1. 什么是 Helmet 以及为什么需要它

\n Helmet 是一个流行的 Node.js 库，有助于保护基于 Express（或兼容框架）的 Web 应用程序免受各种 Web 漏洞的攻击。它通过设置各种 HTTP 安全标头来实现这一点。开发人员无需手动配置每个标头，只需引入 Helmet 即可“开箱即用”地防御诸如 跨站脚本攻击 (XSS)、点击劫持 (Clickjacking)、MIME 类型嗅探 (MIME-type sniffing) 等攻击。\n

\n 为什么需要它？HTTP 标头是您应用程序的第一道防线。浏览器在收到正确的标头后，可以自动阻止危险操作。例如，X-Content-Type-Options: nosniff 标头可防止浏览器“猜测”响应的 MIME 类型，从而阻止将恶意脚本伪装成图像进行加载的攻击。如果没有 Helmet，开发人员必须为每个此类标头手动添加中间件，这很容易出错和遗漏。\n

\n Helmet 并非万能钥匙，也不能替代其他安全措施（如输入验证、SQL 注入防护、使用 HTTPS）。然而，这是提高任何 Express 应用程序安全性的至关重要且简单的一步。该库得到积极维护，拥有庞大的社区，并被全球数千个项目使用。\n

2. 安装

通过包管理器 npm（或 yarn）安装 Helmet。请确保您已安装 Node.js 和 npm。

npm install helmet

如果您使用 yarn：

yarn add helmet

安装后，该库即可使用。无需任何额外的依赖项。

3. 快速入门 — 最小工作示例

开始使用 Helmet 的最简单方法是将其作为整个应用程序的中间件引入。这将激活 Helmet 中包含的所有标准中间件。

const express = require('express');\nconst helmet = require('helmet');\n\nconst app = express();\n\n// 将 Helmet 作为全局中间件引入\napp.use(helmet());\n\napp.get('/', (req, res) => {\n  res.send('Hello, secure world!');\n});\n\napp.listen(3000, () => {\n  console.log('Server started on http://localhost:3000');\n});

运行此代码后，您服务器的所有响应都将包含一组保护性的 HTTP 标头。您可以通过打开浏览器的开发者工具（网络选项卡）并查看响应标头来验证这一点。

4. 主要方法/函数/类

Helmet 既提供了包含所有中间件的单一函数 helmet()，也为每个标头提供了单独的函数。这允许灵活地配置保护。

4.1. helmet()（全局中间件）

签名： helmet(options?: object)

功能： 返回一个中间件函数，用于设置所有标准安全标头。可以传递一个 options 对象来禁用或配置单个中间件。

// 禁用 Content-Security-Policy 标头，因为我们将手动配置它\napp.use(helmet({\n  contentSecurityPolicy: false,\n}))