前段时间在使用 Travis CI 的时候发现它的部署日志包含了很多带色彩的日志。
JSX是快速生成react元素的一种语法，实际是React.createElement(component, props, ...children)的语法糖，同时JSX也是Js的语法扩展，包含所有Js功能。
如果直接将其作为某个元素的innerHTML，img的onerror回调执行JS代码的能力会带来XSS风险。
Virtual DOM是一棵以JavaScript对象作为基础的树，每一个节点可以将其称为VNode，用对象属性来描述节点，实际上它是一层对真实DOM的抽象，最终可以通过渲染操作使这棵树映射到真实环境上，简单来说Virtual DOM就是一个Js对象，是更加轻量级的对DOM的描述，用以表示整个文档。
例如：v-text(会进行一次转义，相比与v-html), v-html（不会转义）
XSS防护方法主要包括特殊字符转义和HTTPOnly。HTTPOnly上面已经介绍过，这里来介绍一下特殊字符转义。
React.js、Vue.js 这些现代的前端框架默认已经对安全做了非常多的考虑，但是这仍然不能阻碍我们写出一些安全漏洞 。。。因为框架永远不能完全限制我们编程的灵活性，只要有一定的灵活性存在就意味着有安全风险。
XSS攻击是Cross-Site Scripting的缩写，直白来说，就是页面被注入了恶意的代码——用户输入的内容跳出文本的限制，成了可执行的代码。
前端安全方面，主要需要关注 XSS（跨站脚本攻击 Cross-site scripting） 和 CSRF（跨站请求伪造 Cross-site request forgery）
上一篇文章介绍了 Django 视图的基础用法，当时提到了“响应HTML模版”，用到的方式是渲染一段 HTML 内容的字符串，这种方式很不方便。更方便的方法是在 .html 文件里写页面内容，然后渲染这个 .html 文件。这个 .html 文件也叫 HTML 模版，就是本文要讲解的内容。
上面的代码将path目录下的filename.ejs文件引入到当前文件中，并将data的值传入filename.ejs文件中。
普通变量直接嵌入 - var title = "On Dogs: Man's Best Friend"; - var author = "enlore"; - var theGreat = "转义!"; h1= title p #{author} 笔下源于真情的创作。 p 这是安全的：#{theGreat} 等价于--> On Dogs: Man's Best Friend enlore 笔下源于真情的创作。 这是安全的：<span&
enlore 笔下源于真情的创作。
这是安全的：<span&
不同于一般函数形如fn(argA, argB)的执行方式，标签函数可以直接跟在模版字符串前面，比如：
Uncaught ReferenceError: M43445 is not defined at HTMLButtonElement.onclick (test.html:128)
课程地址：https://www.imooc.com/learn/980 教程：https://cn.vuejs.org/v2/guide 放在头部，避免页面出现抖屏 挂载点 下面是原生 模板 <
当当当当，我是美团技术团队的程序员鼓励师美美～“基本功”专栏又来新文章了，这次是一个系列，一起来学习前端安全的那些事。我们将不断梳理常见的前端安全问题以及对应的解决方案，希望可以帮助前端同学在日常开发中不断预防和修复安全漏洞，Enjoy Reading！
之前的一个项目里面就实用到这个前台的渲染模版，当时挺忙的也没时间抽出时间总结一下，刚好上周项目里又用到这个轻量型的渲染模版，真心感觉非常好用，因此就总结一下使用心得，算是一个入门级别的指引吧。
作者： zifanwang 发布于2020-05-09
一、介绍 本文提供了一种通过使用输出转义/编码来防止XSS攻击的简单有效模型。尽管有着庞大数量的XSS攻击向量，依照下面这些简单的规则可以完全防止这种攻击。这篇文章不会去研究XSS技术及业务上的
//第一步：编写模版。你可以使用一个script标签存放模板，如： <script id="demo" type="text/html"> {{ d.title }} {{# layui.each(d.list, function(index, item){ }} {{ item.modname }} {{ item.alias }}： {{ item.site || '' }} {{# }); }} {{# if(d.list.length === 0){ }} 无数据 {{# } }} </script>
Pug是一款健壮、灵活、功能丰富的HTML模板引擎,专门为 Node.js 平台开发。Pug是由Jade 改名而来。
加载固定资源js与css <script src="@Url.Content("~/Scripts/js/jquery.min.js")" type="text/javascript"></scrip
使用jsp、php、asp或者后来的struts等等的朋友，不一定知道什么是模版，但一定很清楚这样的开发方式：
Less 是一门 CSS 预处理语言,它扩展了 CSS 语言,增加了变量、Mixin、函数等特性。Less 可以运行在 Node 或浏览器端。
XSS为跨站攻击脚本，指攻击者将js脚本(可能是其他脚本)插入到web页面，当用户浏览该网页是，代码就会执行，造成恶意攻击。
