1. ما هي Helmet ولماذا تحتاجها؟

Helmet هي مكتبة شهيرة لـ Node.js تساعد في حماية تطبيقات الويب المبنية على Express (أو الأطر المتوافقة) من مجموعة واسعة من الثغرات الأمنية. تقوم بذلك عن طريق تعيين رؤوس HTTP أمنية مختلفة. بدلاً من ضبط كل رأس يدويًا، يمكن للمطور توصيل Helmet والحصول "فورًا" على حماية من هجمات مثل Cross-Site Scripting (XSS)، Clickjacking، MIME-type sniffing وغيرها الكثير.

لماذا تحتاجها؟ رؤوس HTTP هي خط الدفاع الأول لتطبيقك. المتصفحات، عند استلامها للرؤوس الصحيحة، يمكنها تلقائيًا حظر الإجراءات الخطيرة. على سبيل المثال، الرأس X-Content-Type-Options: nosniff يمنع المتصفح من "تخمين" نوع MIME للرد، مما يمنع الهجمات المرتبطة بتحميل نصوص برمجية ضارة تحت غلاف الصور. بدون Helmet، سيضطر المطور لإضافة middleware لكل رأس يدويًا، مما يعرضه للأخطاء والسهو.

Helmet ليست حلاً سحريًا ولا تغني عن إجراءات أمنية أخرى (التحقق من المدخلات، الحماية من SQL Injection، استخدام HTTPS). لكنها خطوة بسيطة وحاسمة لتعزيز أمان أي تطبيق Express. المكتبة مدعومة بنشاط، ولها مجتمع ضخم، وتُستخدم في آلاف المشاريع حول العالم.

2. التثبيت

يتم تثبيت Helmet عبر مدير الحزم npm (أو yarn). تأكد من تثبيت Node.js و npm على جهازك.

npm install helmet

إذا كنت تستخدم yarn:

yarn add helmet

بعد التثبيت، المكتبة جاهزة للاستخدام. لا حاجة لأي تبعيات إضافية.

3. البداية السريعة — مثال عملي بسيط

أسهل طريقة لبدء استخدام Helmet هي توصيلها كـ middleware للتطبيق بأكمله. هذا يفعل جميع الـ middleware القياسية المضمنة في Helmet.

const express = require('express');
const helmet = require('helmet');

const app = express();

// توصيل Helmet كـ middleware عام
app.use(helmet());

app.get('/', (req, res) => {
  res.send('مرحبًا، أيها العالم الآمن!');
});

app.listen(3000, () => {
  console.log('تم تشغيل الخادم على http://localhost:3000');
});

بعد تشغيل هذا الكود، ستحتوي جميع ردود خادمك على مجموعة من رؤوس HTTP الأمنية. يمكنك التحقق من ذلك بفتح أدوات المطور في المتصفح (علامة التبويب Network) والنظر إلى رؤوس الرد.

4. أهم الدوال/الطرق/الفئات

توفر Helmet كلاً من الدالة الموحدة helmet() التي تشمل جميع الـ middleware، ودوال منفصلة لكل رأس. هذا يسمح بضبط الحماية بمرونة.

4.1. helmet() (middleware عام)

التوقيع: helmet(options?: object)

الوظيفة: تُرجع دالة middleware تقوم بتعيين جميع رؤوس الأمان القياسية. يمكن تمرير كائن options لتعطيل أو ضبط middleware معينة.

// تعطيل رأس Content-Security-Policy لأننا سنضبطه يدويًا
app.use(helmet({
  contentSecurityPolicy: false,
}));

4.2. helmet.contentSec