Node.js的nodemailer库虽然让邮件发送变得简单，但开发者常忽略安全风险，尤其是注入攻击。攻击者可能通过邮件内容、主题或收件人字段注入恶意代码，导致垃圾邮件发送、数据泄露甚至服务器被控。防护的核心在于严格验证和清理所有用户输入，并使用nodemailer的安全配置选项。

理解nodemailer的注入风险点

nodemailer本身不自动处理注入防护，风险主要来自用户输入的直接使用。例如，在构建邮件对象时，如果收件人地址、主题或正文来自未经验证的用户输入，攻击者可能插入额外命令或特殊字符。常见的注入类型包括SMTP命令注入和HTML注入，前者可篡改邮件传输流程，后者可能在邮件中嵌入恶意脚本。假设一个联系表单允许用户输入邮件内容，攻击者输入"test@example.com\nRCPT TO: victim@target.com"作为收件人，可能通过换行符添加非法收件人。nodemailer的默认配置可能不会过滤这些字符，导致邮件被发送到未授权地址。

实施输入验证和清理策略

防止注入的第一步是验证所有输入数据。使用正则表达式或验证库如validator.js，确保邮箱地址符合RFC标准。例如，验证收件人地址时，检查是否包含换行符或分号等危险字符。对于邮件正文，如果允许HTML内容，需清理潜在的恶意标签。可以使用xss库过滤HTML，防止跨站脚本攻击。代码示例：

const validator = require('validator');
const xss = require('xss');

function sanitizeInput(input) {
    // 验证邮箱地址
    if (!validator.isEmail(input.to)) {
        throw new Error('Invalid email address');
    }
    // 清理HTML内容
    const cleanHtml = xss(input.html);
    return { ...input, html: cleanHtml };
}

此外，限制输入长度和类型，避免缓冲区溢出攻击。对于主题和文本内容，转义特殊字符如<、>和&，使用encodeURIComponent或专用转义函数。

配置nodemailer的安全选项

nodemailer提供多个安全相关配置，减少注入可能。在创建传输器时，设置secure为true以强制使用TLS加密，防止中间人攻击。使用requireTLS选项确保连接升级到TLS。避免使用不安全的身份验证方法，如纯文本密码，优先选择OAuth2。示例配置：

const nodemailer = require('nodemailer');

const transporter = nodemailer.createTransport({
    host: 'smtp.example.com',
    port: 465,
    secure: true,
    auth: {
        user: 'user@example.com',
        pass: 'strongpassword'
    },
    requireTLS: true
});

对于邮件头，nodemailer自动编码头字段，但开发者应手动检查自定义头。使用nodemailer的sendMail方法时，避免直接拼接字符串构建邮件对象，而是传递对象字面量。

使用参数化查询和预定义模板

类似于SQL注入防护，参数化方法能有效隔离数据与命令。在nodemailer中，这意味着使用模板引擎如Handlebars或EJS预定义邮件模板，将用户输入作为数据插入，而非字符串拼接。例如，创建Handlebars模板定义邮件结构，然后注入用户数据：

const handlebars = require('handlebars');
const template = handlebars.compile('{{{content}}}');
const mailOptions = {
    to: sanitizedTo,
    subject: sanitizedSubject,
    html: template({ content: sanitizedUserContent })
};

确保模板中使用的用户内容经过清理，Handlebars的{{{}}}三重括号可输出原始HTML，但应仅用于受信任数据；否则使用{{}}自动转义。结合环境变量存储敏感信息如SMTP凭据，避免硬编码。

监控和日志记录增强防护

主动监控邮件发送活动，检测异常模式。记录所有邮件请求的详细信息，包括时间戳、发件人、收件人和邮件大小，使用日志库如winston。设置阈值警报，例如单小时内发送过多邮件可能表示注入攻击成功。示例日志代码：

const winston = require('winston');
const logger = winston.createLogger({
    level: 'info',
    transports: [new winston.transports.File({ filename: 'mail.log' })]
});

function logMailAttempt(mailOptions) {
    logger.info('Mail sent', {
        to: mailOptions.to,
        subject: mailOptions.subject.substring(0, 50),
        timestamp: new Date()
    });
}

定期审计日志，检查是否有不寻常的收件人地址或内容模式。结合入侵检测系统，自动阻止可疑IP地址。nodemailer的错误处理回调中应包含日志记录，捕获潜在的安全异常。

结合服务器端整体安全措施

nodemailer安全不仅限于库本身，还需整合服务器环境。使用防火墙限制SMTP端口访问，仅允许来自信任IP的连接。在Node.js应用层，实施速率限制如express-rate-limit，防止攻击者通过大量请求进行注入尝试。保持nodemailer和相关依赖库更新，及时修补已知漏洞。例如，定期运行npm audit检查安全问题。在Docker容器或云环境中，隔离邮件服务，减少攻击面。

实际案例分析和最佳实践

考虑一个电商网站使用nodemailer发送订单确认邮件。攻击者尝试在地址字段注入"customer@example.com\nBCC: attacker@evil.com"。通过输入验证，系统检测到换行符并拒绝请求。最佳实践包括：始终使用异步函数处理邮件发送，配合try-catch块；禁用邮件预览中的自动加载远程内容，防止跟踪或恶意图像；对于用户生成内容，采用“默认拒绝”策略，仅允许安全的HTML标签列表。代码示例展示综合防护：

const sanitizeHtml = require('sanitize-html');

async function sendSecureMail(userInput) {
    try {
        const cleanTo = validator.normalizeEmail(userInput.to);
        const cleanSubject = validator.escape(userInput.subject);
        const cleanBody = sanitizeHtml(userInput.body, {
            allowedTags: ['b', 'i', 'p'],
            allowedAttributes: {}
        });
        
        const mailOptions = {
            from: 'trusted@example.com',
            to: cleanTo,
            subject: cleanSubject,
            html: cleanBody
        };
        
        await transporter.sendMail(mailOptions);
        logMailAttempt(mailOptions);
    } catch (error) {
        logger.error('Mail send failed', error);
        throw new Error('Security violation detected');
    }
}

总之，nodemailer注入防护需要多层次方法：从输入验证到安全配置，再到环境加固。开发者应视安全为持续过程，而非一次性任务。