成人免费xxxxx在线视频软件_久久精品久久久_亚洲国产精品久久久_天天色天天色_亚洲人成一区_欧美一级欧美三级在线观看

構建 Next.js 應用時的安全保障與風險防范措施

作者：dev
開發 前端
盡管 Next.js 為構建安全應用提供了堅實的基礎，但在開發過程中仍有許多需要注意的安全問題和最佳實踐，確保應用對常見漏洞具有足夠的防御能力。

在 Web 應用開發過程中，確保應用的安全性至關重要，這不僅能保護用戶數據，還能防止應用本身遭受各種安全攻擊。Next.js 作為一款備受歡迎的 React 框架，內置了許多安全功能和推薦做法，但開發者仍需清楚地了解潛在的安全隱患，并采取合適的防范策略。

一、Next.js 安全問題概述

盡管 Next.js 為構建安全應用提供了堅實的基礎，但在開發過程中仍有許多需要注意的安全問題和最佳實踐，確保應用對常見漏洞具有足夠的防御能力。

二、服務器端渲染（SSR）與靜態站點生成（SSG）的安全策略

2.1 SSR 安全要點

在使用服務器端渲染時，有幾項關鍵措施需要注意：

  • 數據凈化：始終對用戶輸入進行清洗，防止注入類攻擊。由于 SSR 同時面臨服務器端和客戶端的注入風險，因此建議使用諸如 DOMPurify 之類的工具。例如：
import DOMPurify from "dompurify";

const sanitizedData = DOMPurify.sanitize(userInput);
  • 敏感數據保護：確保在服務器渲染生成的 HTML 中不暴露敏感信息，如 API 密鑰或用戶詳細信息。只將必要的數據發送到客戶端：
export async function getServerSideProps(context) {
  const data = await fetchData();
  return {
    props: {
      data: filterSensitiveData(data),
    },
  };
}
  • 防止跨站腳本攻擊（XSS）：因為服務器生成 HTML 時需要處理動態內容，所以一定要確保所有內容都經過轉義。例如：
const sanitizedData = escapeHTML(userInput);

function escapeHTML(str) {
  return str.replace(/[&<>"']/g, function (match) {
    return {
      "&": "&",
      "<": "<",
      ">": ">",
      '"': """,
      "'": "'",
    }[match];
  });
}
  • 安全的 API 調用：利用服務器端環境變量存放 API 密鑰等敏感信息，避免泄露給客戶端代碼：
const apiKey = process.env.API_KEY;
const response = await fetch(`https://api.example.com/data?apiKey=${apiKey}`);
  • CSRF 防護：通過 CSRF 令牌保護 SSR 路由免受跨站請求偽造攻擊。例如：
import csrf from "csurf";

const csrfProtection = csrf({ cookie: true });

export default function handler(req, res) {
  csrfProtection(req, res, () => {
    // 此處放置 API 邏輯
  });
}

2.2 SSG 安全注意事項

在靜態站點生成時，以下措施尤為重要：

  • 數據凈化：在構建時對所有用戶生成的內容進行清洗，確保嵌入靜態 HTML 的數據是安全的。
import DOMPurify from "dompurify";

export async function getStaticProps() {
  const data = await fetchData();
  const sanitizedData = DOMPurify.sanitize(data);

  return {
    props: {
      sanitizedData,
    },
  };
}
  • 內容安全策略（CSP）：為防范 XSS 和其它注入攻擊，必須配置一套嚴格的 CSP 策略。這對于緩存并直接提供靜態內容的站點尤為關鍵：
// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/(.*)",
        headers: [
          {
            key: "Content-Security-Policy",
            value: "default-src 'self'; script-src 'self' 'unsafe-inline';",
          },
        ],
      },
    ];
  },
};
  • 靜態文件的安全管理：確保敏感文件不會對外公開，通過重寫或重定向來控制文件訪問：
// next.config.js
module.exports = {
  async redirects() {
    return [
      {
        source: "/private-file",
        destination: "/404",
        permanent: false,
      },
    ];
  },
};
  • 環境變量管理：確保環境變量不會暴露給客戶端，通過 getStaticProps 或 getStaticPaths 安全地在構建過程中加載數據。
export async function getStaticProps() {
  const apiKey = process.env.API_KEY;
  const data = await fetchData(apiKey);

  return {
    props: {
      data,
    },
  };
}
  • 不可變與可緩存內容：保證靜態資源和生成頁面具有不可變性和良好的緩存策略，防止內容篡改。
// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/(.*)",
        headers: [
          {
            key: "Cache-Control",
            value: "public, max-age=31536000, immutable",
          },
        ],
      },
    ];
  },
};