有时候我们可能需要向html中传递html代码。但是因为我们的后台框架使用了laravel。所以我们在赋值的时候就会变成:
转义只是防止xss攻击的一种手段之一，更多请查看：《web开发前端安全问题总结——web前端安全问题汇总》
Tailwind CSS 是一个功能类优先的 CSS 框架，它集成了诸如 flex, pt-4, text-center 和 rotate-90 这样的的类，它们能直接在脚本标记语言中组合起来，构建出任何设计
之前已经发过这个流程图，下面来回顾一下，特别需要注意的是项目和组件的流程有一些区别。
hash模式对应的路由是类似于这个样子的 http://localhost:8080/#/about
一本正经的胡写代码，不至于用来陷害队友，更重要的是防止队友耍(装)帅(逼)滑自己。
使用react开发网页的话，我们难免会下载两个包，一个是react，一个是react-dom，其中react是react的核心代码。react的核心思想是虚拟Dom，其实虚拟Dom改变没有那么复杂，简单而言就是一个js的对象来表达一个dom包含的东西，例如如下代码：
本质上是 JavaScript 对象，这个对象就是更加轻量级的对 DOM 的描述。
完整的HTTP报文由头部、空行、正文三部分组成。目前最广泛使用的是HTTP1.1。
前面的篇章Vue 使用 v-cloak 解决由于网络延迟导致的数据渲染显示问题，那么这里面也介绍了插值表达式的使用。
内容整理自 2014 年的 OSCON - React Architecture by vjeux(https://speakerdeck.com/vjeux/oscon-react-architecture)，虽然从今天（2018）来看可能会有点历史感，但仍然值得学习了解。以史为鉴，从中也可以管窥 Facebook 优秀的工程管理文化。
之前开源的单用户客服系统，上传附件成功后，还不能展示出文件形式，今天把上传展示出文件形式给开发完善一下。
作为程序员，大家都应该比较烦的事情就是将相同的代码块复制到N多个地方，但是这种情况有不可避免。为了解决这个问题，我希望实现的是直接将对应的模块提前在编辑器中编辑好，然后用一两个字母提示就能将这个模块调用。最后就找到了HBuilder，因为HBuilder最大的特点就是编辑快，快的原因就是他能实现将我们常用代码模块化。（说到这里我不得不吐槽一下他的智能提示，真心做的很差，在同类软件中我可以说他的只能提示是最差的，没有之一。连常用词汇排在第一个这么简单的功能都没做，真心无语。）但是好处就是他可以用---扩展代码块---这个功能不全。废话不多说，直接来功能！
前几天听一个朋友说到 snowpack, 便去去看了下这个包是干什么的，看了下官网，发现这个东西还是蛮有意思的。号称 无需打包工具（Webpack，Parcel）便能将代码结果实时展现在浏览器中。可以先看以下的图，是不是很诱人？
基本要求 一个riot标签，就是展现和逻辑的组合（也就是html和JS） 以下是编写riot标签最基本的规则： 先撰写HTML，再撰写JS，JS代码可以写在<script>标签内部，但这并不是必须的； 当riot标签定义在document body之内时，其内部不能使用script标签； 当riot标签定义在单独的文件中时，其内部才可以使用script标签； 如果JS代码没有写在<script>标签内部， 那我们就认为最后一个HTML标签结尾之后就是JS代码； riot标签可以是空的，或者只有HTML，或者
模态框（Modal）是覆盖在父窗体上的子窗体。通常，目的是显示来自一个单独来源的内容，使用户可以在不离开父窗体的情况下有一些互动，比如提供信息、交互等。
CSS补充之--页面布局 主站一：（下面是一个大致的模板） <div style="width: 1200px;margin: 0 a07
跨站脚本（Cross-site scripting，简称为：CSS, 但这会与层叠样式表（Cascading Style Sheets，CSS）的缩写混淆。因此，跨站脚本攻击缩写为XSS）是一种网站应用程序的安全漏洞攻击。
AntDesign-React与VUE有点不一样，第一篇深入了解React的概念之一：JSX
本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途。
当模版引擎遇到一个变量，它将计算这个变量，然后用结果替换掉它本身。 变量的命名包括任何字母数字以及下划线 ("_")的组合。 变量名称中不能有空格或标点符号。
文档：http://aui.github.io/art-template/zh-cn/
vue 中有这样一张响应式系统的流程图，vue 会将模板语法编译成 render 函数，通过 render 函数渲染生成 Virtual dom，但是官方并没有对模板编译有详细的介绍，这篇文章带大家一起学习下 vue 的模板编译。
这里为什么会用到在线编辑功能呢？有这样的一个文件管理系统，实时上传js、css、html、shtml、txt等格式文件及文件夹，但是有时候发现上传的文件内容上有不对的地方，如果按传统的下载文件到本地，打开文件编辑保存，再次上传文件到对应路径这样一套操作下来的话会比较麻烦，耽误时间，而如果可以在线编辑有内容问题的文件的话，就可以省去很多步骤，直接在线修改并保存文件就可以了，是不是很方便，于是就产生了在线编辑的需求。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
