anchor.diff:  如下设置cookie选项，可以增加安全性：
   
   * *secure* – 保证浏览器只能通过HTTPS发送cookie。
  -* *httpOnly* – 保证浏览器不同用客户端JavaScript发送cookie，只能通过HTTP(S)发送，这样可以不受跨站脚本攻击。
  +* *httpOnly* – 保证浏览器不用客户端JavaScript发送cookie，只能通过HTTP(S)发送，这样可以不受跨站脚本攻击。
   * *domain* – 指定域名。先判断指定的域名和请求服务器的域名是否匹配，匹配后会进行下一个属性path的匹配。
   * *path* – 指定路径。路径也匹配后，发送cookie。
   * *expires* – 设置数据的过期时间。
  
positive.code: = 把Express用于产品的最佳实践 - 第一篇：安全
  :hp-tags: node express
  :hp-alt-title: Best Practices for Express in Production – Part One: Security
  
  这两篇博客是关于在产品环境中运行Express的最佳实践。第一篇主要讲安全，第二篇是效率和可靠性。这里假设你已经熟悉了Node.js和网络开发的基本内容，以及产品环境的一些重要概念和主题。
  
  ## 概述
  
  术语“_产品_”是指在软件生命周期内，一个应用或者API可以让终端用户或消费者使用的场景。相对开发阶段，仍在编写和测试代码，则应用是不对外开放的。对应的系统环境分别称为_产品环境_和_开发环境_。
  
  通常开发环境和产品环境在设置上有很大差异，且需求也明显不同。经常会出现在开发中OK的事项，无法适用于产品。举个例子，在开发环境中用来排错的大量日志信息，可能会在产品环境中成为一个安全隐患。还有就是在开发环境中，不需要担心稳定性、可靠性及效率。
  
  这篇博客就来讲讲，对于采用Express的应用上线后，一些安全方面的最佳实践。
  
  ## 不要使用废弃或漏洞版本的Express
  
  Express 2.x和3.x已停止维护，不会再修正安全和效率上的问题。不要使用它们！如果还未更新到版本4，可以根据 http://expressjs.com/guide/migrating-4.html[这篇引导]来升级你的程序。
  
  同时查看一下 http://expressjs.com/advanced/security-updates.html[安全升级页面]，确保没使用有漏洞的版本。如果正在用，先更新到最近的稳定版。
  
  ## 使用TLS
  
  如果需要传输敏感数据，请使用 https://en.wikipedia.org/wiki/Transport_Layer_Security[Transport Layer Security(TLS)]保护连接和数据。这个技术会在客户端向服务器发送数据之前先对其加密，因而防御一些常见的（且容易）的攻击。虽然像Ajax以POST发送请求会看不到数据，像是被“隐藏”在浏览器中，但脆弱网络传输很容易被 https://en.wikipedia.org/wiki/Packet_analyzer[抓包]或者被 https://en.wikipedia.org/wiki/Man-in-the-middle_attack[中间人攻击]。
  
  如果你知道Secure Socket Layer(SSL)加密，那么 https://msdn.microsoft.com/en-us/library/windows/desktop/aa380515(v=vs.85).aspx[TLS就是下一代的SSL]。换句话说，如果之前你在用SSL，可以考虑升级成TSL。一般来说，推荐使用Nginx处理TLS。这里有一篇不错的文章讲如何在Nginx（或其它服务器）上配置TLS， https://wiki.mozilla.org/Security/Server_Side_TLS#Recommended_Server_Configurations[推荐服务器配置(Mozilla Wiki).]
  
  还有一个小工具 https://letsencrypt.org/about/[Let's Encrypt]用来获得TLS证书，由 https://letsencrypt.org/isrg/[网络安全研究组织（ISRG)]提供：免费、自动的、开放认证授权（CA)。
  
  ## 使用Helmet
  
  
negative.code: * https://strongloop.com/strongblog/boas-praticas-para-fazer-deploy-de-aplicacoes-node-js-em-producao/[Boas práticas para fazer deploy de aplicações Node.js em produção]
  * https://strongloop.com/strongblog/user-based-authentication-with-loopback/[User-based Authentication with Loopback]
  
  