三、常規安全最佳實踐

  • 設置安全頭部：利用 Helmet.js 等庫來添加 HTTP 安全頭部，增強安全防護。
import helmet from "helmet";

export default function handler(req, res) {
  helmet()(req, res, () => {
    // 此處處理 API 請求
  });
}
  • 依賴管理：定期更新第三方依賴以修補已知安全漏洞。
npm outdated
npm update
  • 漏洞審計：使用 npm audit 等工具掃描依賴，及時發現和修復安全問題。
npm audit

四、跨站腳本攻擊（XSS）的防范措施

XSS 攻擊允許攻擊者在其他用戶的頁面中注入惡意腳本，Next.js 通過以下措施來降低這種風險：

  • JSX 自動轉義：React 與 Next.js 默認會將動態數據當作純文本處理，從而自動防范 XSS。
const message = "<script>alert('XSS');</script>";
return <div>{message}</div>; // 最終輸出為 <script>alert('XSS');</script>
  • 謹慎使用 dangerouslySetInnerHTML：在必須直接注入 HTML 的情況下，務必先進行數據凈化。
import DOMPurify from "dompurify";

const rawHTML = "<p>這是一段<strong>加粗</strong>文本。</p>";
const sanitizedHTML = DOMPurify.sanitize(rawHTML);

return <div dangerouslySetInnerHTML={{ __html: sanitizedHTML }} />;
  • 雙重凈化用戶輸入：無論在客戶端還是服務器端，都必須對用戶輸入進行清洗。
import DOMPurify from "dompurify";

const handleUserInput = (input) => {
  return DOMPurify.sanitize(input);
};

const userComment = handleUserInput(userInput);
return <div>{userComment}</div>;
  • 服務器端數據驗證：在 SSR 渲染過程中，同樣需要驗證并凈化傳輸到客戶端的數據。
import DOMPurify from "dompurify";

export async function getServerSideProps(context) {
  const data = await fetchData();
  const sanitizedData = DOMPurify.sanitize(data);

  return {
    props: {
      data: sanitizedData,
    },
  };
}
  • 配置嚴格的內容安全策略（CSP）：通過 CSP 限制腳本加載來源，從而進一步降低 XSS 攻擊風險。
// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/(.*)",
        headers: [
          {
            key: "Content-Security-Policy",
            value: "default-src 'self'; script-src 'self' 'unsafe-inline';",
          },
        ],
      },
    ];
  },
};
  • 避免客戶端模板注入：確保模板中使用的數據已經過安全編碼，避免通過字符串拼接構造 HTML。
const userInput = "<script>alert('XSS');</script>";
return <div>{userInput}</div>; // 自動轉義后的安全輸出
  • 保護 API 接口：對 API 接收到的數據進行驗證和凈化，防止惡意數據影響服務器渲染頁面。
import DOMPurify from "dompurify";

export default function handler(req, res) {
  const sanitizedData = DOMPurify.sanitize(req.body.data);
  // 處理凈化后的數據
  res.status(200).json({ data: sanitizedData });
}
  • 使用專門的 XSS 防護庫：例如 xss、DOMPurify、sanitize-html 等都是常用工具。
import sanitizeHtml from "sanitize-html";

const cleanHtml = sanitizeHtml(dirtyHtml, {
  allowedTags: ["b", "i", "em", "strong", "a"],
  allowedAttributes: {
    a: ["href"],
  },
});
return <div dangerouslySetInnerHTML={{ __html: cleanHtml }} />;
  • 輸入驗證與編碼：對所有輸入進行校驗和編碼，確保應用只呈現安全內容。
const validateInput = (input) => {
  // 自定義驗證邏輯
  return input.replace(/<script.*?>.*?<\/script>/gi, "");
};

const safeInput = validateInput(userInput);
return <div>{safeInput}</div>;
  • 持續監控與修補：定期監控應用，更新依賴和補丁以防范新發現的漏洞。
npm audit
npm update

