Node.js让浏览器之外的Javascript编程成为可能,在这一背景下,全栈Java Script应用程序的安全性需要安全社区的特殊处理。研究分析中发现服务器端生态系统中过度的代码重用增加了依赖恶意或易受攻击代码的风险,本课题在此基础上讨论了针对Web应用程序的现有攻击及其实证研究,重点关注注入漏洞。这些问题在服务器端库代码中很普遍,并且攻击者可以在真实网站中利用这些漏洞。本课题的工作旨在研究和提高服务器端Java Script代码的安全性。本课题提出一种基于混合分析的检测及自动修复模型IVADAR,针对现有检测工具的兼容性、应用场景可扩展性及相应函数建模问题实现更多应用场景下的有效检测及修复。模型实现部分采用针对错误检测和强化Web应用程序的不同程序分析技术,应用静态动态分析结合的检测工具,基于Closure Compiler实现静态分析,基于esprima和shell-parse模块实现运行时防御注入攻击及强制执行策略自动修复,在此基础上进行修改与实现,将其进行模块化与拆分以兼容不同node与npm版本。并对arraymap函数进行建模与分析,扩展其应用场景及检测模型所覆盖数据集,在对exec和eval进行了检测的基础上,将其应用到new function及shelljs模块这类场景中进行检测,达到了更广泛应用场景检测识别的目的。解决了对更多注入类API建模及代码重写以实现自动修复的问题。IVADAR模型达到较好的代码检测误报漏报率及较低的自动修复计算成本。在56个良性输入中,观察到5个误报,误报率为8.92%,无漏报,在超过100次使用所有输入的模块运行测试下,实验执行机制调用平均耗时0.76毫秒。以很小的计算成本实现了轻量级数据流分析,具有较高的实际应用价值。研究全栈Java Script Web应用程序的安全性问题是一个新的研究方向,未来会有更多新型应用场景与研究思路。