Nietypowe pytanie dotyczące bezpieczeństwa danych

Witajcie, chciałbym zadać dość nietypowe pytanie, jak wygląda sytuacja w przypadku, gdy chcę napisać aplikację w np. Node (express, czy meteor), ale ważnym aspektem jest bezpieczeństwo danych znajdujących się na serwerze (ich poufność), czy pisząć aplikację w danej technologii za wykorzystaniem jakiegoś frameworka nie musimy się o to martwić? - w sensie czy owe narzędzia, które używany nie zmierają jakiś np. statystycznych danych?

2. Aby nie zakładać nowego tematu zapytam również tu: zacząłem pisać pewną aplikację w expressJS (w świecie node jestem dopiero raczkujący) i w pewnym momencie doSZEDŁem do wniosku, że muszę użyć masę osobnych kodów (bibliotek) i w większości moja praca to raczej połączenie kilku paczuszek razem, aby wszystko działało - tzn. mało tu trochę "własnego" kodu, czy jest to normalna rzecz podczas pisania w node?

Cześć!

1. Co masz na myśli " czy owe narzędzia, które używany nie zmierają jakiś np. statystycznych danych?"?

2. Frameworki nie zabezpieczają danych. Operują na nich w bezpieczny sposób ale jeżeli je będziesz przechowywać w plikach czy w bazach danych- te są zawsze narażone na ataki. Użycie fameworka nigdy nie zwalnia z zachowywania zasad bezpieczeństwa i dbanie i bezpieczny kod. Dodatkowo aktualizacja środowiska i samego frameworka to kluczowe elementy (większość tego nie robi bo aktualizacja bibliotek czy frameworka zawsze rozsypuje jakąś część aplikacji a to generuje koszty).

3. Co do node to tak mniej więcej wygląda teraz "tworzenie aplikacji". To jest moim zdaniem dobra rzecz. Wszystko zależy od percepcji programisty na czym chce się skupić. Jedni wolą wymyślać coraz to nowe, zoptymalizowane algorytmy i udostępniają je jako komponenty a niektórzy wolą skupiać się na "business logic" i na tym jak aplikacja ma działać. Nie ma róży bez kolców i zawsze powstaje sytuacja, że komponent nie spełnia w pełni oczekiwań albo jest ograniczony i wtedy fork albo tworzenie swojego komponentu (który warto udostępnić w npm) jest koniecznością.

To, że sami musimy zadbać o odpowiednie zabezpieczenie aplikacji to bardzo dobrze zdaję sobię sprawę, pisząc o bezpieczeństwie raczej mam na myśli samą technologie, narzędzie (od strony twórców, czy sami nie mają "dostępu" do jakiś danych).

Ryzyko dziur w bezpieczeństwie możesz minimalizować korzystając z projektów typu Snyk czy nsp (oba mają CLI toole, dostępne na na npm)