-
黑客Jerry将伪造的转账请求，包含在在帖子
-
Tom在银行网站保持登陆的情况下，浏览帖子
-
将伪造的转账请求连同身份认证信息，发送到银行网站
-
银行网站看到身份认证信息，以为就是Tom的合法操作，最后造成Tom资金损失。
怎么解决CSRF攻击呢？
-
检查Referer字段。
-
添加校验token。
18. 聊聊五层计算机网络体系结构中，每一层对应的网络协议有哪些？
为了大家方便记忆，我还是画个思维导图吧，如下：
19. 说说 WebSocket与socket的区别
思路: 这是一个比较基础的知识点，经常有小伙伴会搞混。
- Socket其实就是等于IP地址 + 端口 + 协议。
★
具体来说，Socket是一套标准，它完成了对TCP/IP的高度封装，屏蔽网络细节，以方便开发者更好地进行网络编程。
”
-
WebSocket是一个持久化的协议，它是伴随H5而出的协议，用来解决http不支持持久化连接的问题。
-
Socket一个是网编编程的标准接口，而WebSocket则是应用层通信协议。
20. 什么是DoS、DDoS、DRDoS攻击？
思路: 这是涉及网络安全的一个知识点，DDos还会挺常见的，如SYN Flood。
★
- DOS: (Denial of Service),翻译过来就是拒绝服务,一切能引起DOS行为的攻击都被称为DOS攻击。最常见的DoS攻击就有计算机网络宽带攻击、连通性攻击。
- DDoS: (Distributed Denial of Service),翻译过来是分布式拒绝服务。是指处于不同位置的多个攻击者同时向一个或几个目标发动攻击，或者一个攻击者控制了位于不同位置的多台机器并利用这些机器对受害者同时实施攻击。常见的DDos有SYN Flood、Ping of Death、ACK Flood、UDP Flood等。
- DRDoS: (Distributed Reflection Denial of Service)，中文是分布式反射拒绝服务，该方式靠的是发送大量带有被害者IP地址的数据包给攻击主机，然后攻击主机对IP地址源做出大量回应，从而形成拒绝服务攻击。
”
21. 什么是XSS攻击，如何避免?
思路: XSS攻击也是比较常见，XSS，叫跨站脚本攻击（Cross-Site Scripting），因为会与层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，因此有人将跨站脚本攻击缩写为XSS。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。XSS攻击一般分三种类型：存储型 、反射型 、DOM型XSS
21.1 XSS是如何攻击的呢？
拿反射型举个例子吧，流程图如下：
21.2 如何解决XSS攻击问题？
-
对输入进行过滤，过滤标签等，只允许合法值。
-
HTML转义
-
对于链接跳转，如
<a href="xxx"等，要校验内容，禁止以script开头的非法链接。 -
限制输入长度
22. Http请求的过程与原理
思路: HTTP请求，一个非常非常基础的知识点，一定需要掌握的。其实觉得跟浏览器地址栏输入url到显示主页这道题有点类似。
我的答案如下：
HTTP是一个基于TCP/IP协议来传递数据的超文本传输协议，传输的数据类型有HTML,图片等。以访问百度有例子，看下一次Http的请求过程吧
Http请求过程
-
客户端进行DNS域名解析，得到对应的IP地址
-
根据这个IP，找到对应的服务器建立连接（三次握手）
-
建立TCP连接后发起HTTP请求（一个完整的http请求报文）
-
服务器响应HTTP请求，客户端得到html代码
-
客户端解析html代码，用html代码中的资源(如js,css,图片等等)渲染页面。
-
服务器关闭TCP连接（四次挥手）
23. forward和redirect的区别？
思路: 这道题有点偏Java web方向的。以前记得刚出来实习找工作的时候，面试官可喜欢问这道题啦，当时我记的答案就是，forward是转发，redirect是重定向。
我的答案如下：
★
