在《8大前端安全问题（上）》这篇文章里我们谈到了什么是前端安全问题，并且介绍了其中的4大典型安全问题，本篇文章将介绍剩下的4大前端安全问题，它们分别是： 防火防盗防猪队友：不安全的第三方依赖包 用了HTTPS也可能掉坑里 本地存储数据泄露 缺乏静态资源完整性校验 ---- 防火防盗防猪队友：不安全的第三方依赖包 现如今进行应用开发，就好比站在巨人的肩膀上写代码。据统计，一个应用有将近80%的代码其实是来自于第三方组件、依赖的类库等，而应用自身的代码其实只占了20%左右。无论是后端服务器应用还是前端应用开发
当我们说“前端安全问题”的时候，我们在说什么 “安全”是个很大的话题，各种安全问题的类型也是种类繁多。如果我们把安全问题按照所发生的区域来进行分类的话，那么所有发生在后端服务器、应用、服务当中的安全问
相信大家对前端漏洞的成因和攻击方式都有一定的了解。只有熟悉了“进攻”，才能对防守有更深的理解。毕竟防守永远比进攻难。接下来，我们将进入详细研究。防御前端攻击主要有三个角度。
事实是这样的：如果你不了解这些研究对象是不可能搞好安全研究的。 这样看来，Web有八层（如果把浏览器也算进去，就九层啦，九阳神功……）！！！每层都有几十种主流组件！！！这该怎么办？ 别急，一法通则万法通，这是横向的层，纵向就是数据流啦！搞定好数据流：从横向的层，从上到下→从下到上，认真看看这些数据在每个层是怎么个处理的。 数据流中，有个关键的是HTTP协议，从上到下→从下到上的头尾两端（即请求响应），搞通！难吗？《HTTP权威指南》720页！！！坑爹，好难！！！ 怎么办？ 横向那么复杂、纵向数据流的HTTP协议就720页的书！！！放弃好了…… 不，千万别这样。 给你点信心是：《HTTP权威指南》这本书我压根没看过。但是通过百度/Google一些入门的HTTP协议，我做了大概了解，然后Chrome浏览器F12实际看看“Network”标签里的HTTP请求响应，不出几小时，就大概知道HTTP协议这玩意了。（这是快速研究的精髓啊） 搞明白HTTP协议后，你就会明白安全术语的“输入输出”。 黑客通过输入提交“特殊数据”，特殊数据在数据流的每个层处理，如果某个层没处理好，在输出的时候，就会出现相应层的安全问题。 精彩举例：
在密码学的世界里加密之前的消息被称为明文 plaintext，加密之后的消息被称为密文 ciphertext，如果一段密文需要被解密再阅读，这个过程被称之为 decrypt，反之一段 plaintext 需要被加密，这个过程被称之为 encrypt。那么在处理这些问题的过程（解决加密/解密的步骤）通常被称之为 算法，加密算法和解密算法被组合起来叫 密码算法。
一、HTML、CSS基础、JavaScript语法基础。 二、JavaScript语法进阶。包括：作用域和闭包、this和对象原型等。 三、ES6语法。这部分属于JS新增的语法， promise、async 等内容要尤其关注。 四、HTML5和CSS3。要熟悉其中的新特性。 五、canvas。加分项。 六、移动Web开发、Bootstrap等。要注意移动开发中的适配和兼容性问题。 七、前端框架：Vue.js和React。这两个框架至少要会一个。入门时，建议先学Vue.js，上手相对容易。但无论如何，同时掌握 Vue 和 React 才是合格的前端同学。 八、Node.js。属于加分项。 九、自动化工具：构建工具 Webpack、构建工具 gulp、CSS 预处理器 Sass 等。注意，Sass 比 Less 用得多，gulp 比 grunt 用得多。 十、前端综合：HTTP协议、跨域通信、安全问题（CSRF、XSS）、浏览器渲染机制、异步和单线程、页面性能优化、防抖动（Debouncing）和节流阀（Throtting）、lazyload、前端错误监控、虚拟DOM等。 十一、编辑器相关。Sublime Text 是每个学前端的人都要用到的编辑器。另外，前端常见的IDE有两个：WebStorm 和 Visual Studio Code。WebStorm 什么都好，可就是太卡顿；VS Code就相对轻量很多。 十二、TypeScript（简称TS）。ES 是 JS 的标准，TS 是 JS 的超集。TS属于进阶内容，建议把上面的基础掌握之后，再学TS。