通過上述措施，你可以有效抵御 XSS 攻擊，保障用戶訪問體驗和數據安全。

五、防范跨站請求偽造（CSRF）攻擊

CSRF 攻擊通過誘導用戶執行非預期操作來威脅已認證的會話。為防范此類攻擊，應采取如下措施：

  • 使用 CSRF 令牌：為每個請求生成獨一無二且不可預測的令牌，確保請求來源合法。
  • 配置 CSRF 中間件：例如，可以使用 csurf 和 cookie-parser 庫來實現中間件保護：
// pages/api/csrf.js
import csrf from "csurf";
import cookieParser from "cookie-parser";
import { NextApiRequest, NextApiResponse } from "next";

const csrfProtection = csrf({ cookie: true });

export default function handler(req, res) {
  cookieParser()(req, res, () => {
    csrfProtection(req, res, () => {
      res.status(200).json({ csrfToken: req.csrfToken() });
    });
  });
}
  • 在表單或 API 請求中使用 CSRF 令牌：在前端加載令牌后，將其附加到表單或請求頭中：
import { useEffect, useState } from "react";

export default function MyForm() {
  const [csrfToken, setCsrfToken] = useState("");

  useEffect(() => {
    const fetchCsrfToken = async () => {
      const res = await fetch("/api/csrf");
      const data = await res.json();
      setCsrfToken(data.csrfToken);
    };
    fetchCsrfToken();
  }, []);

  const handleSubmit = async (e) => {
    e.preventDefault();
    const res = await fetch("/api/submit", {
      method: "POST",
      headers: {
        "Content-Type": "application/json",
        "CSRF-Token": csrfToken,
      },
      body: JSON.stringify({ data: "example" }),
    });
    const result = await res.json();
    console.log(result);
  };

  return (
    <form onSubmit={handleSubmit}>
      <input type="hidden" name="csrfToken" value={csrfToken} />
      <button type="submit">提交</button>
    </form>
  );
}
  • 配置安全 Cookie：確保與 CSRF 防護相關的 Cookie 具備 HttpOnly、Secure 以及 SameSite（嚴格或寬松）屬性。
res.setHeader(
  "Set-Cookie",
  cookie.serialize("token", token, {
    httpOnly: true,
    secure: process.env.NODE_ENV === "production",
    maxAge: 3600,
    sameSite: "strict",
    path: "/",
  }),
);
  • 驗證請求來源：通過檢查 Origin 和 Referrer 頭信息來確保請求確實來自受信任的域名。
function validateRequest(req) {
  const origin = req.headers.origin;
  const referrer = req.headers.referer;
  const allowedOrigins = ["https://yourdomain.com"];

  if (
    !allowedOrigins.includes(origin) ||
    !allowedOrigins.includes(referrer)
  ) {
    throw new Error("無效的來源或引用");
  }
}

export default function handler(req, res) {
  try {
    validateRequest(req);
    // 處理合法請求
    res.status(200).json({ message: "請求合法" });
  } catch (error) {
    res.status(403).json({ message: "禁止訪問" });
  }
}
  • 保護敏感路由：確保只有經過認證和授權的用戶才能訪問那些涉及數據修改或敏感操作的接口。
import { getSession } from "next-auth/client";

export default async function handler(req, res) {
  const session = await getSession({ req });

  if (!session) {
    return res.status(401).json({ message: "未授權" });
  }

  // 處理經過授權的請求
  res.status(200).json({ message: "已授權" });
}
  • 在自定義服務器中應用 CSRF 中間件：如果使用自定義服務器（如 Express），可全局應用該中間件：
const express = require("express");
const next = require("next");
const csrf = require("csurf");
const cookieParser = require("cookie-parser");

const dev = process.env.NODE_ENV !== "production";
const app = next({ dev });
const handle = app.getRequestHandler();

const csrfProtection = csrf({ cookie: true });

app.prepare().then(() => {
  const server = express();

  server.use(cookieParser());
  server.use(csrfProtection);

  server.get("/api/csrf", (req, res) => {
    res.json({ csrfToken: req.csrfToken() });
  });

  server.all("*", (req, res) => {
    return handle(req, res);
  });

  server.listen(3000, (err) => {
    if (err) throw err;
    console.log("> 服務器已啟動，訪問 http://localhost:3000");
  });
});

