Java面试题（Java Web）

目录

1. JSP 有哪些内置对象？作用分别是什么？

2. 说一下 JSP 的 4 种作用域？

3. session 和 cookie 有什么区别？

4. 说一下 session 的工作原理？

5. 如果客户端禁止 cookie 能实现 session 还能用吗？

6. 如何避免 SQL 注入？

7. 什么是 XSS 攻击，如何避免？

8. 什么是 CSRF 攻击，如何避免？

---

1. JSP 有哪些内置对象？作用分别是什么？

1. request：封装客户端的请求，其中包含来自 get 或 post 请求的参数；
2. response：封装服务器对客户端的响应；
3. pageContext：通过该对象可以获取其他对象；
4. session：封装用户会话的对象；
5. application：封装服务器运行环境的对象；
6. out：输出服务器响应的输出流对象；
7. config：Web 应用的配置对象；
8. page：JSP 页面本身（相当于 Java 程序中的 this）；
9. exception：封装页面抛出异常的对象。

2. 说一下 JSP 的 4 种作用域？

1. page：代表与一个页面相关的对象和属性。
2. request：代表与客户端发出的一个请求相关的对象和属性。一个请求可能跨越多个页面，涉及多个 Web 组件；需要在页面显示的临时数据可以置于此作用域。
3. session：代表与某个用户与服务器建立的一次会话相关的对象和属性。跟某个用户相关的数据应该放在用户自己的 session 中。
4. application：代表与整个 Web 应用程序相关的对象和属性，它实质上是跨越整个 Web 应用程序，包括多个页面、请求和会话的一个全局作用域。

3. session 和 cookie 有什么区别？

1. 存储位置不同：session 存储在服务器端；cookie 存储在浏览器端。 安全性不同：cookie 安全性一般，在浏览器存储，可以被伪造和修改。
2. 容量和个数限制：cookie 有容量限制，每个站点下的 cookie 也有个数限制。
3. 存储的多样性：session 可以存储在 Redis 中、数据库中、应用程序中；而 cookie 只能存储在浏览器中。

4. 说一下 session 的工作原理？

        session 的工作原理是客户端登录完成之后，服务器会创建对应的 session，session 创建完之后，会把 session 的 id 发送给客户端，客户端再存储到浏览器中。这样客户端每次访问服务器时，都会带着 sessionid，服务器拿到 sessionid 之后，在内存找到与之对应的 session 这样就可以正常工作了。

5. 如果客户端禁止 cookie 能实现 session 还能用吗？

        可以用，session 只是依赖 cookie 存储 sessionid，如果 cookie 被禁用了，可以使用 url 中添加 sessionid 的方式保证 session 能正常使用。

6. 如何避免 SQL 注入？

1. 使用预处理 PreparedStatement。
2. 使用正则表达式过滤掉字符中的特殊字符

7. 什么是 XSS 攻击，如何避免？

        XSS 攻击：即跨站脚本攻击，它是 Web 程序中常见的漏洞。原理是攻击者往 Web 页面里插入恶意的脚本代码（css 代码、Javascript 代码等），当用户浏览该页面时，嵌入其中的脚本代码会被执行，从而达到恶意攻击用户的目的，如盗取用户 cookie、破坏页面结构、重定向到其他网站等。预防 XSS 的核心是必须对输入的数据做过滤处理。

8. 什么是 CSRF 攻击，如何避免？

        CSRF：Cross-Site Request Forgery（中文：跨站请求伪造），可以理解为攻击者盗用了你的身份，以你的名义发送恶意请求，比如：以你名义发送邮件、发消息、购买商品，虚拟货币转账等。

防御手段：

1. 验证请求来源地址；
2. 关键操作添加验证码；
3. 在请求地址添加 token 并验证。