req.pipe nodejs 上的安全隱患

Question

我正在構建一個基本的 cors 代理，並且在我需要管道請求的用例之一中，所以我想到將pipe與Request.js一起使用，如下圖所示

我不是安全方面的專家。 有人可以從上面的代碼中列出可能的安全隱患嗎？

Answer 1

如果您仔細觀察，您會注意到您的客戶的請求正在發送到 mysite.com ( req.pipe(x); )。 mysite.com 可以訪問您客戶的 cookie（它們與請求標頭一起發送）。 如果是惡意網站，他們可以使用這些 cookie 在您的網站上模仿您的用戶。 可以將其視為在登錄 stackoverflow 后立即將您的計算機交給某人。 之后，他們不必知道您的用戶名和密碼就可以在 stackoverflow 上執行操作。 給你的會話 cookie 基本上是一樣的。