目錄
簡述 XSS 攻擊的原理及三種常見類型（存儲型、反射型、DOM 型）
如何在前端防御 XSS 攻擊？列舉編碼、過濾、CSP 策略的具體實現方式
富文本編輯器場景下如何安全處理用戶輸入的 HTML 內容？
如何通過 HttpOnly 屬性增強 Cookie 安全性？它與 XSS 防御的關系是什么？
舉例說明 DOM 型 XSS 的攻擊路徑及防御方法
內容安全策略（CSP）如何配置以限制腳本加載來源？如何通過 標簽或 HTTP 頭啟用 CSP？
如何利用 X-XSS-Protection 響應頭增強瀏覽器端的 XSS 過濾？
為什么僅依賴前端過濾無法徹底防御 XSS？后端應如何配合？
在 Vue/React 框架中，如何通過內置機制（如 v-html 轉義、JSX 自動編碼）避免 XSS？
如何檢測網站是否存在 XSS 漏洞？列舉常用工具（如 OWASP ZAP、Burp Suite）
假設某網站評論區存在存儲型 XSS，請描述攻擊者從注入到攻擊成功的完整流程
分析 eval () 和 innerHTML 的使用風險，給出替代方案
解釋 CSRF 攻擊的原理，說明其依賴的同源策略漏洞
列舉 CSRF 的三種防御方案（Token 驗證、SameSite Cookie、雙重 Cookie 校驗）
如何實現 CSRF Token 的生成、傳遞及服務端校驗邏輯？
SameSite 屬性的三個取值（Strict/Lax/None）分別適用于哪些場景？
為什么 CSRF 攻擊需要用戶已登錄目標網站？如何構造惡意請求誘導用戶觸發？
如何通過驗證 Referer 和 Origin 頭防御 CSRF？其局限性是什么？
在 RESTful API 設計中，如何區分安全方法（GET）和非安全方法（POST/PUT）以降低 CSRF 風險？
若網站同時存在 XSS 和 CSRF 漏洞，攻擊者可能如何組合利用？
單頁面應用（SPA）中如何安全存儲和傳遞 CSRF Token？
第三方支付接口如何防范 CSRF 攻擊？以支付寶回調為例說明
描述點擊劫持（Clickjacking）的攻擊原理及典型案例（如虛假按鈕覆蓋）
如何通過 X-Frame-Options 響應頭禁止頁面被嵌入到
使用 JavaScript 如何檢測當前頁面是否被嵌套并強制跳轉至頂層窗口？
現代瀏覽器如何通過 Content - Security - Policy: frame - ancestors 增強防御？
除了點擊劫持，界面偽裝攻擊還有哪些形式（如 URL 釣魚、樣式欺騙）？
前端敏感數據（如 Token、密碼）應如何安全存儲？對比 localStorage 與 sessionStorage 的風險。
HTTPS 如何防止中間人攻擊（MITM）？簡述 SSL/TLS 握手過程。
如何在前端實現數據加密？列舉 Web Crypto API 或庫（如 CryptoJS）的使用場景。
為什么明文傳輸敏感信息（如密碼）存在風險？如何通過哈希加鹽增強安全性？
如何防御 JSON 劫持攻擊？說明 while (1); 前綴的防護原理。
在文件上傳功能中，如何防范惡意文件（如木馬、超大文件）上傳？
如何通過 Subresource Integrity (SRI) 確保第三方 CDN 資源的完整性？
前端日志監控中，如何避免記錄敏感信息（如用戶身份、支付數據）？
如何通過 npm audit 或 Snyk 檢測第三方庫的已知漏洞？
鎖定依賴版本（package - lock.json）對安全維護的意義是什么？
如何防范惡意 npm 包（如 typosquatting 攻擊）？列舉最佳實踐。
前端項目中，如何安全引入第三方腳本（如統計代碼、廣告 SDK）？
如何通過沙箱機制（如 iframe 隔離、Web Workers）限制第三方代碼的權限？
列舉必須配置的 HTTP 安全響應頭（如 Strict - Transport - Security、X - Content - Type - Options）
如何通過 Content - Security - Policy 限制資源加載策略？
如何通過 Feature - Policy 控制瀏覽器功能（如攝像頭、地理位置）的訪問權限？
如何防止 MIME 類型嗅探攻擊（如 X - Content - Type - Options: nosniff）？
如何通過 Access - Control - Allow - Origin 正確配置 CORS 策略？
會話劫持（Session Hijacking）與 Cookie 盜取的防御措施
輸入驗證不足可能導致哪些攻擊（如 SQL 注入、路徑遍歷）？后端如何協作防御？
如何防范暴力破解攻擊？列舉前端限速、驗證碼、密碼復雜度策略。
前端代碼混淆與壓縮對安全防護的作用及局限性
)
