execFile 为什么能减少命令注入风险，是否就完全安全？
解释 execFile 默认不经过 shell 时元字符如何作为普通参数传递，通过参数回显示例验证边界，并讨论 shell:true、选项注入、路径授权、Windows 脚本与运行权限的限制。
核心关键词execFile 命令注入 shell
面试知识索引 · 分类、标签与搜索
Node.js · 安全面试题，11 道完整答案
Node.js · 安全面试题第 1 页，显示第 1–11 题，共找到 11 道完整解析，可继续按分类、标签与关键词缩小范围。
11筛选结果
52技术分类
178检索标签
1索引分页
快速定位
清除全部筛选分类、标签与关键词搜索
第 1 页
本页面试问题
按稳定语义路径排序
- 0001
- 0002
spawn 时设置 shell:true 会带来哪些行为变化和代价？
spawn 时设置 shell:true 会带来哪些行为变化和代价？ 本文先给出可直接复述的结论，再用最小代码说明spawn shell true 区别的工作方式、判断依据、项目边界和常见误区。
核心关键词spawn shell true 区别 - 0003
CommonJS 模块里的 exports、require、module 等变量是从哪来的？
CommonJS 模块里的 exports、require、module 等变量是从哪来的？ 本文先给出可直接复述的结论，再用最小代码说明Node.js CommonJS module wrapper 函数包装的工作方式、判断依据、项目边界和常见误区。
核心关键词Node.js CommonJS module wrapper 函数包装 - 0004
依赖包的 preinstall/postinstall 脚本为何是供应链攻击的常见入口，如何缓解？
依赖包的 preinstall/postinstall 脚本为何是供应链攻击的常见入口，如何缓解？ 本文先给出可直接复述的结论，再用最小代码说明npm install scripts 供应链攻击 --ignore-scripts的工作方式、判断依据、项目边界和常见误区。
核心关键词npm install scripts 供应链攻击 --ignore-scripts - 0005
npm audit 报告的漏洞应如何分级处置，audit fix --force 有什么风险？
npm audit 报告的漏洞应如何分级处置，audit fix --force 有什么风险？ 本文先给出可直接复述的结论，再用最小代码说明npm audit 漏洞修复 force 风险的工作方式、判断依据、项目边界和常见误区。
核心关键词npm audit 漏洞修复 force 风险 - 0006
如何防范 typosquatting 与 dependency confusion 两类依赖混淆攻击？
如何防范 typosquatting 与 dependency confusion 两类依赖混淆攻击？ 本文先给出可直接复述的结论，再用最小代码说明依赖混淆 typosquatting 防范 scope 私服的工作方式、判断依据、项目边界和常见误区。
核心关键词依赖混淆 typosquatting 防范 scope 私服 - 0007
Node.js 服务的配置为什么推荐通过环境变量注入，如何用 process.env 做带校验与默认值的配置加载？
Node.js 服务的配置为什么推荐通过环境变量注入，如何用 process.env 做带校验与默认值的配置加载？ 本文先给出可直接复述的结论，再用最小代码说明Node.js 环境变量配置 process.env 校验默认值的工作方式、判断依据、项目边界和常见误区。
核心关键词Node.js 环境变量配置 process.env 校验默认值 - 0008
Node.js 通过 server.maxHeadersCount 或 --max-http-header-size 防护了什么攻击，调大会有什么后果？
Node.js 通过 server.maxHeadersCount 或 --max-http-header-size 防护了什么攻击，调大会有什么后果？ 本文先给出可直接复述的结论，再用最小代码说明Node.js max-http-header-size 防护攻击 调大风险的工作方式、判断依据、项目边界和常见误区。
核心关键词Node.js max-http-header-size 防护攻击 调大风险 - 0009
Node.js 中为什么请求处理时 req 与 res 上的 error 事件都要监听，漏掉会怎样？
Node.js 中为什么请求处理时 req 与 res 上的 error 事件都要监听，漏掉会怎样？ 本文先给出可直接复述的结论，再用最小代码说明Node.js req res error 事件 漏监听后果的工作方式、判断依据、项目边界和常见误区。
核心关键词Node.js req res error 事件 漏监听后果 - 0010
Node.js 服务管理密钥（数据库密码等）时为什么不能写进代码或镜像，推荐的注入与访问方式是什么？
Node.js 服务管理密钥（数据库密码等）时为什么不能写进代码或镜像，推荐的注入与访问方式是什么？ 本文先给出可直接复述的结论，再用最小代码说明Node.js 密钥管理 注入方式 防泄漏的工作方式、判断依据、项目边界和常见误区。
核心关键词Node.js 密钥管理 注入方式 防泄漏 - 0011
Node.js Buffer.alloc 与 Buffer.allocUnsafe 的安全边界是什么，复用未清零内存会泄露什么？
Node.js Buffer.alloc 与 Buffer.allocUnsafe 的安全边界是什么，复用未清零内存会泄露什么？ 本文先给出可直接复述的结论，再用最小代码说明Node.js Buffer alloc allocUnsafe 安全的工作方式、判断依据、项目边界和常见误区。
核心关键词Node.js Buffer alloc allocUnsafe 安全