规范化安全开发 KOA 手脚架

eechen 发布于2019-08-21 10:56 / 755人阅读

摘要：规范化安全开发手脚架刚接触的时候心理也有一点点担忧，是一个轻量级的框架，这意味着我们想要做好一个理想的手脚架需要自己去改变很多东西，一些流行的第三方更要做好处理，那么时间成本会逐级的提高。

规范化安全开发 KOA 手脚架

刚接触 KOA 的时候心理也有一点点担忧，KOA 是一个轻量级的框架，这意味着我们想要做好一个理想的手脚架需要自己去改变很多东西，一些流行的 npm 第三方更要做好处理，那么时间成本会逐级的提高。

koa-rack

项目目录

.
├── app.js
├── config
├── controllers
├── doc
├── dox.config.json
├── ecosystem.json
├── index.js
├── jsdoc-conf.json
├── lib
├── log4js
├── Makefile
├── models
├── node_modules
├── npm-shrinkwrap.json
├── oneapm.js
├── package.json
├── proxy
├── README.md
├── routes
├── server
├── sql
├── start.sh
├── static
├── test
├── views
└── webpack.config.js

config

npm i config --save

config 这个文件夹的作用是用来做开发环境、生产环境和测试环境的配制工作，依赖于 config 组件，目录下以此建立相关的配置文件：

.
├── default.json
├── development.json
├── production.json
├── readme.md
└── test.json

在 json 后缀的文件无法做注释，所以添加 readme.md 文件做配置文件的说明。这个只是我自己的习惯，实际上 config 组件支持多种文件格式，它的机理就是通过判断 NODE_ENV 然后分别加载 config 文件夹下的文件。

doc

npm i json-zero -g

文档文件夹。这里我采用 json-zero 组件进行注释文档生成。

lib

函数文件夹。

log4js

npm i log4js --save

扩展 log4js 的日志输出，这里面还是有一点门道的，因为 KOA 与 EXPRESS 并不相同，所以想要在 KOA上合理的使用 log4js 是要下一点心思去二次封装一下，以便适应自己的项目。

controllers

controllers 文件夹保存控制器

.
└── web
    └── user
        └── index.js

控制器通过 yield 来读取 User 内的数据

const User   = require("../../../models/web/index");
module.exports.home = function*() {
    var data = yield User.test({});
};

routes

.
├── index.js
└── web

路由器文件夹，定义 http 的请求指向控制器：

const router = require("koa-router")(),
      debug  = require("debug")("app:routes:index");
/**
 * 引入控制器
 */
var Web = require("./../controllers/web/user/index");
/**
 * 主页
 */
router.get("/", Web.home);
module.exports = router;

views

.
├── 400.html
├── 500.html
└── home.html

视图文件夹。

models

数据层文件夹。

.
├── db
│   ├── mysql_orm.js
│   └── mysql_pool.js
└── web
    ├── index.js
    └── table
        ├── index.js
        └── photo.js

db 文件夹定义两种连接 mysql 的方式，web 里面就是具体的业务代码。

以上四个文件组成了这个手脚架的基础业务处理逻辑：

这个架构过程是灵活多变的，完全可以根据自己的需要进行取舍和重构，我只所以将路由和控制器分开成两个文件夹，更多的是考虑到当一个项目区分 n 个模块的时候，彼此之间相互独立却又有一些相同的 api 接口，那么这样架构可以更清晰的区分和查找接口。

我在15年和16年上半年之间经历过一个项目，使用 node 做中间层，本来一切顺利，但是苦于后端 java 根据业务调整频繁更换和更改 api 接口，造成了非常大的重复工作。渐渐的我就摸索出一套设计中间层的经验，在我们直接引用外部 api 接口之前，不要相信它是一成不变的，不要相信它是永远存在的，不要相信它是必要的。在此基础上根据功能分成若干模块，稍微费点心力进行二次封装然后再进行引用，封装的时候尽量考虑他不是唯一接口，并提供便捷和可替换性。

