点击劫持中攻击者如何用透明 iframe 诱导用户点击，前端如何检测被嵌套？
围绕“点击劫持中攻击者如何用透明 iframe 诱导用户点击，前端如何检测被嵌套”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明视觉欺骗的攻击构造及 frame busting 脚本的局限（可被 sandbox 禁掉）。
核心关键词点击劫持 UI Redressing frame busting
面试知识索引 · 分类、标签与搜索
Web 安全 · 安全面试题，43 道完整答案
Web 安全 · 安全面试题第 1 页，显示第 1–43 题，共找到 43 道完整解析，可继续按分类、标签与关键词缩小范围。
43筛选结果
52技术分类
178检索标签
1索引分页
快速定位
清除全部筛选分类、标签与关键词搜索
技术分类52 个
全部分类5000Web 安全43AI Agent511浏览器301JavaScript285React281AI 开发262CSS240Node.js217TypeScript206Vue180前端工程化138
查看全部 52 个分类
React Native135操作系统135数据库134Docker95计算机网络94API 设计90Kubernetes90HTML89Redis89全栈开发88分布式系统88系统设计86HTTP85Next.js60Angular58Linux53Nuxt51PostgreSQL46可观测性46设计模式46小程序45身份与权限45无障碍44MongoDB43PWA43Git42前端测试42前端性能41WebAssembly40测试40AI 工程37SvelteKit37Go35前端数据管理30React Router29AI 全栈28Svelte27算法12Java10数据结构5前端手写题3
第 1 页
本页面试问题
按稳定语义路径排序
- 0001
- 0002
X-Frame-Options 的 DENY 与 SAMEORIGIN 如何防点击劫持，为什么它正在被 CSP 取代？
围绕“X-Frame-Options 的 DENY 与 SAMEORIGIN 如何防点击劫持，为什么它正在被 CSP 取代”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明两个取值的语义及该头部不支持多域名白名单的局限。
核心关键词点击劫持 X-Frame-Options DENY SAMEORIGIN - 0003
会话 Cookie 的 Secure、HttpOnly、SameSite 三个属性分别针对什么攻击场景？
围绕“会话 Cookie 的 Secure、HttpOnly、SameSite 三个属性分别针对什么攻击场景”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须将三个属性分别对应中间人窃听、脚本窃取、跨站发送三类威胁。
核心关键词Cookie Secure HttpOnly SameSite 会话安全 - 0004
Access-Control-Allow-Origin 等 CORS 响应头如何配置，通配符与凭证为什么不能共存？
围绕“Access-Control-Allow-Origin 等 CORS 响应头如何配置，通配符与凭证为什么不能共存”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明带 Cookie 请求时通配符被浏览器拒绝的规则及正确写法。
核心关键词CORS Access-Control-Allow-Origin 通配符 credentials - 0005
前端跨域请求携带 Cookie 需要在 fetch/XHR 和浏览器两端各满足什么条件？
围绕“前端跨域请求携带 Cookie 需要在 fetch/XHR 和浏览器两端各满足什么条件”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须同时回答客户端 credentials 设置与服务端响应头两个必要条件。
核心关键词fetch credentials include CORS 跨域 Cookie - 0006
反射任意 Origin 且允许凭证的 CORS 错误配置会带来什么后果？
围绕“反射任意 Origin 且允许凭证的 CORS 错误配置会带来什么后果”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明动态回显 Origin 与 Allow-Credentials 组合等于关闭同源保护。
核心关键词CORS 错误配置 任意 Origin credentials 风险 - 0007
CORS 中什么样的请求会触发预检（preflight）请求？
围绕“CORS 中什么样的请求会触发预检（preflight）请求”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须列出非简单请求方法、自定义头、特定 Content-Type 三类触发条件。
核心关键词CORS 预检请求 OPTIONS 触发条件 - 0008
CORS 是安全机制还是放松机制，它防的到底是什么？
围绕“CORS 是安全机制还是放松机制，它防的到底是什么”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须澄清 CORS 保护的是资源读取而非请求发送，服务端仍需鉴权与 CSRF 防护。
核心关键词CORS 同源策略 安全边界 本质 - 0009
为什么做了输出编码还需要 CSP，CSP 能挡住哪类漏网的 XSS？