前沿：这周慢更了，但树酱还是来了，上周分享了他关于前端的知识体系构建上篇传送门，主要包括Vue、Node、前端工程化模块、性能优化等四大模块，这篇主要跟你聊聊关于安全、设计模式、微前端等方面的知识体系构建 1 安全 前端安全问题有哪些呢？比如发生在生浏览器、单页面应用中的，常见的前端安全攻击有：XSS(跨站脚本攻击)、CSRF（跨站请求伪造）、站点劫持等。正因为这些漏洞的存在，我们才需要根据不同的安全问题制定安全策略应对措施 1.1 XSS 1.1.1 关于XSS XSS 全称叫 Cross
最近，有两幅关于 Vue 安全问题的截图在业界广为传播，截图内容表明目前有多家公司统计软件开发过程中使用 Vue.js 和 SonarQube 的情况，疑似有黑客利用 Vue.js 和 SonarQube 中的漏洞对我国境内机关和重要企事业单位实施网络攻击探测。
web攻击的一种，通过对网页注入可执行代码（html代码或JS代码）成功被浏览器执行
首先，请确保已经安装了代码编辑器和浏览器，如果没有安装推荐安装VSCode和Chrome浏览器。
如果你是使用Burp Suite来进行测试，就可以通过多种方式来收集应用程序中的所有JavaScript文件。这也是俺比较喜欢的一种方式
小程序开发，必然会用到JS编程，如果在发布时，JS代码未经过混淆加密处理，是不安全、不专业的。 当使用安全诊断工具进行检测，会检出高危风险。如下几图所示：
安全问题的分类 按照所发生的区域分类 后端安全问题：所有发生在后端服务器、应用、服务当中的安全问题 前端安全问题：所有发生在浏览器、单页面应用、Web页面当中的安全问题 按照团队中哪个角色最适合来修复安全问题分类 后端安全问题：针对这个安全问题，后端最适合来修复 前端安全问题：针对这个安全问题，前端最适合来修复 综合以上 前端安全问题：发生在浏览器、前端应用当中或者通常由前端开发工程师来对其进行修复的安全问题 浏览器安全 同源策略 是一种约定，是浏览器最核心也最基本的安全功能，限制了来自不同源的docum
戳蓝字“IMWeb前端社区”关注我们哦！ 文/uknowzheng 腾讯MIG事业群——前端开发 工程师 1写在前面 本人从android开发转前端后，半年的前端开发经历，总结一下前端的学习思路以及后续方向。这个过程虽然也没做什么牛逼的大项目，过程中总结了一些学习的想法，所以分享下前端开发学习相关的东西。当然本文不是教你写代码，只是告诉你大概的一个学习的脚手架。 （左右滑动查看代码） 2浏览器内核背景 谈谈前端的学习，就离不开运行所在的环境的发展，下面简单介绍下浏览器的内核的一个结构以及情况，这样可以更好
导读 本人从android开发转前端后，半年的前端开发经历，总结一下前端的学习思路以及后续方向。这个过程虽然也没做什么牛逼的大项目，过程中总结了一些学习的想法，所以分享下前端开发学习相关的东西。当然本文不是教你写代码，只是告诉你大概的一个学习的脚手架。 作者：郑潇乾--腾讯移动端开发工程师 @IMWeb前端社区 1.浏览器内核背景 谈谈前端的学习，就离不开运行所在的环境的发展，下面简单介绍下浏览器的内核的一个结构以及情况，这样可以更好的帮助你了解学前端会遇到哪些问题，如何去解决。 浏览器内核结构： 渲染引擎
经济学中的“有需求就有市场”，在技术领域也不例外，Electron 是应需求而生的，Electron 面世之后，非但满足了现有大部分的开发需求，还创造了大量的新需求，开辟了一个新的生态。
简介：Artalk 是一款简洁的自托管评论系统，你可以在服务器上轻松部署并置入前端页面中。 官网：https://artalk.js.org/
当我们初始化一个对象obj为{}时候,obj.a这个时候是undefined.我们打印obj.a可以得到undefined,但是我们打印obj.a.c的时候，就会出现上面的错误。js对象中的未初始化属性值是undefined,从undefined读取属性就会导致这个错误(同理，null也一样)
在现在这个H5流行的时代，作为测试人员不能仅仅依赖UI的反馈来确定问题，掌握前端调试的方法是分层测试技术中的最前端。理解、分析、定位前端工作原理，可以有效的提高测试效率并且准确提交缺陷报告。
做前端开发经常会碰到各种跨域问题，通常情况下，前端除了 iframe 、script 、link、img、svg 等有限的标签可以支持跨域外（这也与这些标签的用途有关），其他的资源都是禁止跨域引用的。说到跨域，与浏览器的同源策略是密不可分的。那我们先来理解一下浏览器为什么要设置同源策略。
