Web安全与防御策略
Web安全是前端开发中不可忽视的重要环节，掌握常见的安全漏洞和防御措施是面试必考内容。以下是Web安全相关的核心面试题。
XSS跨站脚本攻击
什么是XSS攻击？如何防御？
XSS攻击是指攻击者在网页中注入恶意脚本，当用户浏览该页面时，脚本会被执行，从而盗取用户信息或进行其他恶意操作。防御措施包括：对用户输入进行HTML转义、使用Content Security Policy（CSP）策略、对输出到页面的内容进行编码处理、避免使用innerHTML直接插入用户输入的内容。
CSRF跨站请求伪造
CSRF攻击的原理是什么？如何防范？
CSRF攻击利用用户已登录的身份，在用户不知情的情况下执行非本意的操作。防御方法包括：使用CSRF Token验证请求来源、设置SameSite Cookie属性、验证Referer请求头、对敏感操作进行二次确认。
点击劫持攻击
什么是点击劫持？如何防御？
点击劫持是通过透明的iframe覆盖在目标网页上，诱导用户点击透明层中的按钮。防御措施：使用X-Frame-Options响应头（DENY/SAMEORIGIN）、使用CSP的frame-ancestors指令、使用JavaScript进行帧检测。
SQL注入与JSONP安全
前端如何防范SQL注入和JSONP安全风险？
虽然SQL注入主要发生在后端，但前端也需要对用户输入进行校验和转义。JSONP存在跨域请求的安全风险，应谨慎使用，避免将敏感数据通过JSONP返回，并对回调函数进行白名单验证。
其他安全实践
- HTTPS强制使用：确保网站使用HTTPS协议传输数据
- HTTP安全头设置：配置X-Content-Type-Options、X-XSS-Protection等安全头
- 输入验证：对用户输入进行严格的格式验证和长度限制
- 第三方库安全：定期更新依赖库，避免使用存在已知漏洞的库
掌握这些Web安全知识，能够帮助你在面试中展现出全面的技术能力和安全意识。
