Session 固定攻击与 Session 劫持分别怎么发生，登录成功后为什么要重新生成 Session ID？
Session 固定攻击与 Session 劫持分别怎么发生，登录成功后为什么要重新生成 Session ID？ 本文先给出可直接复述的结论，再用最小代码说明Session 固定攻击 劫持 重新生成 Session ID的工作方式、判断依据、项目边界和常见误区。
核心关键词Session 固定攻击 劫持 重新生成 Session ID
面试知识索引 · 分类、标签与搜索
安全专题面试题，336 道完整答案
安全专题面试题第 4 页，显示第 151–200 题，共找到 336 道完整解析，可继续按分类、标签与关键词缩小范围。
336筛选结果
52技术分类
178检索标签
7索引分页
快速定位
清除全部筛选分类、标签与关键词搜索
技术分类52 个
全部分类5000AI Agent511浏览器301JavaScript285React281AI 开发262CSS240Node.js217TypeScript206Vue180前端工程化138React Native135
查看全部 52 个分类
热门标签178 个
查看其余 163 个标签
测试109数据库事务95实时通信92Web 可访问性90动画79可观测性77Agent 记忆75向量检索66工具调用66LangGraph59Prompt56任务规划53排障与运维53数据库索引52浏览器自动化51Flexbox50值与类型50GraphQL49事务与并发49构建与镜像49DNS 与 TLS48工程协作与交付48AI 评测47CSS Grid47Express 服务47MCP47副作用与同步47向量与嵌入47文件与多媒体47流与二进制47传输与协议46列表与性能46可维护代码46响应式原理46容器运行46指标日志追踪46数据建模与运维46文件与 I/O46表单与输入46MCP 协议45RAG45Vite 与模块构建45Webpack45内存与虚拟化45原生集成45多 Agent45工作负载与发布45应用与性能45数据处理45模块与工具链45组件与模板45缓存与数据结构45网络与运维45评估与调试45身份认证与授权45运行时与开发45Web 系统方案44一致性与容错44侦听与生命周期44分布式使用44原生组件与交互44可访问交互44消息与异步处理44渲染与调度44索引与执行计划44组件设计44缓存与代理44进程与并发44层叠与选择器43攻击面与防御43文档数据库43权限与安全43离线与渐进增强43语义与文档43请求与通信 API43Worker 与线程协作42事件系统42存储与离线数据42服务架构42服务端与流式渲染42服务端工程42泛型设计42版本控制42类型收窄42类型运算42组件与端到端42编码与执行42进程与线程42DOM 与文档操作41Flex 布局41HTTP 语义41NestJS 架构41REST 与接口契约41SQL 查询41加载与交互性能41动画与视觉41类型工程41记忆与状态41运行时与调度41Agent 架构40WebAssembly 集成40单元与集成测试40多 Agent 协作40工作流编排40模块与语言机制40浏览器与 UI 自动化40生产运行40函数与作用域39响应式设计39性能与并发39类型系统基础39Grid 布局38数组与集合38盒模型与排版38Hooks 与复用37应用开发37推理与成本37状态共享37知识库数据37模型与应用评测36对象与原型35状态与渲染35语言与并发35异步与 Promise34Effect32RAG 检索31React 性能31响应式与性能31微调与数据31TanStack Query30全栈边界30数据与缓存30大模型基础29路由与数据流29事件循环28流式交互28提示与上下文设计27数据与服务端27组件与依赖注入27组件与响应式27多模态应用24应用与渲染24Hydration22沙箱安全22状态管理18算法18CI/CD13语言与运行时10React Server Components6搜索与排序4实用函数实现3链表栈队列3图算法2字符串算法2树与遍历2索引与高级结构2Kubernetes1作用域与函数1动态规划1异步与浏览器1手写与交互性能1数组与双指针1相等比较1
第 4 页
本页面试问题
按稳定语义路径排序
- 0151
- 0152
服务端 Session 的绝对超时与滑动（空闲）超时应该怎么设，为什么只设滑动超时不够？