總之，采用 CSRF 令牌、配置安全 Cookie、驗證請求來源以及對敏感路由進行保護，是防范跨站請求偽造攻擊的有效手段。

六、認證與授權

在構建安全應用時，完善的認證和授權機制是必不可少的。以下是 Next.js 中實現認證和授權的一些建議：

6.1 用戶認證

用戶認證用于驗證用戶身份。在 Next.js 中，可以通過 NextAuth.js 等庫來實現。例如：

  • 安裝 NextAuth.js：
npm install next-auth
  • 配置認證：在 pages/api/auth/[...nextauth].js 中設置認證提供商和回調函數。
// pages/api/auth/[...nextauth].js
import NextAuth from "next-auth";
import Providers from "next-auth/providers";

export default NextAuth({
  providers: [
    Providers.Google({
      clientId: process.env.GOOGLE_CLIENT_ID,
      clientSecret: process.env.GOOGLE_CLIENT_SECRET,
    }),
    // 可添加其他認證方式
  ],
  database: process.env.DATABASE_URL,
  session: {
    jwt: true,
  },
  callbacks: {
    async session(session, token) {
      session.user.id = token.id;
      return session;
    },
    async jwt(token, user) {
      if (user) {
        token.id = user.id;
      }
      return token;
    },
  },
});
  • 在組件中使用認證：通過檢測用戶會話來保護頁面或組件。
import { useSession, signIn, signOut } from "next-auth/client";

export default function MyComponent() {
  const [session, loading] = useSession();

  if (loading) return <p>加載中...</p>;
  if (!session) return <button onClick={() => signIn()}>登錄</button>;

  return (
    <>
      <p>歡迎您, {session.user.name}</p>
      <button onClick={() => signOut()}>退出</button>
    </>
  );
}

6.2 用戶授權

授權確保只有具備特定權限的用戶才能訪問某些資源或執行特定操作。

  • 基于角色的訪問控制（RBAC）：為用戶定義角色，并在數據庫中保存對應權限。
const roles = {
  admin: "admin",
  user: "user",
};
  • 保護 API 路由：在 API 中根據用戶角色判斷是否允許訪問。
import { getSession } from "next-auth/client";

export default async function handler(req, res) {
  const session = await getSession({ req });

  if (!session || session.user.role !== "admin") {
    return res.status(403).json({ message: "禁止訪問" });
  }

  // 處理經過授權的請求
  res.status(200).json({ message: "訪問成功" });
}
  • 保護頁面：可使用高階組件（HOC）或自定義 hook 根據用戶角色進行頁面權限控制。
import { useSession } from "next-auth/client";
import { useRouter } from "next/router";
import { useEffect } from "react";

const withAuth = (WrappedComponent, role) => {
  return (props) => {
    const [session, loading] = useSession();
    const router = useRouter();

    useEffect(() => {
      if (!loading) {
        if (!session) {
          router.push("/api/auth/signin");
        } else if (session.user.role !== role) {
          router.push("/unauthorized");
        }
      }
    }, [session, loading]);

    if (loading || !session || session.user.role !== role) {
      return <p>加載中...</p>;
    }

    return <WrappedComponent {...props} />;
  };
};

export default withAuth;

使用該高階組件保護頁面：

import withAuth from "../path/to/withAuth";

const AdminPage = () => {
  return <p>歡迎管理員</p>;
};

export default withAuth(AdminPage, "admin");
  • 其他建議：始終采用 HTTPS、設置 HttpOnly 與 Secure 屬性的 Cookie、實施多重認證（MFA）、定期審核用戶角色以及記錄審計日志，以便追蹤和分析可疑活動。

七、內容安全策略（CSP）的配置

CSP 利用 HTTP 頭部控制允許加載的資源類型，是防范 XSS 和數據注入的重要手段。

7.1 理解 CSP 頭部

通過設置 Content-Security-Policy 頭部，可以限定內容加載的來源。例如：

Content-Security-Policy: default-src 'self'; script-src 'self' https://apis.google.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:;
  • **default-src 'self'**：默認僅允許同源內容加載。
  • script-src 'self' https://apis.google.com：腳本僅允許同源和指定 API 來源。
  • **style-src 'self' 'unsafe-inline'**：樣式允許同源和內聯樣式（盡量避免 'unsafe-inline'）。
  • **img-src 'self' data:**：圖片來源限制為同源或 data URI。

