根据文章内容为读者提供摘要总结。
上篇文章写到了一个亲自测试的demo，其中有一个地方讲到了“html字符实体”，这是上次xss成功需要知道的非常重要的一个小知识。不仅html字符实体，要继续学习xss需要了解很重要的一个知识就是编码。不然很多时候遇到各种对特殊字符的过滤可能就无能为力了。这篇文章就是要学习一下xss各种编码的知识，内容可能比较枯燥～～
作者 0xExploit 0×00 引言 很多不了解html、js编码的童鞋挖掘xss漏洞时，都是一顿乱插，姿势对了，就能获得快感，姿势不对，就么反应。另外在freebuf里，有很多文章介绍过跨站编码，有兴趣的，可以搜索下。 本文介绍常见的编码方法，能力不足，如有其他意见，请指正。 0×01 常用编码 URL编码：一个百分号和该字符的ASCII编码所对应的2位十六进制数字，例如“/”的URL编码为%2F(一般大写，但不强求) HTML实体编码： 命名实体：以&开头，分号结尾的，例如“<”的编码是“<”
在以往的培训和渗透过程中，发现很多渗透人员尤其是初学者在挖掘xss漏洞时，很容易混淆浏览器解析顺序和解码顺序，对于html和js编码、解码和浏览器解析顺序、哪些元素可以解码、是否可以借助编码绕过等情况也基本处于混沌的状态，导致最终只能扔一堆payload上去碰碰运气。这篇文章就把浏览器解析顺序、编码解码的类型、各种解码的有效作用域以及在xss里的实战利用技巧做一个系统总结，让你深度掌握xss挖掘和绕过。
以北京市为例，级别编码变为1，北京市的区域编码作为查询条件的父级编码，依次类推即可
前端开发过程中会接触各种各样的编码，比较常见的主要是UTF－8和HTML实体编码，但是web前端的世界却不止这两种编码，而且编码的选择也会造成一定的问题，如前后端开发过程中不同编码的兼容、多字节编码可能会造成的XSS漏洞等。因此，本文旨在更好的全面了解涉及前端开发领域的字符编码，避免可能出现的交互和开发中的忽视的漏洞。 ---- URL编码 我曾经在URL编码解码和base64一文中讲述了URL编码中的三组函数，并对比了这三组函数与base64编码的关系，在此简要说明一下。 escape/unescape
我这里以Java实现的，单表查询就不贴具体代码了，这里只展示具体返回的json格式数据和入参数据
react是前端三大开发框架之一，是一套UI引擎，是DOM的抽象层，并不是web应用的完整解决方案。它遵循组件设计模式、声明式编程范式和函数式编程的概念，使用虚拟DOM有效的操作DOM，并且遵循从高阶组件到低阶组件的单向数据流，从而使前端应用程序达到高效。
前端安全方面，主要需要关注 XSS（跨站脚本攻击 Cross-site scripting） 和 CSRF（跨站请求伪造 Cross-site request forgery）
二维码又称QR Code，是一个近几年来移动设备上很流行的一种编码方式它比传统的一维码（条形码）能存更多的信息，也能表示更多的数据类型。按照一定规律排列组成的几何图形构成，它巧妙地利用构成计算机内部逻辑基础的“0”、“1”比特流的概念
在XSS的时候，有时候有的过滤器很变态，会过滤很多特殊符号和关键词，比如&、(、)、#、'、"，特别是&和括号，少了的话payload很难构造出来。
在如下的HTML/JSP源代码中，有特殊字符（比如说，html标签，</textarea>）
这里的URL编码，也是两次URL全编码的结果。如果alert被过滤，结果为%25%36%31%25%36%63%25%36%35%25%37%32%25%37%34。 在使用XSS编码测试时，需要考虑HTML渲染的顺序，特别是针对多种编码组合时，要选择合适的编码方式进行测试。
reverse----把元素下标进行互换，将原数组的元素进行反转，会改变原数组，并且反转后，还会返回一个数组
JSLint真是一个强大的工具。之前只是关注它对Javascript的作用方面，其实它同样可以检验HTML代码以及内联的Javascript代码。
本文仅仅介绍了常见的一些JS加密，并记录了JS和Python的实现方式 常见的加密算法基本分为这几类： (1)base64编码伪加密 (2)线性散列算法（签名算法）MD5 (3)安全哈希算法 SHAI (4)散列消息鉴别码 HMAC (5)对称性加密算法 AES，DES (6)非对称性加密算法 RSA
