从Node.js的运行命令使用sudo

Question

作为新的Node.js，我有这个问题..

我看到它在该节点不应该以root身份运行几个地方，如this提及。我只是使用节点来设置简单的 Web服务并执行需要root访问权限的python脚本。我只是不明白危险在哪里，正如可能是的黑客那样。

我的node.js文件是这样的： - 如果有任何安全问题

var http = require('http'); 
var express = require('express'); 

var app = express(); 


app.use(express['static'](__dirname)); 


app.get('/alert', function(req, res) { 
    var addr = req.query.addr; 
    //~ need to check if it is a valid address?? 
    console.log('Received addr -' + addr); 

    var spawn = require('child_process').spawn; 

    var process = spawn('python', ['custom-text-led/custom-text.py', addr]); 

    process.stdout.on('data', function(data) { 
     console.log('Data:' + data); 
    }); 


}) 

app.get('*', function(req, res) { 
    res.status(404).send('Unrecognized API call'); 
}); 

app.use(function(err, req, res, next) { 
    if (req.xhr) { 
     res.status(500).send('Opps, something went wrong'); 
    } else { 
     next(err); 
    } 
}); 

app.listen(3000); 

console.log('App server running at port 3000'); 

Answer 1

黑客可以做任何事情。 您可以让用户运行Web服务器的权限来执行您的任务打算执行的任务。

一般情况下尽量避免使用根部（将锡箔帽放在上面）。