7.2 在 Next.js 中配置 CSP

  • 通過 next.config.js 添加 CSP 頭部：
// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/(.*)",
        headers: [
          {
            key: "Content-Security-Policy",
            value:
              "default-src 'self'; script-src 'self' https://apis.google.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:;",
          },
        ],
      },
    ];
  },
};
  • 在自定義服務器中設置 CSP（例如使用 Express）：
const express = require("express");
const next = require("next");

const dev = process.env.NODE_ENV !== "production";
const app = next({ dev });
const handle = app.getRequestHandler();

app.prepare().then(() => {
  const server = express();

  server.use((req, res, next) => {
    res.setHeader(
      "Content-Security-Policy",
      "default-src 'self'; script-src 'self' https://apis.google.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:;",
    );
    next();
  });

  server.all("*", (req, res) => {
    return handle(req, res);
  });

  server.listen(3000, (err) => {
    if (err) throw err;
    console.log("> 服務器已啟動，訪問 http://localhost:3000");
  });
});

7.3 CSP 的最佳實踐

  • 使用 nonce 或哈希：盡量避免 'unsafe-inline'，可以采用動態生成的 nonce 或預設的哈希值來允許特定內聯腳本或樣式。
  • 避免使用通配符：不要輕易使用 *，以免放寬安全限制。
  • 報告違規行為：通過 report-uri 或 report-to 指令獲取 CSP 違規報告，及時發現和解決問題。
  • 逐步收緊策略：可以從較寬松的策略開始，然后逐步收緊以覆蓋所有必要的資源來源。
  • 測試與監控：定期使用工具（如 Google 的 CSP Evaluator）測試 CSP 配置，并監控違規報告。

例如，一個較為全面的 CSP 配置如下：

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/(.*)",
        headers: [
          {
            key: "Content-Security-Policy",
            value:
              "default-src 'self'; script-src 'self' https://apis.google.com 'nonce-<randomNonce>'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; connect-src 'self' https://api.example.com; font-src 'self' https://fonts.gstatic.com; frame-src 'self' https://www.youtube.com; object-src 'none'; base-uri 'self'; form-action 'self'; report-uri /csp-violation-report-endpoint;",
          },
        ],
      },
    ];
  },
};

八、訪問速率限制

為防止暴力破解、DDoS 攻擊或資源濫用，實現請求速率限制是一種有效的防護手段。

8.1 速率限制原理

速率限制控制某個用戶在一定時間內發出的請求數量，常見的策略有固定窗口、滑動窗口和令牌桶算法等。

8.2 在 Next.js 中實現速率限制

可以借助 Express 中間件和 express-rate-limit 包來實現，例如：

  1. 安裝依賴：
npm install express express-rate-limit
  1. 設置自定義服務器并配置中間件：
// server.js
const express = require("express");
const next = require("next");
const rateLimit = require("express-rate-limit");

const dev = process.env.NODE_ENV !== "production";
const app = next({ dev });
const handle = app.getRequestHandler();

// 定義速率限制規則：15 分鐘內每個 IP 最多 100 次請求
const limiter = rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 100,
  message: "來自該 IP 的請求過多，請15分鐘后重試",
});

app.prepare().then(() => {
  const server = express();

  // 為所有請求應用速率限制
  server.use(limiter);

  server.all("*", (req, res) => {
    return handle(req, res);
  });

  server.listen(3000, (err) => {
    if (err) throw err;
    console.log("> 服務器已啟動，訪問 http://localhost:3000");
  });
});
  1. 運行服務器：通過 node server.js 啟動服務，并測試是否在超出限制后返回 429 狀態碼。

8.3 高級速率限制方案

對于分布式系統，可以使用 Redis 作為存儲后端來追蹤請求數：

  1. 安裝 Redis 相關依賴：
npm install redis rate-limit-redis
  1. 修改服務器配置：
// server.js
const express = require("express");
const next = require("next");
const rateLimit = require("express-rate-limit");
const RedisStore = require("rate-limit-redis");
const Redis = require("ioredis");

const dev = process.env.NODE_ENV !== "production";
const app = next({ dev });
const handle = app.getRequestHandler();

const redisClient = new Redis();

const limiter = rateLimit({
  store: new RedisStore({
    client: redisClient,
  }),
  windowMs: 15 * 60 * 1000,
  max: 100,
  message: "來自該 IP 的請求過多，請15分鐘后重試",
});

app.prepare().then(() => {
  const server = express();

  server.use(limiter);

  server.all("*", (req, res) => {
    return handle(req, res);
  });

  server.listen(3000, (err) => {
    if (err) throw err;
    console.log("> 服務器已啟動，訪問 http://localhost:3000");
  });
});

