面试题-每日5道

61.如果客户禁止cookie,session还能实现嘛？

可以用

session只是依赖cookie存储sessionid，如果cookie被禁用了，还可以使用url中添加sessionid的方式保证session能正常使用。

62.spring mvc和struts区别？

• 拦截级别：struts2是类级别的拦截；spring mvc是方法级别的拦截。
• 数据独立性：spring mvc的方法之间基本上独立的，独享request和response数据，请求数据通过参数获取，处理结果通过ModelMap交回给框架，方法之间不共享变量；而struts2虽然方法之间也是独立的，但其所有action变量是共享的，这不会影响程序运行，却给我们编码和读程序时带来了一定的麻烦。
• 拦击机制：：struts2 有以自己的 interceptor 机制，springmvc 用的是独立 的 aop 方式，这样导致struts2 的配置文件量比 spring mvc 大。
• 对ajax的支持：：spring mvc 集成了ajax，所有 ajax 使用很方便，只需 要一个注解 @ResponseBody 就可以实现了；而 struts2 一般需要安装插件或者自 己写代码才行

63.如何避免sql注入？

• 使用预处理 PreparedStatement。
•  使用正则表达式过滤掉字符中的特殊字符。

64.什么是xss攻击，如何避免？

XSS 攻击：即跨站脚本攻击，它是 Web 程序中常见的漏洞。原理是攻击者往 Web 页面 里插入恶意的脚本代码（css 代码、Javascript 代码等），当用户浏览该页面时，嵌入其 中的脚本代码会被执行，从而达到恶意攻击用户的目的，如盗取用户 cookie、破坏页面结 构、重定向到其他网站等。

预防 XSS 的核心是必须对输入的数据做过滤处理。

65.什么是CSRF攻击，如何避免？

CSRF：Cross-Site Request Forgery（中文：跨站请求伪造），可以理解为攻击者盗用 了你的身份，以你的名义发送恶意请求，比如：以你名义发送邮件、发消息、购买商品，虚 拟货币转账等。 防御手段：

• 验证请求来源地址；
• 关键操作添加验证码；
•  在请求地址添加 token 并验证