为你的Express应用增加CSRF防护
CSRF（Cross-site request forgery）跨站请求伪造，也被称为"One Click Attack"或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。
众所周知，Web系统并没有绝对的安全，就比如我们公司年前遇到的情况，有些恶心网站通过网络抓包等手段，截取验证码发送接口，通过伪造请求实现了传入任意手机号并发送验证码的功能，虽然这看起来并没有什么用，但当这些不法分子拔了成百上千个接口后，就形成了一个疯狂的短信轰炸机，对于服务提供者，这些地下网站只要有人使用，就会不断得消耗短信费用，给企业带来不必要的损失。 查看更多...
简易Express资源合并中间件http-concat
相信很多前端童鞋都见过一些网站有如下url输出js或者css
http://example.com/??script1.js,script2.js,build/script.js
http://example.com/??script1.js,script2.js,build/script.js?v=2016
http://example.com/??style1.css,style2.css,build/style.css
http://example.com/??style1.css,style2.css,build/style.css?v=2016
在以前，使用YUI、DOJO等企业前端库的时候，往往会用到类似功能，最近使用express，搜了下似乎没有类似中间件，索性自己写一个，参数形式参考了阿里的nginx-http-concat（似乎目前大部分有此类功能的网站都是采用阿里的nginx模块实现）。代码如下：
查看更多...
Node应用的进程管理器之PM2
一直以来，没有机会在商业项目、网站上正式用起来NodeJS，说起来挺遗憾的，最近公司网站重构，同时为了配合做些SEO优化，经过一系列筛选后选择了使用NodeJS来支撑前端展现。
在刚接触NodeJS时，也像很多人一样，想问有没有针对NodeJS的热部署方案，后面发现windows下使用nodemon挺好用，但只是简单的自动重载，似乎放到网站上有些不够用，看到翻译后的express官网有介绍进程管理器StrongLoop Process Manager、PM2和Forever，StrongLoop Process Manager是IBM一家子公司维护的，不过国内没见太多人用，大部分都是选择Forever或者PM2（似乎现在PM2使用率更高），对比后选择了PM2。
PM2 是一个带有负载均衡功能的 Node 应用的进程管理器。使用它，可以充分利用CPU多核优势，让你的NodeJS程序完全应用服务器CPU，并且可以保证进程"永远在线"，同时，可以实现0秒重载等。
PM2主要特性如下：
1、内建负载均衡（使用 Node cluster 集群模块）
2、后台运行
3、0 秒停机重载，因为带了有负载均衡功能，可以使用pm2 gracefulReload app来实现平滑重载
4、具有 Ubuntu 、CentOS等启动脚本，可以简单实现开机自动启动
5、停止不稳定的进程（避免无限循环） 查看更多...