围绕“为什么做了输出编码还需要 CSP，CSP 能挡住哪类漏网的 XSS”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖回答需要围绕必须定位 CSP 为编码遗漏时的纵深防御并说明其限制（不能防同域脚本滥用）。
核心关键词CSP 纵深防御 XSS 第二层防线 - 0010
CSP 中 script-src、default-src、object-src 等常用指令各控制什么资源加载？
围绕“CSP 中 script-src、default-src、object-src 等常用指令各控制什么资源加载”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖回答要按指令说明资源类别与回退关系（default-src 兜底）。
核心关键词CSP 指令 script-src default-src - 0011
CSP 中 nonce 与 hash 两种白名单内联脚本的方式各自适用什么场景？
围绕“CSP 中 nonce 与 hash 两种白名单内联脚本的方式各自适用什么场景”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须比较每次响应随机值与静态哈希在动态页面、静态站点的适用性及实现成本。
核心关键词CSP nonce hash 内联脚本 - 0012
如何用 Content-Security-Policy-Report-Only 灰度上线一条 CSP 策略？
围绕“如何用 Content-Security-Policy-Report-Only 灰度上线一条 CSP 策略”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明仅上报不阻断的验证流程与违规报告字段的使用。
核心关键词CSP Report-Only 灰度 report-uri - 0013
为什么 CSP 中的 unsafe-inline 和 unsafe-eval 会大幅削弱 XSS 防御？
围绕“为什么 CSP 中的 unsafe-inline 和 unsafe-eval 会大幅削弱 XSS 防御”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明二者分别放开内联脚本与字符串执行后门导致的绕过面。
核心关键词CSP unsafe-inline unsafe-eval 风险 - 0014
CSRF 攻击成立需要哪些前提条件，为什么浏览器会自动携带 Cookie？
围绕“CSRF 攻击成立需要哪些前提条件，为什么浏览器会自动携带 Cookie”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确跨站请求自动带凭据的机制与攻击成立的三个前提。
核心关键词CSRF 攻击条件 Cookie 自动携带 - 0015
为什么规范要求 GET 不做状态变更，违反它在 CSRF 下有什么后果？
围绕“为什么规范要求 GET 不做状态变更，违反它在 CSRF 下有什么后果”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 GET 语义与预加载、<img> 标签触发的风险链。
核心关键词CSRF GET 请求 幂等 状态变更 - 0016
纯 JSON API 要求自定义请求头，为什么这能在一定程度上天然抵御 CSRF？
围绕“纯 JSON API 要求自定义请求头，为什么这能在一定程度上天然抵御 CSRF”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要解释简单请求与预检请求的分界及自定义头触发 CORS 预检的机制。
核心关键词CSRF JSON API 自定义请求头 预检 - 0017
校验 Origin/Referer 头来防 CSRF 可靠吗，有什么边界情况？
围绕“校验 Origin/Referer 头来防 CSRF 可靠吗，有什么边界情况”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确该手段能覆盖什么、在隐私策略或代理剥离头部时的退化行为，不把它当作唯一防线展开。
核心关键词CSRF Origin Referer 校验 可靠性 - 0018
CSRF Token 应该如何生成、下发与校验才有效？
围绕“CSRF Token 应该如何生成、下发与校验才有效”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 Token 的随机性、与 session 绑定、每次请求校验的要求，以及双重提交 Cookie 变体的差异。
核心关键词CSRF Token 生成 校验 Synchronizer Token - 0019
CSRF 和 XSS 有什么本质区别，为什么有了 XSS 后 CSRF 防御会失效？
围绕“CSRF 和 XSS 有什么本质区别，为什么有了 XSS 后 CSRF 防御会失效”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 XSS 可读取页面内 Token 从而绕过 CSRF 防御的依赖关系，不分别展开两种攻击的全部细节。
核心关键词CSRF XSS 区别 关系 - 0020
路径穿越（../）在读文件与写文件两个场景中分别如何产生，如何防御？
围绕“路径穿越（../）在读文件与写文件两个场景中分别如何产生，如何防御”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖完整回答要覆盖读取任意文件与上传覆盖任意路径两类后果，并给出规范化后前缀校验与白名单的方案。
