哎 七月份開始實習，九月份開始奔波校招。很忙碌也很累也沒怎麼好好學習了。最近面試被問到有關於前端安全，才發現自己一直忽略了這方面，於是趕緊惡補！！！
開發者，一般主要分為前端和後端。而對於開發者來說，安全就主要分為了前端安全和後端安全，而web基本攻擊大致可以分為三大類：「資源列舉」、「引數操縱」 和 「其它攻擊」。。
什麼是xss呢？xss全稱是cross-site scripting，跨域指令碼攻擊，是最常見的web攻擊之一。它是一種典型的出現在web應用中的計算機安全漏洞。xss允許攻擊者注入客戶端指令碼到web頁面中。一段跨域指令碼漏洞可能會被攻擊者用於通過一些入站控制，如同源策略。xss攻擊主要側重於客戶端。
a.html元素：
}
input：//乙個alert彈框將會出現。
① 在不同上下文中，使用合適的escape方式
② 不要相信任何來自使用者的輸入
所謂sql注入就是通過把sql命令插入到web表單提交或輸入網域名稱或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的sql命令。具體來說，它是利用現有應用程式，將（惡意）的sql命令注入到後台資料庫引擎執行的能力，它可以通過在web表單中輸入（惡意）sql語句得到乙個存在安全漏洞的**上的資料庫，而不是按照設計者意圖去執行sql語句。
發生的主要原因是程式沒有細緻地過濾使用者輸入的資料，致使非法資料侵入系統。
根據相關技術原理，sql注入可以分為平台層注入和**層注入。前者由不安全的資料庫配置或資料庫平台的漏洞所致；後者主要是由於程式設計師對輸入未進行細緻地過濾，從而執行了非法的資料查詢。基於此，sql注入的產生原因通常表現在以下幾方面：
後台收到url會執行查詢語句：select * from fruit where id = 99;
xpath注入和sql注入原理差不多，只不過xpath注入的資料庫是xml格式的。
訪問乙個http**要與伺服器建立一次http回話。假設跟你處於同乙個子網上的「朋友」，想偽裝成你來劫持你的http會話，那麼伺服器會資訊返回給那個人嗎？
答案是肯定的，因為http會話並不安全。它在經過tcp/ip協議封裝傳輸資料時，在傳輸的資料的每乙個位元組中插入乙個32位的序列號碼，這個序列號用來保持跟蹤資料和提供可靠性（序列號是依循資料順序逐步遞增的）。第三方攻擊者可以通過嗅探的方式來獲取使用者與伺服器通訊中的報文資訊，如果他能猜測到資料中的序列號，那便能把合法的使用者斷開，偽裝成合法使用者讓自己控制後續的通話。
csrf，cross-site request forgery,跨站請求偽造。與xss非常相似，但是xss是利用使用者對當前**的信任來發起攻擊，而csrf是利用**對使用者的信任來發起攻擊。
csrf攻擊力：以你的名義傳送郵件、發訊息，盜取你的賬號，甚至購買商品，虛擬貨幣轉賬，個人隱私洩露以及財產安全。
對於乙個安全性很低的電商**，如果你已經登入了**，且沒關閉瀏覽器，在任何情況都可以作為乙個已通過身份驗證登入的使用者來購買商品等操作，而無須重新登入或者輸入支付密碼。
這就是為什麼現在大部分的郵箱都不會直接顯示的原因！all for u！
防範csrf：
檢查報頭中的referer引數確保請求發自正確的**（但xhr請求可呼叫setrequestheader方法來修改referer報頭）；
對於任何重要的請求都需要重新驗證使用者的身份；
建立乙個唯一的令牌（token），將其存在服務端的session中及客戶端的cookie中，對任何請求，都檢查二者是否一致。
夜深了，早點休息！
WEB 前端菜鳥，感覺很迷茫，該怎麼做？
先說問題吧 感覺前端涉及到的東西太多了，自己也很浮躁，看了挺多書，可是 缺敲得卻不多。技術菜，又什麼都想學，比如現在糾結要不要先學scss或者php或者angularjs,backbone等框架，還是深入學習html5 css3？然後看了一些招聘要求發現又有一些坑要填，經常處於焦躁狀態，感覺心好累，...
WEB 前端菜鳥，感覺很迷茫，該怎麼做？
計算機行業很多領域都符合82定律，也就是20 的東西的使用頻率佔到80 所以很適合囫圇吞棗，因此我們的重點就是把這20 學起來，而首先要做的就是把這20 的東西找出來。在我看來前端這20 的東西大概就是常用的html標籤，css的盒子模型，基本的原生js，以及熟練使用jquery，ajax，常見瀏覽...
WEB 前端菜鳥，感覺很迷茫，該怎麼做？
前幾天看到這樣的問題 先說問題吧 感覺前端涉及到的東西太多了，自己也很浮躁，看了挺多書，可是 缺敲得卻不多。技術菜，又什麼都想學，比如現在糾結要不要先學scss或者php或者angularjs,backbone等框架，還是深入學習html5 css3？然後看了一些招聘要求發現又有一些坑要填，經常處於...