北京
「我們以為調了殺毒接口就安全了，結果病毒文件大搖大擺穿了過去。」一位后端工程師的吐槽，揭開了Node.js生態(tài)里一個沉默的漏洞。
坑在哪：流式傳輸?shù)拿^(qū)
ClamAV是開源殺毒的事實標準，Node.js開發(fā)者常用clamdjs這類封裝庫。問題出在大多數(shù)人直接傳文件路徑——ClamAV掃描的是本地磁盤文件，但現(xiàn)代應用多是流式上傳：用戶傳文件→內存緩存→轉存云端。路徑傳過去，掃的是臨時文件或空句柄，真正的病毒 payload 早溜了。
為什么普遍中招
官方示例代碼就是坑。npm下載量最高的幾個ClamAV庫，README里的demo清一色是fs.readFileSync + 傳路徑。開發(fā)者復制粘貼，上線即埋雷。更諷刺的是，單元測試能過——因為測試用的就是本地文件，和生產(chǎn)環(huán)境完全兩碼事。
正確姿勢是什么
必須用流式掃描接口。ClamAV協(xié)議支持INSTREAM指令，直接把內存中的文件流傳過去，不落地磁盤。但這對庫的封裝要求更高，需要手動處理TCP分片和響應解析，多數(shù)開發(fā)者嫌麻煩，或者根本不知道這個選項存在。
這個bug的殘酷在于：安全功能看起來正常運行，日志里甚至有"掃描完成"的記錄，實際上什么都沒掃到。直到某天生產(chǎn)環(huán)境爆出木馬，復盤時才發(fā)現(xiàn)接口返回的永遠是"clean"。
Node.js生態(tài)的便利是把雙刃劍——封裝越徹底，底層細節(jié)越容易被忽略。當"能跑就行"成為默認心態(tài)，安全就成了薛定諤的貓。你的文件上傳接口，真的掃了嗎？
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網(wǎng)易號”用戶上傳并發(fā)布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
