web面试需要格外关注的问题_面试问你网站怎么判断怎么判断是虚假攻击还是真实攻击-CSDN博客

本文链接：https://blog.csdn.net/qq_38829069/article/details/108754296

文章目录

1、session、cookie、

由于HTTP协议是无状态的协议，所以服务端需要记录用户的状态时，就需要用某种机制来识具体的用户，这个机制就是Session.典型的场景比如购物车，当你点击下单按钮时，由于HTTP协议无状态，所以并不知道是哪个用户操作的，所以服务端要为特定的用户创建了特定的Session，用用于标识这个用户，并且跟踪用户，这样才知道购物车里面有几本书。这个Session是保存在服务端的，有一个唯一标识。在服务端保存Session的方法很多，内存、数据库、文件都有。集群的时候也要考虑Session的转移，在大型的网站，一般会有专门的Session服务器集群，用来保存用户会话，这个时候 Session 信息都是放在内存的，使用一些缓存服务比如Memcached之类的来放 Session。
思考一下服务端如何识别特定的客户？这个时候Cookie就登场了。每次HTTP请求的时候，客户端都会发送相应的Cookie信息到服务端。实际上大多数的应用都是用 Cookie 来实现Session跟踪的，第一次创建Session的时候，服务端会在HTTP协议中告诉客户端，需要在 Cookie 里面记录一个Session ID，以后每次请求把这个会话ID发送到服务器，我就知道你是谁了。有人问，如果客户端的浏览器禁用了 Cookie 怎么办？一般这种情况下，会使用一种叫做URL重写的技术来进行会话跟踪，即每次HTTP交互，URL后面都会被附加上一个诸如 sid=xxxxx 这样的参数，服务端据此来识别用户。
Cookie其实还可以用在一些方便用户的场景下，设想你某次登陆过一个网站，下次登录的时候不想再次输入账号了，怎么办？这个信息可以写到Cookie里面，访问网站的时候，网站页面的脚本可以读取这个信息，就自动帮你把用户名给填了，能够方便一下用户。这也是Cookie名称的由来，给用户的一点甜头。所以，总结一下：Session是在服务端保存的一个数据结构，用来跟踪用户的状态，这个数据可以保存在集群、数据库、文件中；Cookie是客户端保存用户信息的一种机制，用来记录用户的一些信息，也是实现Session的一种方式。

具体

还不会的点，token和cookie和session在项目中具体的运行机制

2、浏览器内核分类

五大主流浏览器和四大内核

Trident（也称IE内核）、webkit、Blink、Gecko

3、get、post请求

GET - 从指定的资源请求数据。
POST - 向指定的资源提交要被处理的数据。

GET：不同的浏览器和服务器不同，一般限制在2~8K之间，更加常见的是1k以内。

GET和POST的底层也是TCP/IP，GET/POST都是TCP链接。

GET产生一个TCP数据包；POST产生两个TCP数据包。

对于GET方式的请求，浏览器会把http header和data一并发送出去，服务器响应200（返回数据）；

而对于POST，浏览器先发送header，服务器响应100 continue，浏览器再发送data，服务器响应200 ok（返回数据）。

4、h5的新api

api

5、性能优化的方法

(1)、减少HTTP请求次数
(2)、使用CDN
(3)、避免空的src和href
(4)、为文件头指定Expires
(5)、使用gzip压缩内容
(6)、把CSS放到顶部
(7)、把JS放到底部
(8)、避免使用CSS表达式
(9)、将CSS和JS放到外部文件中
(10)、避免跳转
(11)、可缓存的AJAX
(12)、使用GET来完成AJAX请求

前端性能优化有七大手段：减少请求数量，减少资源大小，优化网络连接，优化资源加载，减少重绘回流，使用性能更好的API和构建优化

减少请求数量：通过减少重定向，使用缓存，不适用CSS@import，避免使用空的src和href等手段

减少资源大小：通过压缩HTML，CSS，JS，图片，此外在安卓下可以使用webp格式的图片，它具有更优的图像数据压缩算法，能带来更小的图片体积，还可以开启gzip,gzip编码是以后总用来改进web应用程序性能的技术，

优化网络连接：使用CDN，使用DNS预解析，并行连接，

优化资源加载，通过优化资源加载位置和时机，使用资源预加载preload和资源预读取prefetch

减少重绘回流，1：避免使用层级较深的CSS选择器，以提高CSS渲染效率2、避免使用CSS表达式，3、给元素适当的定义高度或最小高度，否则元素的动态内容载入时，会出现页面晃动，造成回流，4、不要使用table布局，5、能用CSS实现的效果，尽量使用CSS而不用JS实现

6、bom对象

bom常用对象

7、http常用请求头

请求报文和请求头
HTTP 请求整体的报文结构由请求行-请求头-请求数据三部分构成，其中请求行格式是固定的，标识了请求方法/请求URL和协议版本它们之间用空格间隔。

请求头是我们为请求添加的附加信息，也就是一些额外的控制位。我们可以选择性的为请求添加请求头，除了一种特殊情况，POST 请求时请求头中必须包含 Content-Length 字段，用于标识请求体中的数据长度，来为本次请求的报文定界。

9、在地址栏里输入一个URL,到这个页面呈现出来，中间会发生什么？

1.首先在浏览器地址栏中输入url

2.浏览器先查看浏览器缓存-系统缓存-路由器缓存，如果缓存中有，直接显示页面内容；如果没有，跳到第三步；

3.域名解析，获取相应的IP地址

4.浏览器向服务器发送tcp连接，与浏览器建立三次握手

5.握手成功后，建立http请求

6.服务器收到请求，将数据返回至浏览器

7.浏览器收到http响应

8.读取页面内容，浏览器渲染，解析html源码

10、怎么封装cookie、ajax、axios、promise

12、csrf和xss的网络攻击及防范

CSRF攻击与防御

CSRF：跨站请求伪造(Cross—Site Request Forgery)，可以理解为攻击者盗用了用户的身份，以用户的名义发送了恶意请求，比如用户登录了一个网站后，立刻在另一个ｔａｂ页面访问量攻击者用来制造攻击的网站，这个网站要求访问刚刚登陆的网站，并发送了一个恶意请求，这时候CSRF就产生了，比如这个制造攻击的网站使用一张图片，但是这种图片的链接却是可以修改数据库的，这时候攻击者就可以以用户的名义操作这个数据库，防御方式的话：使用验证码，检查https头部的refer，使用token
XSS：跨站脚本攻击，是说攻击者通过注入恶意的脚本，在用户浏览网页的时候进行攻击，比如获取cookie，或者其他用户身份信息，可以分为存储型和反射型，存储型是攻击者输入一些数据并且存储到了数据库中，其他浏览者看到的时候进行攻击，反射型的话不存储在数据库中，往往表现为将攻击代码放在url地址的请求参数中，防御的话为cookie设置httpOnly属性，对用户的输入进行检查，进行特殊字符过滤