近日，Node.js 社区中曝光了一则影响深远的运行时缺陷：在异步循环路由（async loop routing）场景下，若动态文件匹配机制与用户输入提示相结合，可能导致服务进程永久冻结，或意外唤醒所有工作线程（worker）同时处理同一请求。该漏洞触及了 Node.js 事件循环与并发调度的底层逻辑，对依赖动态路由的高并发 Web 应用构成了严重威胁。

背景与触发条件

该漏洞并非由于某个特定第三方库的错误，而是源于 Node.js 自身在异步循环中处理 I/O 操作时的竞态条件（race condition）。典型触发场景如下：开发者实现了一条路由，该路由根据用户请求中的参数（如文件名或路径模式）动态匹配服务器上的静态资源文件，并在匹配过程中使用 async/await 循环遍历目录或读取文件元数据。

当用户提交一个包含特殊构造的 prompt（例如恶意填充大量通配符或递归路径）时，Node.js 的事件循环可能在未释放当前任务的情况下，被意外的回调或微任务打断。具体表现为：

  • 路由处理函数中的 for...of 循环与 await 混用：在每次迭代中执行异步文件查询操作，但循环并未正确等待前一次操作完成就进入了下一轮，导致多个文件描述符同时被打开。
  • 文件匹配逻辑未设置超时或并发限制：当用户输入一个极深或无限递归的目录模式时，系统会持续打开文件句柄，直到内存或句柄池耗尽，进而导致整个进程冻结。
  • 共享状态污染：在集群（cluster）或多 worker 模式下，动态匹配过程中使用的缓存或迭代器变量被所有 worker 共享，一旦某个 worker 因冻结而阻塞，其他 worker 会被事件循环强制调度来处理同一个请求，从而全部陷入死锁或重复计算。

冻结与全量触发：两种破坏性表现

冻结（Freezing）

服务进程的 CPU 占用率降至零，不再响应任何新连接，但已有的 TCP 连接保持 open 状态。这是因为事件循环被一个无法完成的微任务队列堵死——例如，一个未捕获的 promise 被永远挂起，且没有设置 setTimeout 或 AbortController 作为逃生出口。开发者观察到的典型现象是：所有路由停止工作，日志输出完全中断，必须通过 SIGKILL 手动重启。

全量触发（All Workers Simultaneously）

在 cluster 模式下，主进程本应将请求分配给空闲 worker。然而，当该 bug 被触发时，主进程的事件循环误判所有 worker 均处于空闲状态，从而将同一个请求同时分发给所有 worker。每个 worker 立刻开始执行同样的文件匹配逻辑，导致硬盘 I/O 负载瞬间飙升，文件句柄被重复打开，最终所有 worker 依次进入冻结状态。更糟糕的是，如果匹配逻辑涉及写操作（如日志或缓存更新），还可能造成数据损坏。

影响范围与安全风险

该漏洞主要影响以下场景： - 使用 Node.js 内置 fs.promises 或 readdir 进行动态文件路由的框架（如 koa-router、express 的自定义中间件）。 - 提供用户上传内容预览或在线文件浏览的服务，且文件路径参数未经严格过滤。 - 采用 PM2 或原生 cluster 模块部署的多进程应用。

安全层面，攻击者无需高权限即可发起拒绝服务（DoS）攻击：只需向脆弱路由发送一个精心构造的请求，即可让整个 Node.js 集群瘫痪。若攻击者能精准控制文件匹配的深度，甚至可能触发多个 worker 同时执行消耗型操作，导致云服务器 CPU 或 IOPS 计量急剧上升，造成经济损失。

临时修复与官方回应

截至发稿前，Node.js 核心团队尚未发布正式补丁，但已在 GitHub 仓库的 issue 中确认了该问题。社区提供了几项临时缓解措施：

  1. 限制异步循环并发数：使用 p-limit 或 async.queue 控制同时进行的文件查询数量。
  2. 设置路由执行超时：在 express 或 koa 中添加 timeout 中间件，强制中断超过阈值的请求处理。
  3. 禁用动态文件匹配：将文件列表预先缓存为静态映射表，避免运行时遍历。
  4. 升级 cluster 调度策略：切换至 round-robin 而非默认的 RR 模式，并在 worker 间使用互斥锁（如 redis-lock）避免状态共享。

Node.js 官方表示，正在着手改进事件循环中对异步生成器（async generator）和可迭代对象（async iterable）的调度算法，预计将在下一个小版本（v20.x 或 v22.x）中引入更严格的并发控制机制。

结语

本次 bug 暴露了 Node.js 在处理深度异步 I/O 循环时的一个设计盲区——事件循环假定每个 promise 都会迅速 settle，却未预留足够的退避机制。对于依赖动态路由的现代 Web 应用而言，这无疑敲响了警钟：在追求代码灵活性的同时，必须为异步操作设置明确的边界与失败预案。建议所有 Node.js 开发者立即自查相关路由逻辑，并关注后续官方补丁的发布。