采用速率限制可以有效防止惡意攻擊、暴力破解等行為，同時建議針對不同的用戶角色、接口進行更細粒度的控制，并配合監控和告警機制。

九、其他安全措施

  • 安全頭部設置：使用 Helmet.js 設置各種 HTTP 頭部，增強應用安全。
import helmet from "helmet";

export default function handler(req, res) {
  helmet()(req, res, () => {
    // 處理 API 請求
  });
}
  • 依賴管理：定期更新依賴包并利用工具（如 npm audit）檢查安全漏洞。
npm outdated
npm update
npm audit
  • 環境變量管理：
  • 將敏感信息存放于 .env 文件（如 .env.local、.env.production），并確保這些文件不被提交到版本控制。
  • 使用 process.env.VARIABLE_NAME 獲取變量，開發時可利用 dotenv 加載環境變量。
  • 部署時確保環境變量安全配置，并定期輪換 API 密鑰或其它機密信息。
  • 靜態文件訪問控制：確保敏感的靜態文件不對外開放訪問，可通過配置 rewrites 來控制。
// next.config.js
module.exports = {
  async rewrites() {
    return [
      {
        source: "/api/:path*",
        destination: "/:path*", // 匹配所有 API 路由
      },
    ];
  },
};

通過上述安全策略和最佳實踐，你可以構建出既高效又能有效防御常見網絡攻擊的 Next.js 應用，保障用戶數據安全及應用穩定運行。

責任編輯：武曉燕 來源： 大遷世界
Next.js安全安全
相關推薦

2009-07-05 11:27:09

2013-05-22 16:46:02

2011-03-22 14:57:07

2017-03-23 09:13:56

2012-12-27 10:53:12

2009-12-23 16:10:14

2011-11-25 15:58:43

2012-12-25 13:45:37

2009-12-09 11:54:35

2022-03-31 14:55:31

網絡安全漏洞

2009-06-19 21:18:23

2010-01-13 10:22:27

2012-11-22 14:45:28

2011-03-01 17:35:46

2015-03-10 09:46:11

2009-04-23 00:18:07

2019-08-30 08:57:36

勒索病毒漏洞網絡攻擊

2011-03-22 14:55:40

2022-07-04 09:00:00

帳戶劫持信息安全攻擊

2025-02-14 08:56:09

GoroutineContextChannel
點贊
收藏

51CTO技術棧公眾號

主站蜘蛛池模板： 中文字幕久久久 | 91精品国产91久久久久久 | 国产精品久久久久久影视 | 精品一二区 | 日韩三级 | 亚洲乱码一区二区三区在线观看 | 久久久久久久久毛片 | 日韩精品一区二区三区中文字幕 | 午夜精品久久久久久久久久久久久 | 国产成人精品免费视频 | 全部免费毛片在线播放网站 | 在线看片国产精品 | 在线一区二区三区 | 国产欧美一区二区久久性色99 | 黑人中文字幕一区二区三区 | www.嫩草 | 99精品久久久 | 成人久久一区 | 91精品在线播放 | 久久综合九色综合欧美狠狠 | 精品国产乱码久久久久久蜜臀 | 欧美一级黄色片 | 亚洲精品乱码8久久久久久日本 | 久久精品福利 | 欧美日产国产成人免费图片 | 午夜成人免费电影 | 日韩在线免费视频 | 久久久久九九九女人毛片 | 国产精品九九九 | 免费久久网站 | 久久久久久蜜桃一区二区 | 久草视频在 | 国产传媒毛片精品视频第一次 | 亚洲xxxxx | 福利精品在线观看 | 欧美成人精品激情在线观看 | 日韩av一区二区在线观看 | 国产精品激情小视频 | a级大毛片 | 欧美激情欧美激情在线五月 | 日本午夜视频 |