回馈社会，腾讯暑期实习三面面经，正在等hr面试。。。 3.16 晚上8点 一面 电面 40分钟 1.自我介绍 2.position属性 比较 3.浮动清除 4.css3新特性 5.js判断类型 6.数组常用方法 7.数组去重 8.闭包 有什么用 9.addEventListener参数 10.事件代理在捕获阶段的实际应用 11.去除字符串首尾空格 12.cookie sessionStorage localStorage 区别 13.cookie session区别 14.安全问题 15.ajax返回的状态
安全，特别是软件代码安全，近年来被业内人士频繁提出，可见其受重视程度。而这些，起源与全球化的开源大生产。
objc和js这两者有个有意思的对比：变量/方法命名的风格正好相反。苹果一直鼓吹用户体验，写代码也不例外，程序命名都是用英文全称并且要多详细有多详细，力求看变量和方法名就能知道是干嘛的，例如application:didFinishLaunchingWithOptions:。而js因为每次都要从网络下载，要力求减少代码体积，所以变量方法名是尽量用缩写，实际上有代码压缩工具，无论变量名写多长最终上线的效果是一样的，但大家也都习惯了用短的命名，例如上述objc的application:didFinishLaunchingWithOptions:方法在js里习惯的命名是:$()。
随着深入使用ASP.NET Web Api，我们可能会在项目中考虑将前端的业务分得更细。比如前端项目使用Angularjs的框架来做UI，而数据则由另一个Web Api 的网站项目来支撑。注意，这里是两个Web网站项目了，前端项目主要负责界面的呈现和一些前端的相应业务逻辑处理，而Web Api则负责提供数据。 这样问题就来了，如果前端通过ajax访问Web Api项目话，就涉及到跨域了。我们知道，如果直接访问，正常情况下Web Api是不允许这样做的，这涉及到安全问题。所以，今天我们这篇文章的主题就是讨论演
JS开发的WEB应用和PHP，JAVA,NET等区别在于即没有源代码，也可以通过浏览器的查看源代码获取真实的点。获取URL，获取JS敏感信息，获取代码传参等，所以相当于JS开发的WEB应用属于白盒测试（默认有源码参考），一般会在JS中寻找更多的URL地址，在JS代码逻辑（加密算法，APIkey配置，验证逻辑等）进行后期安全测试。
首先，从产品人员这里，如果一开始就不信任开发人员，总想把东西往简单了说，或者排上了时间又插需求，那么开发人员也会产生相应的不信任：反正你是要插需求的，不多估算点时间怎么行？
前端架构师,听起来就是个很高大上的职位，在大多数程序员的眼中，架构师一般从事后端开发，Java或者C++出身，它们往往拥有这十八般武艺，可以解决业务中出现的各种问题。好像架构师就从来没有和前端有过关系，那么真的是这样么，通读此文，便可豁然开朗。
前后端分离是一种架构模式，说通俗点就是后端项目里面看不到页面（JSP|HTML）,后端给前端提供接口，前端调用后端提供的REST风格接口就行，前端专注写页面（html|jsp）和渲染（JS|CSS|各种前端框架）；后端专注写代码就行。前后端分离的核心：后台提供数据，前端负责显示
web开发经历了很漫长的时间，在国内也快有十几年的时间了。从最开始的进程级到现在的MVC经历了很多的改进和优化，本篇就主要复习了解下Spring MVC相关的知识。 发展历程 第一阶段 CGI进程
Node.js是一个开源的、跨平台的JavaScript运行环境，用于在服务器端运行JavaScript代码。它使得开发人员可以使用JavaScript来编写服务器端应用程序，从而简化了开发过程，提高了开发效率。
web开发经历了很漫长的时间，在国内也快有十几年的时间了。从最开始的进程级到现在的MVC经历了很多的改进和优化，本篇就主要复习了解下Spring MVC相关的知识。 发展历程 第一阶段 CGI进程响应
笔者从事后台研发多年，对前端实在是没有多少发言权，下面就斗胆以门外汉的角度聊聊近来对前端技术的一些见解，也自当整理一下思路，使前端技术如何更好的融入到整个产品研发架构中来。这里的前端语言不仅限于js，还是css,html等等。
