const ExpressBrute = require('express-brute');
const store = new ExpressBrute.MemoryStore(); // stores state locally, don't use this in production
const bruteforce = new ExpressBrute(store);

app.post('/auth',
    bruteforce.prevent, // error 429 if we hit this route too often
    function (req, res, next) {
        res.send('Success!');
    }
);
//...

5. HTTPS安全传输

现在已经2021年了，你也应该使用HTTPS来向网络中发送数据了。HTTPS是具有安全通信支持的HTTP协议的扩展。使用HTTPS，可以保证用户在互联网中发送的数据是被加密的，是安全的。

在这里我不打算详细介绍HTTPS协议的工作原理，我们只讨论如何使用它。这里我强烈推荐使用LetsEncrypt来为你的所有域名生成安全证书。

你可以在基于Apache和Nginx的Web服务器上使用LetsEncrypt。我强烈建议你在反向代理或网关层上使用HTTPS协议，因为它们有很多繁重的计算操作。

6. 会话劫持保护

会话（session）是任何动态Web应用程序最重要的部分，一个安全的会话对用户和系统来说真的是非常必要的。会话是使用Cookie实现的，因此必须确保其安全以防止会话劫持。以下是可以为每个cookie设置的属性列表以及它们的含义：

• secure - 该属性告诉浏览器仅在通过HTTPS发送请求时才发送cookie。
• HttpOnly - 该属性用于防止跨站点脚本攻击，因为它不允许通过JavaScript访问cookie。
• domain - 该属性用于与请求URL的服务器域名进行比较，如果域名匹配，或者是其子域，那么接下来就会检查path属性。
• path - 除了domian之外，还可以指定cookie有效的URL路径。 如果domain和路径匹配，则可以在请求中发送cookie。
• expires - 该属性用于设置持久性的cookie，cookie只会在超过了设定的日期才会过期。

在Express框架中，你可以使用express-session npm模块来管理会话。

const express = require('express');
const session = require('express-session');
const app = express();

app.use(session({
  secret: 'keyboard cat',
  resave: false,
  saveUninitialized: true,
  cookie: { secure: true, path: '/'}
}));

const express = require('express');
const cookieParser = require('cookie-parser');
const csrf = require('csurf');
const bodyParser = require('body-parser');

// setup route middlewares
const csrfProtection = csrf({ cookie: true });
const parseForm = bodyParser.urlencoded({ extended: false });

// create express app
const app = express();

// we need this because "cookie" is true in csrfProtection
app.use(cookieParser());

app.get('/form', csrfProtection, function(req, res) {
  // pass the csrfToken to the view
  res.render('send', { csrfToken: req.csrfToken() });
});

app.post('/process', parseForm, csrfProtection, function(req, res) {
  res.send('data is being processed');
});

app.listen(3000);

<form action="/process" method="POST">
  <input type="hidden" name="_csrf" value="{{csrfToken}}">

  Favorite color: <input type="text" name="favoriteColor">
  <button type="submit">Submit</button>
</form>

var token = document.querySelector('meta[name="csrf-token"]').getAttribute('content');
  headers: {
    'CSRF-Token': token
  }

npm audit

npm audit fix

npm audit fix --dry-run --json

npm install helmet --save

const express = require("express"); 
const helmet = require("helmet");  
const app = express(); 
app.use(helmet());  
//...