Lexe安全加固指南：网络白名单、TLS 1.3与7个关键环境变量全解析

Lexe安全加固指南网络白名单、TLS 1.3与7个关键环境变量全解析【免费下载链接】lexePackage your Node.js application into a single executable file, but only 10MB.项目地址: https://gitcode.com/gh_mirrors/le/lexeLexe 是一个能把 Node.js 应用打包成单个可执行文件的工具产物仅约 10MB广泛用于 Serverless 场景。本文是一份完整的 Lexe 安全加固指南网络白名单、TLS 1.3 与 7 个关键环境变量全解析帮你在不改一行业务代码的前提下锁死运行时的网络出口。为什么单文件执行文件也需要「安全加固」Lexe 基于 Rust QuickJS 构建无 JIT把 JS 运行时直接编译进一个可执行文件冷启动极快、部署面积极小。但别忘了这个单文件一旦在 Lambda 等沙箱里跑起来它的每一次网络请求都直通宿主机网络——恶意依赖或注入代码可以随便往外发数据。好在 Lexe 把安全开关全部做成了环境变量零代码侵入。核心定义在 environment.rs启动时由 security.rs 统一读取并装配到 HTTP 与 Socket 两条链路。两层网络访问控制白名单 黑名单Lexe 的网络管控分两层全部在环境变量层完成变量作用匹配方式LLRT_NET_ALLOW出口白名单只放行列表内的主机fetch 用「主机后缀 端口」匹配原生 Socket 精确匹配LLRT_NET_DENY出口黑名单拦截指定主机同上LLRT_NET_ALLOW一行命令建立出口白名单# 只允许访问 api.example.com 的 443 端口 LLRT_NET_ALLOWapi.example.com:443规则要点实现见 security.rs空格分隔多个主机设置空列表 拒绝所有连接是最彻底的出口锁死白名单条目会自动同时生成http://与https://两条规则无需写协议fetchHTTP 层采用主机后缀匹配写example.com时api.example.com也会被放行而 net 模块 的原始 TCP 连接走精确匹配记得写全host:port未命中白名单时会抛出URL not allowed: 主机:端口便于第一时间在日志中定位拦截点。⚠️常见坑端口。匹配时端口必须一致且省略端口时双方默认按 80 处理。如果你的请求 URL 里显式写了端口如https://api.example.com:443白名单里也要写成api.example.com:443否则会被拦截。LLRT_NET_DENY黑名单拦截规则# 放行一切但禁止访问内网某段服务 LLRT_NET_DENYlegacy.internal svc.local:9200当白名单和黑名单同时设置时白名单优先先检查是否在允许列表内不在则直接拒绝黑名单仅在通过白名单后二次生效见 security.rs 的初始化逻辑。推荐生产环境两者搭配ALLOW 收窄出口DENY 兜底拦截内网地址。一行开启 TLS 1.3LLRT_TLS_VERSIONTLS 版本开关在 http.rs 中读取并下发到 HTTP 客户端默认只启用 TLS 1.2官方为兼容性与低延迟的权衡设置LLRT_TLS_VERSION1.3后将启用TLS 1.3 TLS 1.2双版本协商握手更快、协议更强。LLRT_TLS_VERSION1.3注意它是「升级」而非「降级」即使服务端只支持 1.2连接依然能建立不会造成兼容性问题。配套还有两个 TLS 相关变量LLRT_EXTRA_CA_CERTSfile从 PEM 文件加载额外 CA 证书。公司内网自签 CA、私有 PKI 的 HTTPS 端点靠它一次信任无需在代码里关证书校验那是绝对要避免的反模式LLRT_HTTP_VERSION2默认仅 HTTP/1.1设为2后同时启用HTTP/1.1 HTTP/2多路复用降低并发延迟LLRT_NET_POOL_IDLE_TIMEOUT秒数keep-alive 空闲连接回收时间默认 15 秒设得过大300s会触发警告——服务端可能已单方面关闭连接反而引发偶发错误。7 个关键安全环境变量速查表#变量默认值安全作用1LLRT_NET_ALLOW不限制网络出口白名单空列表全拒绝2LLRT_NET_DENY不启用网络出口黑名单3LLRT_TLS_VERSION1.2设为1.3启用 TLS 1.34LLRT_EXTRA_CA_CERTS不启用加载额外 CAPEM 文件5LLRT_HTTP_VERSION1.1设为2启用 HTTP/26LLRT_NET_POOL_IDLE_TIMEOUT15空闲连接超时秒7LLRT_LOG关闭按模块/级别过滤日志用于安全审计 两个进阶项LLRT_GC_THRESHOLD_MB默认 20MB控制 GC 内存阈值可限制单实例内存占用LLRT_PLATFORM默认browser指定 npm 包解析平台锁定依赖来源行为。Serverless 场景的典型加固组合一个生产级 Lambda 部署四个变量就构成完整的加固面LLRT_NET_ALLOWapi.example.com:443 ddb.internal:443 LLRT_NET_DENY*.internal LLRT_TLS_VERSION1.3 LLRT_EXTRA_CA_CERTS/opt/certs/internal-ca.pem白名单只放业务端点黑名单兜住内网TLS 1.3 保证传输层强度私有 CA 免掉证书校验开关——全程零代码改动重启即生效。加固之后性能不降反升安全加固常常要牺牲性能Lexe 恰好反例单文件约8.31MB见文首对比图且因无 JIT 编译冷启动天然占优。以下两张图为 DynamoDB PutItem 场景实测Lexe 冷启动 p50 约64ms而 Node 20 同场景超过1.5 秒差距超过 20 倍。也就是说出口被锁死、TLS 版本拉满的同时延迟反而比裸 Node 低一个量级——安全与性能可以兼得。关键源码位置速查想深入机制直接看这几处即可环境变量常量定义environment.rs白/黑名单初始化装配security.rsHTTP 出口检查ensure_url_accesssecurity.rsSocket 出口检查ensure_accesssecurity.rsTLS 版本 / CA 证书 / HTTP 版本解析http.rs环境变量官方说明README.md小结Lexe 的安全模型非常克制——环境变量定义边界Rust 内核强制兜底。记住「ALLOW 收窄出口、DENY 兜底内网、TLS 1.3 拉满传输」三板斧你的单文件 Node.js 应用就能以约 10MB 的体积获得不输企业级网关的出口管控能力。【免费下载链接】lexePackage your Node.js application into a single executable file, but only 10MB.项目地址: https://gitcode.com/gh_mirrors/le/lexe创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考