VAPD是一款专为团队协作办公场景设计的项目管理工具，实践敏捷开发与持续交付，以「项目」为核心，融合需求、任务、缺陷等应用，使用敏捷迭代、小步快跑的方式进行开发及质量跟踪，简化工作流程，帮助团队快速迭代并高效完成产品开发交付。
安全涉及的领域很大， 我也仅仅是了解一些皮毛， 每次面试前都要找资料复习， 很麻烦。
正常情况我们会输入合法的账号和密码并提交, 但是 Attacker 会在输入框中使用各种 SQL 使得后台的 SQL 出现异常, 比如:
浏览器的渲染进程的线程总共有五种： （1）GUI渲染线程 负责渲染浏览器页面，解析HTML、CSS，构建DOM树、构建CSSOM树、构建渲染树和绘制页面；当界面需要重绘或由于某种操作引发回流时，该线程就会执行。
我们平时常说的变量的作用域(scope)，它全名应该叫「词法作用域」(lexical scope)。它是程序中可以访问变量的区域，即作用域控制着变量和函数的可见性和生命周期。
原文：https://www.figma.com/blog/how-we-built-the-figma-plugin-system/
rebindMultiA是一款功能强大的多重A记录重绑定攻击测试工具，该工具可以帮助广大研究人员通过针对目标域名执行多重A记录重绑定攻击，来测试目标域名或地址的安全情况。
一直以来自己对WEB安全方面的知识了解的比较少，最近有点闲工夫了解了一下。也是为了以后面试吧，之前就遇到过问WEB安全方面的问题，答的不是很理想，所以整理了一下！
DOMContentLoaded，load，beforeunload，unload
于是Selenium就应运而生了，它可以算的上是自动化测试框架中的佼佼者，因为它解决了大多数用来爬取页面的模块的一个永远的痛，那就是Ajax异步加载 。今天将给大家详解如何用Selenium爬取数据，并最后附上一个真实的案例。
https://www.cnblogs.com/poloyy/category/1768839.html
ECMAScript，描述了该语言的语法和基本对象，如类型、运算、流程控制、面向对象、异常等。
“ 了解一个漏洞的本质，会更有利于我们去分析，这个文章包含漏洞分析带你初步了解一下浏览器对于我们漏洞产生造成的影响。”
Web安全是前端开发人员经常忽略的主题。当我们评估网站的质量时，我们通常会查看性能，SEO友好性和可访问性等指标，而网站抵御恶意攻击的能力却常常被忽略。
如果iframe的出现是一个错误的话，iframe里边在来一个iframe那是错上加错，神话没有在远古的尘嚣中消失，却在怀具的今天不断上演。
描述：Object.assign()方法用于将所有可枚举（Object.propertyIsEnumerable() 返回 true）和自有（Object.hasOwnProperty() 返回 true）属性的值从一个或多个源对象复制到目标对象。它将返回修改后的目标对象（请注意这个操作是浅拷贝）。
Inside look at modern web browser 是介绍浏览器实现原理的系列文章，共 4 篇，本次精读介绍第一篇。
最近David Leo在Full Disclosure上爆出了一个ie的 uxss 漏洞，可以绕过ie的同源策略。FreeBuf也有相关的报道（点我查看）。本文简要分析一下这个漏洞的原理。 攻击过程 <iframe src="redirect.php"></iframe> <iframe src="https://www.google.com/images/srpr/logo11w.png"></iframe> <script> top[0].eval('_=top[1];alert();_.loc
一、简单介绍 1、html，是hyper text markup language的缩写，中文为“超文本标记语言”。 2、html不是编程语言而是一种标记语言。 二、标签与元素 1、html标签：如(两个尖括号加上一个元素名，是开始标签,是结束标签)。 2、html元素：元素内容（开始与结束标签加上内容）。 3、一般的html标签都有开始和结束标签，但是有些是空标签，即没有结束标签和元素内容。如<link012
| 导语 在过去，浏览器沙箱（sandbox）主要应用在前端安全领域，随着应用架构复杂，微前端方案的出现，js运行环境沙箱在浏览器中的需求越来越多。特别是近几年比较火的微前端领域，js沙箱是其比较核心一个技术点，是整个微前端方案的实现的关键点之一。 微前端对于沙箱的诉求 沙箱在微前端架构中不是必须要做的事情，因为如果规范做的足够好，是能够避免掉一些变量冲突读写，CSS 样式冲突的情况。但是如果你在一个足够大的体系中，仅仅通过规范来保证应用的可靠性面临较大的风险，还是需要技术手段去治理运行时的一些冲突问题
概述 Clickjacking是最近新兴的针对WEB前端的攻击手段。它通常使用一个ifream覆盖掉当前页面，欺骗用户点击iframe中的恶意内容。 Likejacking通常是针对社交网站的一种攻击手法，攻击者会欺骗用户去点击一个伪造的图标或按钮。如今攻击者已经研究出了大量的方法，来把官方的按钮模仿的惟妙惟肖。 Clickjacking技术首先是由Jeremiah Grossman 和 Robert Hanson在2008年提出的，而如今这种依附于JS的攻
