Skip to content
返回技术栈推荐

Helmet

Helmet — 设置安全 HTTP 头的 Express 中间件。

安全简单

技术栈组成

MiddlewareHelmet 8.x

为什么

一次调用设置 X-Frame-Options、CSP、HSTS、X-Content-Type-Options。Verizon DBIR 2024：68% 的泄露涉及人为错误。

Snyk 和 Dependabot 扫描 50 万以上 npm 包的 CVE，OWASP Top 10 变化不大 — 注入和失效认证仍居 #1 和 #2。

何时使用

用于 Express/Connect 应用。避免非 HTTP 服务器。

如何做

1. npm install helmet 2. app.use(helmet()) 3. 配置特定头 4. 用 securityheaders.com 测试

示例

import helmet from 'helmet'; app.use(helmet({ contentSecurityPolicy: { directives: { defaultSrc: ["'self'"] } }, }));

常见问题

  • ⚠CSP 破坏内联脚本 — 用 nonce
  • ⚠开发中 HSTS — 开发环境禁用
  • ⚠环境间配置漂移 — 使用基础设施即代码（Terraform/Pulumi）保持 dev/staging/prod 一致

最佳实践

  • ✓启用所有默认值
  • ✓按路由自定义 CSP
  • ✓设置健康检查和优雅关闭 — 处理 SIGTERM 以在退出前排空进行中的请求

常见问题解答

什么是Helmet？适合做什么项目？

Helmet — 设置安全 HTTP 头的 Express 中间件。 它通过分层组合提供端到端类型安全与开箱即用的部署体验，适合从 MVP 到生产 SaaS 的快速迭代。

如何用Helmet在 10 分钟内跑通一个 demo？

两步起步：① npm install helmet；② app.use(helmet())。先跑通本地 dev server，再接一个真实数据源验证端到端链路。

Helmet 最常见的坑是什么？怎么避免？

最高频的坑是：CSP 破坏内联脚本 — 用 nonce。避免方法：在 PR 模板里加入对应 checklist，CI 中跑类型检查 + lint + 单测，三重把关再合并。

Helmet 的最佳实践有哪些？

Helmet 的最佳实践包括：启用所有默认值；按路由自定义 CSP；设置健康检查和优雅关闭 — 处理 SIGTERM 以在退出前排空进行中的请求。其中首条「启用所有默认值」应在项目初始化时就落地，避免后期返工。

什么情况下不该选Helmet？

三种情况另选他栈：① 团队对该栈核心框架零经验且工期紧张（学习曲线风险）；② 项目是纯内容/营销站（选 Astro 更轻）；③ 需要极高吞吐（>1 万 RPS）或强一致微服务（选 Go/Rust）。Helmet 的强项是中高复杂度全栈与 API，别在简单静态页上过度工程。