之前就有同学提问，如何让自己的小程序代码不被别人恶意反编译呢？社区里也有很多类似的投诉，辛辛苦苦做的小程序UI设计都被别人抄了去，一直没有很好的解决办法。
在单页应用程序（SPA）出现之前，Web应用程序通常是多页的。每当用户与应用程序交互时，服务器都会发送一整页新的内容，浏览器需要重新加载整个页面。这种频繁的页面刷新不仅拖慢了速度，还导致了不流畅的用户体验。当时的应用程序主要使用PHP、Ruby on Rails、ASP.NET等服务器端技术生成HTML代码，并将其发送到浏览器。
一般的资源文件（考虑HTML应该用协商缓存，一般不会放在CDN上）都会存放在CDN上，那么，资源请求会直接访问CDN服务（图以阿里云为例）。
前端一般会面临 XSS 这样的安全风险，但随着 React 等现代前端框架的流行，使我们在平时开发时不用太关注安全问题。以 React 为例，React 从设计层面上就具备了很好的防御 XSS 的能力。本文将以源码角度，看看 React 做了哪些事情来实现这种安全性的。
本文主要应对与web端数据的防採集（接口数据加密方面）
keywords: service work 和前端缓存 && http 请求头和响应头，状态码 && 白屏优化方案
点击上方“芋道源码”，选择“设为星标” 管她前浪，还是后浪？ 能浪的浪，才是好浪！ 每天 10:33 更新文章，每天掉亿点点头发... 源码精品专栏 原创 | Java 2021 超神之路，很肝~ 中文详细注释的开源项目 RPC 框架 Dubbo 源码解析 网络应用框架 Netty 源码解析 消息中间件 RocketMQ 源码解析 数据库中间件 Sharding-JDBC 和 MyCAT 源码解析 作业调度中间件 Elastic-Job 源码解析 分布式事务中间件 TCC-Transaction
摘要：既然漏洞理应存在于所有语言之中，那么面对完全陌生的全新语言，有哪些思路可以帮助我们察觉漏洞？本文将帮助你更深刻地领悟漏洞的成因，提升代码审计水平。
下面我们来具体看看这几个漏洞形成的原因和解决方法。首先让我们来回顾一下网络安全的三要素。
一.整体情况 现代应用程序看起来更像这个： 最常见的相互作用： 浏览器与Web应用程序的通信 Browser -> Web App Web应用程序与Web API通信 基于浏览器的应用程序与Web A
Appscan是Web端安全测试工具，它只关心应用层的安全问题，也就是说产品开发好后才可以进入测试，相对来说，测试介入的时间偏晚。
智造喵GPT地址： https://chat.plexpt.com/i/511440
在知乎上也看到过很多开发者预测 2022 的趋势，由于是开发者所以在聊趋势的时候聊得比较细，另外可能国内的趋势比较多，这篇文章我觉得更多的是站在一个公司或者一个决策者层面需要关注的趋势。
伴随着互联网的飞速发展，web中对于前端的要求越来越高，前端的代码的代码量、复杂度与日俱增，带来了诸如前端代码复用率低，难维护等问题。针对这些现有问题，达观科技采用了requirejs框架，用模块化的思想去解决这些问题。(达观数据 施列宇) 一、什么是模块化 模块化是一种将复杂系统拆分成一个个小的可管理的模块的方式。它可以把系统拆分为职责更单一，更独立的模块，也就是我们软件设计中常常提到的高内聚低耦合的模块。一般来说，前端模块化包含javascript，css以及template三个部分。 二、为什么要将前
原文地址：Your Node.js authentication tutorial is (probably) wrong 我搜索了大量关于 Node.js/Express.js 认证的教程。所有这些都是不完整的，甚至以某种方式造成安全错误，可能会伤害新用户。当其他教程不再帮助你时，你或许可以看看这篇文章，这篇文章探讨了如何避免一些常见的身份验证陷阱。同时我也一直在 Node/Express 中寻找强大的、一体化的解决方案，来与 Rails 的 devise 竞争。 更新 (8.7): 在他们的教程中，R
本篇文章主要说一下应用测评中身份鉴别控制点中b、c、d测评项的相关知识点和理解，以及高风险判定方面的内容。 注：下文的应用系统不特别指都就默认为属于B/S架构。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