需要注意的是，在组件化开发方面，fis是不建议使用“资源嵌入”的方式作为组件化拆分的手段，后面讲到的“声明依赖”能力会更适合组件化开发。
JavaScript 简称“JS”，是一种脚本编程语言，它灵活轻巧，兼顾函数式编程和面向对象编程，是 Web 前端开发的唯一选择。JavaScript 还有很多框架，比如 jQuery、AngularJS、React 等，它们这是学习 JavaScript 的重要内容。 JavaScript 最初只能运行于浏览器环境，用于 Web 前端开发，后来有“好事”的程序员将 JavaScript 从浏览器中分离出来，搞了一套独立的运行环境，所以现在的 JavaScript 也能用于网站后台开发了。学了 JavaScript，你就是全栈工程师。
把php作为html前端页面的控制脚本时，时常需要在前台显示某些东西。比如使用echo输出。最近项目上有这么个需求，本人使用了echo "<script </script "这样的代码，在本地调试完全正常，但是一部署到服务器，js输出到前台就显示乱码。从网上找了一下，有人说可以设置<script type="charset:utf-8;" </script ，但是这么设置后，发现问题依然在。分析，乱码之所以存在，就是页面编码与浏览器显示编码不一致，或者说，前端html页面与后台控制页面编码不一致。于是，首先设置php编码，使用header函数，header("Content-type:text/html;charset:utf-8")。然后刷新浏览器，正常显示。说明应该是php编码与浏览器解析页面编码不一致。
过滤，顾名思义，就是将提交上来的数据中的敏感词汇直接过滤掉。例如对"<script>"、""、""等标签进行过滤，有的是直接删除这类标签中的内容，有的是过滤掉之类标签中的on事件或是'javascript'等字符串，让他们达不到预期的DOM效果。
在第二期中，我们对html做了入门，已经有了对网页开发基本的了解。本节知识开始书写html网页结构。
作者：一点一滴的Beer 个人主页:http://www.cnblogs.com/beer
Web前端作为开发团队中不可或缺的一部分，需要按照相关规定进行合理编写（一部分不良习惯可能给自己和他人造成不必要的麻烦）。不同公司不同团队具有不同的规范和文档。下面是根据不同企业和团队的要求进行全面详细的整理结果。备注：实际开发请以本公司的规范为标准。
本篇包含了XSS漏洞攻击及防御详细介绍，包括漏洞基础、XSS基础、编码基础、XSS Payload、XSS攻击防御。
最近在一个项目遇到了需要全部适用UTF-8编码来制作页面的问题，发现有时浏览器并不那么听话，于是写了一段自动检测并且设置浏览器编码的程序，非常简单，具体方法如下：
Java Source File 中Default encoding 改写成UTF-8(你所需的编码类型) 然后Update，OK确定就可以了。
作 者 牛志恒，腾讯互娱开发工程师 商业转载请联系腾讯WeTest获得授权，非商业转载请注明出处。 WeTest 导读 本篇包含了XSS漏洞攻击及防御详细介绍，包括漏洞基础、XSS基础、编码基础、XSS Payload、XSS攻击防御。 第一部分：漏洞攻防基础知识 XSS属于漏洞攻防，我们要研究它就要了解这个领域的一些行话，这样才好沟通交流。同时我建立了一个简易的攻击模型用于XSS漏洞学习。 1. 漏洞术语 了解一些简单术语就好。 VUL Vulnerability漏洞，指能对系统造成损坏或能借之攻
因为业务需要，我要在第一个webview截获一个url，这个url有js调oc传的参数，然后在另一个webview里进行加载，这时候出现错误101。
最近测试MM反映查看Log的时候会在有些请求中看到“+”，但是最后的结果却没有问题。当时感觉很诡异，走读代码定位发现是因为调用了java.net.URLEncoder的方法出现。后来研究发现才发现没这么简单啊。 总结：在HTML4.0.1中，基于RFC-1738标准，‘ ’在URL编码以后为 ‘+’，只有JS中由于基于RFC-2396标准，‘ ’在URL编码以后为‘%20’。 java代码： 代码片段： String tempString = "Hello, World!"; Stri