- 直接转发方式（Forward） ，客户端和浏览器只发出一次请求，Servlet、HTML、JSP或其它信息资源，由第二个信息资源响应该请求，在请求对象request中，保存的对象对于每个信息资源是共享的。
- 间接转发方式（Redirect） 实际是两次HTTP请求，服务器端在响应第一次请求的时候，让浏览器再向另外一个URL发出请求，从而达到转发的目的。
”
举个通俗的例子：
★
- 直接转发就相当于：“A找B借钱，B说没有，B去找C借，借到借不到都会把消息传递给A”；
- 间接转发就相当于：“A找B借钱，B说没有，让A去找C借”。**
”
看下这两个图，可以更容易理解一些:
- Redirect 的工作原理：
- forward 的工作原理
24. 聊聊SQL注入？
思路: SQL注入是最经典的安全问题。无论你是前端开发还是后端开发，都必须掌握的。
★
SQL注入是一种代码注入技术，一般被应用于攻击web应用程序。它通过在web应用接口传入一些特殊参数字符，来欺骗应用服务器，执行恶意的SQL命令，以达到非法获取系统信息的目的。它目前是黑客对数据库进行攻击的最常用手段之一。
”
24.1 SQL注入是如何攻击的？
举个常见的业务场景：在web表单搜索框输入员工名字，然后后台查询出对应名字的员工。
这种场景下，一般都是前端页面,把一个名字参数name传到后台，然后后台通过SQL把结果查询出来
name = “田螺”; //前端传过来的
SQL= “select * from staff where name=” + name; //根据前端传过来的name参数，查询数据库员工表staff
因为SQL是直接拼接的，如果我们完全信任前端传的参数的话。假如前端传这么一个参数时'' or '1'='1'，SQL就变成酱紫的啦。
select * from staff where name=‘’ or ‘1’=‘1’;
这个SQL会把所有的员工信息全都查出来了，酱紫就请求用户已经越权啦。请求者可以获取所有员工的信息，信息已经暴露了啦。
24.2 如何预防SQL注入问题
1). 使用#{}而不是 ${}
在MyBatis中,使用#{}而不是${}，可以很大程度防止sql注入。
-
因为
#{}是一个参数占位符，对于字符串类型，会自动加上""，其他类型不加。由于Mybatis采用预编译，其后的参数不会再进行SQL编译，所以一定程度上防止SQL注入。 -
${}是一个简单的字符串替换，字符串是什么，就会解析成什么，存在SQL注入风险
2). 不要暴露一些不必要的日志或者安全信息，比如避免直接响应一些sql异常信息。
如果SQL发生异常了，不要把这些信息暴露响应给用户，可以自定义异常进行响应
3). 不相信任何外部输入参数，过滤参数中含有的一些数据库关键词关键词
可以加个参数校验过滤的方法，过滤union，or等数据库关键词
4). 适当的权限控制
在你查询信息时，先校验下当前用户是否有这个权限。比如说，实现代码的时候，可以让用户多传一个企业Id什么的，或者获取当前用户的session信息等，在查询前，先校验一下当前用户是否是这个企业下的等等，是的话才有这个查询员工的权限。
25. Session和Cookie的区别。
我们先来看Session和Cookie的概念吧：
-
Cookie是保存在客户端的一小块文本串的数据。客户端向服务器发起请求时，服务端会向客户端发送一个Cookie，客户端就把Cookie保存起来。在客户端下次向同一服务器再发起请求时，Cookie被携带发送到服务器。服务器就是根据这个Cookie来确认身份的。
-
session指的就是服务器和客户端一次会话的过程。Session利用Cookie进行信息处理的，当用户首先进行了请求后，服务端就在用户浏览器上创建了一个Cookie，当这个Session结束时，其实就是意味着这个Cookie就过期了。Session对象存储着特定用户会话所需的属性及配置信息。
Session 和Cookie的区别主要有这些：
最低0.47元/天 解锁文章
428
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
