以防止 SQL 注入。
• sh-template-tag - 一个标签模板（sh`...`），它理解 Bash 语法，从而防止 shell 注入。