escape() 函数可对字符串进行编码，这样就可以在所有的计算机上读取该字符串。
JSON - https://www.cnblogs.com/lanston1/p/11024147.html
RPO (Relative Path Overwrite) 相对路径覆盖，最早由 Gareth Heyes 在其发表的文章中提出。主要是利用浏览器的一些特性和部分服务端的配置差异导致的漏洞，通过一些技巧，我们可以通过引入相对路径来引入其他资源文件，以达到我们的目的。
如今已然是大数据时代，数据正在驱动着业务开发，驱动着运营手段，有了数据的支撑可以对用户进行用户画像，个性化定制，数据可以指明方案设计和决策优化方向，所以互联网产品的开发都是离不开对数据的收集和分析，数据收集的一种是方式是通过上报API进行自身平台用户交互情况的捕获，还有一种手段是通过开发爬虫程序，爬取竞品平台的数据，后面就重点说下爬虫的应用场景和实践中会遇到的问题和反反爬虫的一些套路与技巧。
回到上一篇我讲的不变前端中，我在文章中明显的指出了，前端的变化会有一个分界线，在这个分界线之前，前端有一个最大的困境，就是：
<meta name=“viewport” content=“width=device-width, initial-scale=1.0”>
省略外链资源（图片及其它媒体资源）URL 中的 http / https 协议，使 URL 成为相对地址
为什么要在这个时候探索flv.js做直播呢？原因在于各大浏览器厂商已经默认禁用Flash，之前常见的Flash直播方案需要用户同意使用Flash后才可以正常使用直播功能，这样的用户体验很致命。 在介绍flv.js之前先介绍下常见的直播协议以及给出我对它们的延迟与性能所做的测试得出的数据。 如果你看的很吃力可以先了解下音视频技术的一些基础概念。 常见直播协议 RTMP: 底层基于TCP，在浏览器端依赖Flash。 HTTP-FLV: 基于HTTP流式IO传输FLV，依赖浏览器支持播放FLV。 WebSocke
HttpServletRequest对象代表客户端的请求，当客户端通过HTTP协议访问服务器时，HTTP请求头中的所有信息都封装在这个对象中，通过这个对象提供的方法，可以获得客户端请求的所有信息。
3.1.原生JavaScript操作DOM繁琐、效率低( DOM-API操作UI)。
对于一个多人团队来说，制定一个统一的规范是必要的，因为个性化的东西无法产生良好的聚合效果，规范化可以提高编码工作效率，使代码保持统一的风格，以便于代码整合和后期维护。
前端这个岗位的出现最根本的原因是互联网的出现，浏览器是最早互联网的唯一入口。人们通过浏览器浏览各种不同网站的内容。这些内容来自服务器中，但浏览器从服务器拿到这些内容之后，应该怎么展示给用户，这就是前端的职责。所以，最早的时候前端工作者本质上做的是告诉浏览器怎么展示数据。
仿佛奇怪的问题总是喜欢找上那些初学者。当我在学习制作网页的时候，经常遇到一些很特别的问题。例如：刚刚添加的样式不起作用、jQuery 的代码老是不起作用等等，这些问题往往是不关注细节导致的。而今天我要谈的这个细节，就是关于网页中代码的顺序。没错，代码也是有顺序的，顺序不对有可能会出现一些意外的情况。
笔者之前做一个实时监控应用的时候，曾搜索过一些将 iPhone 的摄像头拍摄的画面实时传输到浏览器的方案，一个都没有。
XSS攻击是指在网页中嵌入一段恶意的客户端Js脚本代码片段，JS脚本恶意代码可以获取用户的Cookie、URL跳转、内容篡改、会话劫持……等。
适用于前端开发团队规范为参考规范，不全是硬性要求，统一团队编码规范和风格。让所有代码都是有规可循的，并且能够获得沉淀，减少重复劳动。
考试压缩包提供：antd.min.css、antd.min.js、vue.min.js。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
