Node.js child_process执行安全模式

Node.js child_process模块的安全风险主要来自命令注入和子进程权限控制不当。当开发者直接拼接用户输入生成shell命令时，攻击者可能通过注入恶意代码获取系统权限。比如这段代码就极其危险：

const { exec } = require('child_process');
const userInput = req.query.file;
exec(`cat ${userInput}`, (error, stdout) => {
  // 攻击者可输入"test.txt; rm -rf /"造成灾难性后果
});

安全模式的核心解决方案是彻底避免使用shell、严格验证输入参数、限制子进程权限。必须用execFile替代exec，用spawn配置{ shell: false }，并对所有外部参数进行白名单过滤。以下是经过安全重构的代码示例：

const { execFile } = require('child_process');
const path = require('path');

// 白名单验证函数
function validateFilename(input) {
  const allowed = /^[a-zA-Z0-9_\-\.]+$/;
  return allowed.test(input) && !input.includes('..');
}

const userInput = req.query.file;
if (!validateFilename(userInput)) {
  return res.status(400).send('非法文件名');
}

const safePath = path.join(__dirname, 'files', userInput);
execFile('cat', [safePath], (error, stdout) => {
  // 安全执行文件读取
});

命令注入的四种防御策略

第一层防御是彻底禁用shell解析。exec默认启用shell，会将整个命令字符串交给系统shell解释，这正是命令注入的根源。使用execFile可完全绕过shell层，直接调用二进制文件。如果必须使用shell，应通过数组形式传递参数：

// 危险方式
exec(`ls -la ${userDir}`);

// 安全方式1：禁用shell
spawn('ls', ['-la', userDir], { shell: false });

// 安全方式2：参数数组化
execFile('ls', ['-la', userDir], { shell: false });

第二层防御是输入验证与标准化。所有外部输入都应视为不可信数据，必须进行类型检查、长度限制和格式验证。对于文件路径，使用path.join()和path.normalize()防止目录遍历攻击。对于命令参数，建立严格的白名单机制：

function sanitizeCommandArgs(args) {
  return args.map(arg => {
    // 移除控制字符和特殊符号
    return arg.replace(/[&\|;`$<>(){}[\]]/g, '');
  });
}

第三层防御是环境变量隔离。子进程默认继承父进程的环境变量，这可能泄露敏感信息。必须通过env选项显式指定安全的环境变量集：

const safeEnv = {
  PATH: '/usr/bin:/bin',
  NODE_ENV: process.env.NODE_ENV
};

execFile('npm', ['install'], {
  env: safeEnv,  // 只传递必要环境变量
  cwd: '/safe/working/directory'
});

第四层防御是超时与资源限制。恶意进程可能耗尽系统资源，必须设置超时时间、限制输出大小：

const child = spawn('find', ['/', '-name', '*.log'], {
  timeout: 5000,  // 5秒超时
  maxBuffer: 1024 * 1024,  // 输出限制1MB
  stdio: ['ignore', 'pipe', 'pipe']  // 关闭标准输入
});

权限最小化原则的实现

在Linux/Unix系统中，通过uid/gid选项降低子进程权限至关重要。永远不要以root身份运行子进程，而是创建专用的低权限用户：

const options = {
  uid: 1001,  // 低权限用户ID
  gid: 1001,  // 低权限组ID
  windowsHide: true  // Windows隐藏子进程窗口
};

// 检查当前进程权限
if (process.getuid && process.getuid() === 0) {
  console.warn('警告：当前以root权限运行，子进程将继承该权限');
}

execFile('backup.sh', [], options);

对于需要特定权限的操作，考虑使用sudoers精细授权而非全局root。在/etc/sudoers中添加精确授权：

# 允许appuser无需密码执行特定命令
appuser ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx

Windows系统下使用runas命令实现权限降级。虽然Node.js没有原生的Windows权限控制选项，但可以通过runas工具创建低权限进程：

const { spawn } = require('child_process');
const lowPrivilegeUser = 'DOMAIN\\lowuser';
const password = 'encrypted_password';

spawn('runas', [
  '/user:' + lowPrivilegeUser,
  '/savecred',
  'node script.js'
]);

进程隔离与沙箱技术

当执行完全不可信的代码时，需要更强的隔离措施。Docker容器提供轻量级沙箱环境：

const { execFile } = require('child_process');

// 在受限容器中执行命令
execFile('docker', [
  'run',
  '--rm',
  '--memory=100m',  // 内存限制100MB
  '--cpus=0.5',     // CPU限制50%
  '--read-only',    // 只读文件系统
  '--network=none', // 禁用网络
  'alpine:latest',
  'sh', '-c', 'untrusted_command_here'
]);

Node.js工作线程隔离方案。虽然worker_threads不提供完整沙箱，但结合VM模块可创建相对安全的执行环境：

const { Worker } = require('worker_threads');
const { VM } = require('vm2');

// 在工作线程中创建VM沙箱
const worker = new Worker(`
  const { VM } = require('vm2');
  const vm = new VM({
    timeout: 1000,
    sandbox: {},
    eval: false,
    wasm: false
  });
  
  parentPort.on('message', (code) => {
    try {
      const result = vm.run(code);
      parentPort.postMessage({ result });
    } catch (err) {
      parentPort.postMessage({ error: err.message });
    }
  });
`, { eval: true });

审计与监控机制

建立完整的子进程审计日志，记录所有执行命令、参数、执行时间和结果状态：

const auditLogger = {
  logExecution(cmd, args, user, status) {
    const logEntry = {
      timestamp: new Date().toISOString(),
      command: cmd,
      arguments: args,
      user: user,
      pid: process.pid,
      status: status,
      cwd: process.cwd()
    };
    
    // 写入安全日志（不可篡改）
    fs.appendFileSync('/var/log/node_audit.log', 
      JSON.stringify(logEntry) + '\n');
    
    // 实时告警可疑命令
    if (cmd.match(/(rm\s+-rf|chmod\s+777|nc\s+-l)/i)) {
      this.sendAlert(logEntry);
    }
  }
};

实时监控子进程行为，检测异常模式。监控指标应包括CPU使用率、内存占用、文件系统操作和网络连接：

const ps = require('ps-node');

function monitorChildProcess(pid) {
  setInterval(() => {
    ps.lookup({ pid: pid }, (err, result) => {
      if (result && result.length > 0) {
        const proc = result[0];
        
        // 检测异常资源使用
        if (proc.cpu > 90 || proc.memory > 500) {
          process.kill(pid, 'SIGTERM');
          auditLogger.logKill(pid, '资源超限');
        }
        
        // 检测可疑进程树
        if (proc.command.includes('sh -c curl')) {
          auditLogger.logSuspicious(pid, proc.command);
        }
      }
    });
  }, 1000);
}

安全配置清单

1. 始终使用execFile或spawn with {shell: false}
2. 所有用户输入必须经过白名单验证
3. 使用path模块处理文件路径，防止路径遍历
4. 显式设置子进程环境变量，不继承敏感信息
5. 设置合理的超时时间和输出缓冲区限制
6. 在Linux/Unix中指定低权限uid/gid
7. 记录所有子进程执行审计日志
8. 定期更新依赖，修复已知漏洞
9. 对不可信代码使用容器或VM隔离
10. 在生产环境禁用调试和开发工具

实施这些安全措施后，可显著降低child_process模块的风险。但安全是持续过程，需要结合代码审查、渗透测试和运行时监控形成完整防御体系。记住：没有绝对的安全，只有相对的风险控制，关键是让攻击成本高于攻击收益。

服务指南

帮助中心