Debian上的Node.js真的不安全吗？
当我为Debian阅读发布说明时，我看到了以下几段：
Node.js平台构建在libv8 8-3.14之上，它经历了大量的安全问题，但是目前项目中没有志愿者或安全团队对此非常感兴趣，并且愿意花费大量的时间来阻止这些即将出现的问题。不幸的是，这意味着libv8 8-3.14、nodejs和相关的节点-*包生态系统目前不应该与不受信任的内容一起使用，例如来自Internet的未净化数据。此外，在Jessie发布期间，这些包将不会收到任何安全更新。
我读到“不要在这个操作系统上运行面向web的Node.js应用程序”，但它真的有那么糟糕吗？让我感到惊讶的是，像Node.js这样流行的东西会因为缺乏libv8维护人员而受到警告。
Debian是建议您避免在Debian上运行任何面向web的Node.js服务，还是只适用于一些风险更高的服务？
回答 1
Security用户
发布于 2016-08-21 09:54:44
这是因为Debian的稳定版本必须与其稳定时的特性版本保持一致。
Debian团队在他们的问与答中清楚地说明了这一点：
2.2在
stable'? No new functionality is added to the stable release. Once a Debian version is released and tagged稳定版中是否有软件包升级?它只会得到安全更新。也就是说，只有在发布后发现安全漏洞的包才会升级。所有的安全更新都通过security.debian.org提供。
为了保持功能的稳定性，他们根据需要自行修复了支持端口安全。
安全更新有一个目的:为安全漏洞提供修补程序。它们不是一种在不经过正常点释放过程的情况下偷偷地对稳定版本进行额外更改的方法。因此，修复存在安全问题的软件包将不会升级软件。Debian安全小组将为以“稳定”形式分发的软件版本提供必要的修复。
另一方面，v8以快速发布周期而闻名。V8 wiki在GitHub上说
大约每6周完成一次新的主要稳定版本。
它还说
一旦一个新的分支被提升到稳定，我们就停止维护以前的稳定分支。这每六周发生一次，所以你应该做好准备，至少要经常更新。
因为杰茜是在2015年4月发布的，所以我们发布了十几个稳定的v8。一般来说，随着时间的推移和服务器稳定的v8的发布，Debian团队越来越难以修复他们的包。表面上看，他们缺乏做后援的志愿者。
你可以冒险使用它，但是你被明确地引导不要使用它。
https://security.stackexchange.com/questions/134447
复制相似问题
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号