20、保障应用安全与部署：从依赖管理到上线实践

保障应用安全与部署：从依赖管理到上线实践

1. 保障依赖安全

任何 Express 应用都至少依赖一个第三方模块，如 Express 本身。依赖第三方模块虽能避免编写大量样板代码，但也需信任这些模块，若模块存在安全问题，后果不堪设想。可通过以下三种方法保障依赖安全：

1.1 自行审核代码

虽听起来疯狂，但很多时候能轻松审核依赖代码。部分模块代码量少，理解起来快，也是学习的好方法。可像检查自己代码一样查看他人代码，发现问题可避免使用该模块，若慷慨还可提交补丁。已安装的模块，其源代码在node_modules目录，也可在 GitHub 或 npm 注册表找到。同时，检查项目整体状态也很重要，若模块旧但运行可靠且无未解决的漏洞，通常安全；若有大量漏洞报告且久未更新，则需谨慎。

1.2 保持依赖更新

使用最新版本通常是好选择，人们会优化性能、修复漏洞和改进 API。可手动检查依赖版本，也可使用npm outdated工具。例如，项目安装了 Express 5.0.0，最新版本是 5.4.3，在项目目录运行npm outdated --depth 0，输出如下：
| Package | Current | Wanted | Latest | Location |
| ---- | ---- | ---- | ---- | ---- |
| express | 5.0.0 | 5.4.3 | 5.4.3 | express |

若有其他过时包也会显示，更新package.json