核心关键词路径穿越 Path Traversal 目录遍历 防御 - 0021
服务端处理用户上传的压缩包或图片时，如何防解压炸弹与像素炸弹耗尽资源？
围绕“服务端处理用户上传的压缩包或图片时，如何防解压炸弹与像素炸弹耗尽资源”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明高压缩比/超大声明尺寸的攻击原理与大小限额、解压后尺寸再校验的做法。
核心关键词解压炸弹 像素炸弹 文件上传 资源耗尽 - 0022
允许用户上传 SVG 或 HTML 文件为什么会变成存储型 XSS，如何安全地提供下载？
围绕“允许用户上传 SVG 或 HTML 文件为什么会变成存储型 XSS，如何安全地提供下载”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 SVG 可内嵌脚本及同域直出的风险，并给出强制 attachment 下载或独立域名的对策。
核心关键词SVG 上传 XSS 文件下载 Content-Disposition - 0023
上传的文件应该如何存储与命名，才能避免被当作脚本执行形成 WebShell？
围绕“上传的文件应该如何存储与命名，才能避免被当作脚本执行形成 WebShell”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须给出非 Web 根目录存储、随机重命名、禁执行权限、静态域分离的组合。
核心关键词文件上传 WebShell 存储 重命名 执行权限 - 0024
命令注入和 SQL 注入的共同根源是什么，调用系统命令时如何安全传参？
围绕“命令注入和 SQL 注入的共同根源是什么，调用系统命令时如何安全传参”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖回答需要围绕必须归纳为「数据被拼进解释器」这一共性，并给出避免 shell、参数数组调用的做法。
核心关键词命令注入 OS Command Injection 防御 - 0025
除 SQL 外，LDAP、XPath、模板引擎注入的共同防御思路是什么？
围绕“除 SQL 外，LDAP、XPath、模板引擎注入的共同防御思路是什么”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须抽象出「不可信输入进入表达式解释器」的统一模型与各类型的参数化/沙箱手段，不逐一展开语法。
核心关键词注入 LDAP XPath 模板 SSTI 防御 - 0026
服务端模板注入（SSTI）为什么比普通 XSS 危害更高，如何避免把用户输入当模板编译？
围绕“服务端模板注入（SSTI）为什么比普通 XSS 危害更高，如何避免把用户输入当模板编译”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明模板执行在服务端可达 RCE 的后果及渲染与编译分离的原则。
核心关键词SSTI 模板注入 服务端 危害 - 0027
什么是混合内容问题，HSTS 如何防止 HTTPS 站点被降级回 HTTP？
围绕“什么是混合内容问题，HSTS 如何防止 HTTPS 站点被降级回 HTTP”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须分别回答被动/主动混合内容的阻断行为与 HSTS 的预加载机制及首次访问的空窗期。
核心关键词HSTS 混合内容 HTTPS 降级 - 0028
使用 window.postMessage 跨窗口通信时，为什么必须校验 event.origin 并指定 targetOrigin？
围绕“使用 window.postMessage 跨窗口通信时，为什么必须校验 event.origin 并指定 targ”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确接收端不校验来源导致的伪造消息与发送端用 * 导致的数据泄露两类风险。
核心关键词postMessage origin 校验 跨窗口通信 安全 - 0029
同源策略具体限制什么：DOM、网络响应、存储的访问规则各是什么？
围绕“同源策略具体限制什么：DOM、网络响应、存储的访问规则各是什么”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖回答要按 DOM 访问、响应读取、Cookie/存储作用域分别说明同源判定与例外。
核心关键词同源策略 Same-Origin Policy DOM Cookie localStorage - 0030
页面不回显报错和数据时，如何识别与理解布尔型、时间型盲注的危害？
围绕“页面不回显报错和数据时，如何识别与理解布尔型、时间型盲注的危害”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明通过响应差异与延迟推断数据的原理以建立危害认知，不给出可操作的注入工具用法。
核心关键词盲注 布尔 时间型 SQL 注入 检测 - 0031
参数化查询无法绑定表名和 ORDER BY 列名时，如何安全地支持动态排序？
围绕“参数化查询无法绑定表名和 ORDER BY 列名时，如何安全地支持动态排序”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确标识符不能作为参数绑定的限制并给出枚举白名单映射方案。
核心关键词SQL 注入 ORDER BY 动态排序 标识符 - 0032
参数化查询为什么能根治 SQL 注入，它和字符串转义有什么本质区别？