从网站开发者的角度来看，第三方JS相比第一方JS有如下几个不同之处： 下载速度不可控 JS地址域名与网站域名不同 文件内容不可控 不一定有强缓存（Cache-Control/Expires） 如果你的网站上面有很多第三方JS代码，那么“下载速度的不可控”很有可能导致你的网站会被拖慢。因为JS在执行的时候会影响到页面的DOM和样式等情况。浏览器在解析渲染HTML的时候，如果解析到需要下载文件的script标签，那么会停止解析接下来的HTML，然后下载外链JS文件并执行。等JS执行完毕之后才会继续解析剩下
如果你的网站上面有很多第三方JS代码，那么“下载速度的不可控”很有可能导致你的网站会被拖慢。因为JS在执行的时候会影响到页面的DOM和样式等情况。浏览器在解析渲染HTML的时候，如果解析到需要下载文件的script标签，那么会停止解析接下来的HTML，然后下载外链JS文件并执行。等JS执行完毕之后才会继续解析剩下的HTML。这就是所谓的『HTML解析被阻止』。浏览器解析渲染页面的抽象流程图如下：
跨站脚本攻击（Cross-site scripting，通常简称为XSS）发生在客户端，可被用于进行窃取隐私、钓鱼欺骗、偷取密码、传播恶意代码等攻击行为。可以分为反射型、存储型、DOM型等，本文主要讲解DOM-XSS漏洞挖掘与攻击面延申。接下来就开门见山，讲解干货吧。
最近随着复杂的自动化任务的增加，robot 项目出现了很多问题，经常要人工智能，在上次清远漂流的时候，就是经常报警，而且基本都是我人工智能解决的。
在本节中，我们将解释什么是 clickjacking 点击劫持，并描述常见的点击劫持攻击示例，以及讨论如何防御这些攻击。
当我们说“前端安全问题”的时候，我们在说什么 “安全”是个很大的话题，各种安全问题的类型也是种类繁多。如果我们把安全问题按照所发生的区域来进行分类的话，那么所有发生在后端服务器、应用、服务当中的安全问
这一博客系列由四部分组成，将从高级体系结构到渲染流程的细节来窥探 Chrome 浏览器的内部。如果你曾对浏览器是如何将代码转化为具有功能的网站，或者你并不确定为何建议使用某一技术来提升性能，那么本系列就是为你准备的。
介绍一个服务器端自动向客户端推送信息的框架。在这之前先要了解几个东西，首先是comet comet介绍 基于 HTTP 长连接的“服务器推”技术，是一种新的 Web 应用架构。基于这种架构开发的应用中，服务器端会主动以异步的方式向客户端程序推送数据，而不需要客户端显式的发出请求。Comet 架构非常适合事件驱动的 Web 应用，以及对交互性和实时性要求很强的应用，如股票交易行情分析、聊天室和 Web 版在线游戏等。 服务器推送技术(Server Push)是最近Web技术中最热门的一个流行术语，它的别名
这是一个系列的文章，前面六篇文章的地址如下： 基于.net开发chrome核心浏览器【六】 基于.net开发chrome核心浏览器【五】 基于.net开发chrome核心浏览器【四】 基于.net开发chrome核心浏览器【三】 基于.net开发chrome核心浏览器【二】 基于.net开发chrome核心浏览器【一】 这篇文章和前面六篇文章关系不大，你如果懒得看前面六篇的话，从这一篇开始看也没问题 之前写的六篇文章，都是基于 Xilium
这一篇文章我们将来学习安全防范这一块的知识点。总的来说安全是很复杂的一个领域，不可能通过一篇文章就学习完。在这里，我们主要学习常见的一些安全问题及如何防范的内容。在当下，其实安全问题对前端开发已经越来越重要，已经逐渐成为前端开发必备的技能了。
DNS 服务器中以资源记录的形式存储信息，每一个 DNS 响应报文一般包含多条资源记录。一条资源记录的具体的格式为
事件触发一般来说会按照上面的顺序进行，但是也有特例，如果给一个 body 中的子节点同时注册冒泡和捕获事件，事件触发会按照注册的顺序执行。
本文讲述了一名技术社区的内容编辑人员，在浏览技术文章时，发现文章中包含了大量无用的信息，导致页面体积膨胀，影响阅读体验。文章作者通过技术手段，将文章中的无用信息去除，并将剩下的有效信息整理成缩略图，从而提高了文章的阅读体验。同时，文章作者还分享了一些在处理大量数据时，可以使用的工具和方法，帮助读者更好地处理类似的问题。
无论你触发了多少bug，最多导致浏览器崩溃，对系统影响不到哪去。 这就像二次元各种炫酷的毁灭世界，都不会导致三次元的世界末日。 然而，作为一个前端，我发现是有方式打开次元大门的…
Object.prototype.isPrototypeOf 使用Object的原型方法isPrototypeOf，判断两个对象的原型是否一样, isPrototypeOf() 方法用于测试一个对象是否存在于另一个对象的原型链上。
取消跨域限制、跨域名携带Cookie限制、跨域名操作iframe限制之后的Chrome可以更加方便Web前端开发，同时也可以作为一个完美的爬虫框架。
无论你触发了多少bug，最多导致浏览器崩溃，对系统影响不到哪去。 这就像二次元各种炫酷的毁灭世界，都不会导致三次元的世界末日。 然而，作为一个前端，我发现是有方式打开次元大门的......
