国庆假 的CSS +JS 学习笔记

1.左右两列定宽，中间自适应，
6. 一个div 中，放三个div ，其中左边和右边是150px，中间div 自适应宽度。

left

center

right

.content{
background-color: #CCC;
/* position: absolute; /
}
.left{
background-color: #999;
width: 150px;
height: 150px;
left: 0; /这个是最重要的，这个是相对于父元素的定位，导致不换行/ 绝对往左
/ float: left; */
position: absolute;
}
.center{
float: left;
background-color: #000000;
margin-right: 150px;
height: 150px;
width:100%;
}
.right{
background-color: rgb(14, 189, 29);
width: 150px;
height: 150px;
float: left;
right: 0; /这个是不可或缺的，这个是相对于父元素的定位，导致不换行/ 绝对往右
position: absolute;
}

2.Js 实现继承的几种方式
1.原型继承，2.构造器继承，3实例继承。
等。https://www.cnblogs.com/humin/p/4556820.html这个里面解释的很详细。

2.Js 前端攻击XSS 和CSRF,及其避免方法
2.1XSS 跨站脚本
特点：能注入恶意的HTML/JavaScript代码到用户浏览的网页上，从而达到Cookie资料窃取、会话劫持、钓鱼欺骗等攻击。<攻击代码不一定（非要）在 中>
原因：a：Web浏览器本身的设计不安全。浏览器能解析和执行JS等代码，但是不会判断该数据和程序代码是否恶意。
b：输入和输出是Web应用程序最基本的交互，而且网站的交互功能越来越丰富。如果在这过程中没有做好安全防护，很容易会出现XSS漏洞。
c：程序员水平参差不齐，而且大都没有过正规的安全培训，没有相关的安全意识。
d：XSS攻击手段灵活多变。
3、防御XSS攻击
a：HttpOnly 浏览器禁止页面的JS访问带有HttpOnly属性的Cookie。
b：输入检查 XSS Filter 对输入内容做格式检查，类似“白名单”，可以让一些基于特殊字符的攻击失效。在客户端JS和服务器端代码中实现相同的输入检查（服务器端必须有）。
c：输出检查 在变量输出到html页面时，可以使用编码或转义的方式来防御XSS攻击 HtmlEncode：将字符转成HTMLEntities，对应的标准是ISO-8859-1。
& --> & < --> < > -->> " --> " ’ --> ’ / --> /
JS中可以使用JavascriptEncode。需要对“\”对特殊字符转义，输出的变量的必须在引号内部。

       d：XSS的本质是“HTML注入”，用户的数据被当成了HTML代码一部分来执行，从而混淆了原本的语义，产生了新的语义。

2.2CSRF 跨站请求伪造

CSRF攻击跨站请求伪造。 本质：重要操作的所有参数都是可以被攻击者猜测到的。攻击者预测出URL的所有参数与参数值，才能成功地构造一个伪造的请求。
3、防御CSRF攻击
防御方法： 验证码、 Referer Check 检查请求是否来自合法的源（可被伪造）。
通用方法：Token 使用Anti-CSRF Token 在URL中保持原参数不变，新增一个参数Token。Token的值是随机的（必须使用足够安全的随机数生成算法，或者采用真随机数生成器），其为用户与服务器所共同持