入口文件

入口文件将它拆分为几个部分：

.
├── app.js
├── index.js
├── Makefile
├── server
│   ├── api
│   ├── auth
│   ├── index.js
│   ├── lib
│   │   ├── compose.js
│   │   ├── cors.js
│   │   ├── etag.js
│   │   ├── fresh.js
│   │   ├── gzip.js
│   │   └── ketag.js
│   └── middleware
│       ├── helmet_set.js
│       └── index.js
├── start.sh
└── static

这里我需要吐槽一下 grunt 和 gulp，发明 grunt 和 gulp 的人一定是天才，但是它俩真的没有想象中那么好用，我宁愿使用 npm script 或者 makefile。
因为 KOA 的 generator 相关的特性，我们必须将很多流行的第三方进行改造，我建议不要去找 npm 库里的那些已经改造好的组件，那些大多版本落后，自力更生比较好一些。

安全相关 helmet

helmet 是一个很流行的组件，用于处理一些常见的安全问题。

etag

处理静态资源响应时间。

一些细节 Node Security project(nsp)

检查你使用的模块是否是易被一些已知的手段攻击，可以给一个包的所有依赖关系上锁，并且创建一个 npm-shrinkwrap.json 文件。

$ npm install -g nsp nsp-formatter-checkstyle

写入：

$ npm shrinkwrap

如果想要包含 dependencies and devDependencies 需要添加 --dev:

$ npm shrinkwrap --dev

检查：

$ nsp check --output summary

$ nsp check --output checkstyle

在根目录下创建 .nsprc 文件：

retire.js

retire.js是一个命令行扫描器，帮助你找到你应用中依赖库存在的漏洞。

requiresafe

https://requiresafe.com/

david

$ npm install david -g

检查更新，执行命令

david

检查全局模块

$ david -g

npm outdated

$ npm outdated

$ npm outdated -g --depth 0

GPU云服务器云服务器机房安全规范信息安全规范开发规范 js安全编码规范

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/86443.html

服务端渲染的React手脚架。完美使用 React, Redux, and React-Router

摘要：服务端渲染的手脚架这个启动包的设计是为了让你使用一整套最新最酷的前端技术，所有都是可配置，富特性，基于已经提供代码热加载，使用预处理，单元测试，代码覆盖率报告，代码分割等等更多。 Universal React Starter Kit 服务端渲染的React手脚架这个启动包的设计是为了让你使用一整套最新最酷的前端技术，所有都是可配置，富特性，基于webpack已经提供代码热加载，使用...

zhouzhou 2019-08-29 11:27 评论0 收藏0
服务端渲染的React手脚架。完美使用 React, Redux, and React-Router

摘要：服务端渲染的手脚架这个启动包的设计是为了让你使用一整套最新最酷的前端技术，所有都是可配置，富特性，基于已经提供代码热加载，使用预处理，单元测试，代码覆盖率报告，代码分割等等更多。 Universal React Starter Kit 服务端渲染的React手脚架这个启动包的设计是为了让你使用一整套最新最酷的前端技术，所有都是可配置，富特性，基于webpack已经提供代码热加载，使用...

RayKr 2019-08-22 10:40 评论0 收藏0
服务端渲染的React手脚架。完美使用 React, Redux, and React-Router

摘要：服务端渲染的手脚架这个启动包的设计是为了让你使用一整套最新最酷的前端技术，所有都是可配置，富特性，基于已经提供代码热加载，使用预处理，单元测试，代码覆盖率报告，代码分割等等更多。 Universal React Starter Kit 服务端渲染的React手脚架这个启动包的设计是为了让你使用一整套最新最酷的前端技术，所有都是可配置，富特性，基于webpack已经提供代码热加载，使用...

DC_er 2019-08-01 15:52 评论0 收藏0
angularjs + requirejs 完整的手脚架

摘要：还记得一年半前转向后端的那种无助的感觉，独自一人摸黑走路，学习各种前端知识，走了不少弯路，现在终于算是入门了前端我相信不少人也有我当时同样的无助，所以我在空闲时间整理了下所用到的知识，便编写了一个手脚架，希望能给其他正学习前端的同学一些参考还记得一年半前转向后端的那种无助的感觉，独自一人摸黑走路，学习各种前端知识，走了不少弯路，现在终于算是入门了前端～我相信不少人也有我当时同样的无助...

anyway 2019-08-19 17:18 评论0 收藏0