在 Forcepoint，我们不断寻求改善我们产品所提供的防护。为此，我们经常研究不寻常或潜在新颖的攻击技术。最近的一个研究课题是从公网发起的针对 localhost 和内网的攻击。
在这个由4部分组成的系列文章中，我们将介绍Chrome浏览器从高级架构到渲染管道的具体细节。 如果你想知道浏览器是如何将你的代码转换为功能性网站的，或者你想知道为什么需要使用某些特定技术来提高性能，那么本系列非常适合你。
来源链接：https://www.brokenbrowser.com/loading-insecure-content-in-secure-pages/ 原作者：MagicMac 译：Holic (知道创宇404安全实验室) 毋庸置疑，当今网络正在向 HTTPS（安全）内容发展。至关重要的域名现在已经将他们的证书准备好了，他们的站点应该是有效且安全的。但是你是不是很好奇：到底能安全到何种程度？显然，通过 HTTPS 提供的内容是可以抵御中间人工具（MITM），网络嗅探/篡改等方面的攻击的。但是你有没有想过，
今天在github 上看到一个非常巧妙的项目：umpox/TinyEditor 使用简单的浏览器就能构造一个简单的实时运行代码的基于浏览器的前端编辑器，只需要很少代码；
在酷家乐云设计工具推出插件化二开系统之前，基于 HTTP 的 OpenAPI 已经运作多年，很多客户使用 OpenAPI 把我们的 SaaS 服务和自己的信息系统集成到了一起。这部分客户因此可以将自己的业务流程运行得更加简单和高效。这也是 OpenAPI 的特点，擅长在不同系统间做数据上的对接和系统的集成。而在另一方面，越来越多的需求指向了一个方向：客户希望在酷家乐中扩展功能。这让我们开始考虑为酷家乐提供一个插件系统，允许第三方开发者开发在酷家乐内运行的功能。我们在 2021 年启动了这个项目，并将这套插件系统取了个对外的名称，叫做酷家乐工具小程序。
在Node环境下，可以用Request模块请求一个地址，得到返回信息，再用正则匹配数据，或者用Cheerio模块包装-方便定位相关的标签项
作者：damyxu，腾讯 PCG 前端开发工程师 iframe是一个天然的微前端方案，但受限于跨域的严格限制而无法很好的应用，本文介绍一种基于 iframe 的全新微前端方案，继承iframe的优点，补足 iframe 的缺点，让 iframe 焕发新生。 背景 前端开发中我们对iframe已经非常熟悉了，那么iframe的作用是什么？可以归纳如下： 在一个web应用中可以独立的运行另一个web应用 这个概念已经和微前端不谋而合，相对于目前配置复杂、高适配成本的微前端方案来说，采用iframe方案具有
本文是笔者对Mario Kosaka写的inside look at modern web browser系列文章的翻译。这里的翻译不是指直译，而是结合个人的理解将作者想表达的意思表达出来，而且会尽量补充一些相关的内容来帮助大家更好地理解。
可以通过 omijs.org 或者 https://tencent.github.io/omi/ 找到入口。 动机 随着 IE 浏览器离我们远去，Web Components 的在浏览器端支持率越来越高。比如主流浏览器的新版本都支持: Safari 10+, IE 11+, Chrome, Firefox 和 Edge。来自大公司基于 Web Components 的框架有 google 的 Lit、microsoft 的 fast 以及 Tencent 的 OMI 等。 OMI 框架 OMI 是前
在HTML中，文档类型声明是必要的。 所有的文档的头部，你都将会看到”DOCTYPE” 的身影。 这个声明的目的是防止浏览器在渲染文档时，切换到我们称为“怪异模式(兼容模式)”的渲染模式。 “DOCTYPE” 确保浏览器按照最佳的相关规范进行渲染，而不是使用一个不符合规范的渲染模式。
本文先从第三方Javascript脚本的重要组成部分“投放代码”讲起。先从一个最例子看起：Google Analytics（以下简称GA），是Google提供的用于网站监测等一系列功能的服务。网站开发者将GA提供的投放代码放到自己网站上需要监测的页面（一般是全站添加）。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