围绕“参数化查询为什么能根治 SQL 注入，它和字符串转义有什么本质区别”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明代码与数据分离、执行计划先定的机制及转义在字符集边界下的失效。
核心关键词SQL 注入 参数化查询 预编译 原理 - 0033
设计一个必须抓取用户指定 URL 的功能时，如何用白名单与出口隔离防 SSRF？
围绕“设计一个必须抓取用户指定 URL 的功能时，如何用白名单与出口隔离防 SSRF”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须给出域名白名单、解析后校验、禁止重定向跟随、独立出口网段的组合方案。
核心关键词SSRF 白名单 出口代理 网络隔离 设计 - 0034
SSRF 攻击是如何利用服务端发起请求的能力打到内网资源的？
围绕“SSRF 攻击是如何利用服务端发起请求的能力打到内网资源的”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明攻击者控制 URL 后服务端成为跳板访问内网/元数据的路径。
核心关键词SSRF 服务端请求伪造 内网 原理 - 0035
为什么云环境中的 SSRF 常指向 169.254.169.254 元数据服务，如何防护？
围绕“为什么云环境中的 SSRF 常指向 169.254.169.254 元数据服务，如何防护”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明实例元数据泄露凭证的危害链与 IMDSv2、网络隔离的防护。
核心关键词SSRF 云 元数据 169.254.169.254 IMDSv2 - 0036
用 IP 黑名单过滤 SSRF 目标为什么会被 DNS 重绑定、进制转换、重定向绕过？
围绕“用 IP 黑名单过滤 SSRF 目标为什么会被 DNS 重绑定、进制转换、重定向绕过”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要解释解析时机与请求时机不一致及非常规 IP 表示导致的黑名单失效。
核心关键词SSRF 绕过 DNS rebinding 重定向 IP 过滤 - 0037
引用第三方 CDN 脚本时，SRI（integrity 属性）如何防止 CDN 被篡改后的供应链注入？
围绕“引用第三方 CDN 脚本时，SRI（integrity 属性）如何防止 CDN 被篡改后的供应链注入”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明哈希校验的工作机制与跨域引用需配合 crossorigin 的要求。
核心关键词SRI Subresource Integrity CDN 脚本 完整性 - 0038
HttpOnly Cookie 能不能防 XSS，它实际缓解的是什么后果？
围绕“HttpOnly Cookie 能不能防 XSS，它实际缓解的是什么后果”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须区分「防攻击发生」与「限制攻击收益」，说明 HttpOnly 只阻止脚本读取 Cookie。
核心关键词HttpOnly Cookie XSS 会话窃取 - 0039
为什么简单替换 <script> 关键字的 XSS 过滤会被编码和畸形标签绕过？
围绕“为什么简单替换 <script> 关键字的 XSS 过滤会被编码和畸形标签绕过”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须举出大小写、嵌套、HTML 实体编码等绕过思路说明黑名单的局限。
核心关键词XSS 过滤绕过 编码 黑名单 - 0040
在 DOM 操作中 innerHTML 与 textContent 对 XSS 风险的差异是什么？
围绕“在 DOM 操作中 innerHTML 与 textContent 对 XSS 风险的差异是什么”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要明确哪些 DOM API 会解析 HTML 而哪些只做文本赋值，并给出安全的动态渲染方式。
核心关键词innerHTML textContent XSS 安全 DOM - 0041
为什么 XSS 防御要按 HTML、属性、JavaScript、URL 等不同上下文分别做输出编码？
围绕“为什么 XSS 防御要按 HTML、属性、JavaScript、URL 等不同上下文分别做输出编码”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明同一数据在不同渲染上下文中需要的编码规则不同及原因。
核心关键词XSS 输出编码 上下文 HTML 属性 JavaScript - 0042
允许用户提交富文本时，如何用白名单消毒（如 DOMPurify）防止 XSS？
围绕“允许用户提交富文本时，如何用白名单消毒（如 DOMPurify）防止 XSS”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明黑名单过滤为何不可靠以及白名单标签/属性消毒的工作方式。
核心关键词富文本 XSS DOMPurify HTML 消毒 白名单 - 0043
存储型、反射型与 DOM 型 XSS 的区别是什么，各自该如何定位与防御？
围绕“存储型、反射型与 DOM 型 XSS 的区别是什么，各自该如何定位与防御”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖回答要按数据流向（服务端存储/请求回显/客户端 DOM 写入）区分三类并给出对应的检测点。
核心关键词XSS 类型 存储型 反射型 DOM型 区别