Jaykey

child-src: 用户累出适用于网络县城和嵌入frame的网址。 connect-src: 用于限制可连接(XHR, WebSockets, EventSource)的来源。 font-src: 用于制定可提供网页字体的来源。 form-action: 用户列出可从标记提交…

Cross-origin writes 跨源写入，通常是被允许的。 <iframe>. Sites can use the X-Frame-Options header to prevent corss-origin framing. 阻止跨域写操作，只要检测请求中的…

CSRF(Cross-site request forgery) 跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三份网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某些操作的目的。 受害者登录 a…

基于这个特性，我们可以在一些并发请求的时候使用，在手写 Promise.all 等类似方法的时候也可以使用forEach来完成。

XSS 是 Cross-site scripting 的简称，为了与 CSS (层叠样式表)区分使用了 X。通俗来说就是跨站点脚本攻击，通过在客户端注入可执行脚本的方式来实现攻击。 如果你对 XSS 没有直观的认识，我推荐你在 Google 的这个 XSS game 的网站体验…