服务端 Session 的绝对超时与滑动（空闲）超时应该怎么设，为什么只设滑动超时不够？ 本文先给出可直接复述的结论，再用最小代码说明Session 超时 绝对超时 滑动超时的工作方式、判断依据、项目边界和常见误区。
核心关键词Session 超时 绝对超时 滑动超时 - 0153
Session 与 JWT 两种认证方式在服务端状态、扩展性和登出处理上各有什么取舍？
Session 与 JWT 两种认证方式在服务端状态、扩展性和登出处理上各有什么取舍？ 本文先给出可直接复述的结论，再用最小代码说明Session 与 JWT 认证方式对比 取舍的工作方式、判断依据、项目边界和常见误区。
核心关键词Session 与 JWT 认证方式对比 取舍 - 0154
单点登录场景下如何实现单点登出，为什么只清本地 Session 不等于真正登出？
单点登录场景下如何实现单点登出，为什么只清本地 Session 不等于真正登出？ 本文先给出可直接复述的结论，再用最小代码说明SSO 单点登出 front-channel back-channel logout的工作方式、判断依据、项目边界和常见误区。
核心关键词SSO 单点登出 front-channel back-channel logout - 0155
为什么多租户系统要在请求进入时建立租户上下文并强制所有查询携带 tenant_id，漏掉一个查询会怎样？
为什么多租户系统要在请求进入时建立租户上下文并强制所有查询携带 tenant_id，漏掉一个查询会怎样？ 本文先给出可直接复述的结论，再用最小代码说明多租户 租户上下文 tenant_id 查询过滤的工作方式、判断依据、项目边界和常见误区。
核心关键词多租户 租户上下文 tenant_id 查询过滤 - 0156
访问令牌被盗后攻击者直接重放怎么办，DPoP 这类发送方约束令牌如何缓解令牌重放？
访问令牌被盗后攻击者直接重放怎么办，DPoP 这类发送方约束令牌如何缓解令牌重放？ 本文先给出可直接复述的结论，再用最小代码说明访问令牌被盗重放 DPoP 发送方约束的工作方式、判断依据、项目边界和常见误区。
核心关键词访问令牌被盗重放 DPoP 发送方约束 - 0157
navigator.clipboard.readText 读取剪贴板前应如何提示并处理空内容、权限拒绝与格式不符？
navigator.clipboard.readText 读取剪贴板前应如何提示并处理空内容、权限拒绝与格式不符？ 本文先给出可直接复述的结论，再用最小代码说明Clipboard readText 权限 拒绝 空内容的工作方式、判断依据、项目边界和常见误区。
核心关键词Clipboard readText 权限 拒绝 空内容 - 0158
navigator.clipboard.writeText 为什么常在非用户激活或权限被拒时失败？
navigator.clipboard.writeText 为什么常在非用户激活或权限被拒时失败？ 本文先给出可直接复述的结论，再用最小代码说明Clipboard API writeText 权限 用户激活的工作方式、判断依据、项目边界和常见误区。
核心关键词Clipboard API writeText 权限 用户激活 - 0159
用 ClipboardItem 写入 text/html 与 text/plain 时，为什么要同时提供纯文本并清洗 HTML？
用 ClipboardItem 写入 text/html 与 text/plain 时，为什么要同时提供纯文本并清洗 HTML？ 本文先给出可直接复述的结论，再用最小代码说明ClipboardItem text/html text/plain 剪贴板 清洗的工作方式、判断依据、项目边界和常见误区。
核心关键词ClipboardItem text/html text/plain 剪贴板 清洗 - 0160
copy/cut/paste 事件里的 event.clipboardData 与 Clipboard API 读写有什么分工和限制？
copy/cut/paste 事件里的 event.clipboardData 与 Clipboard API 读写有什么分工和限制？ 本文先给出可直接复述的结论，再用最小代码说明copy paste 事件 clipboardData Clipboard API的工作方式、判断依据、项目边界和常见误区。
核心关键词copy paste 事件 clipboardData Clipboard API - 0161
enumerateDevices 为什么在授权前 label 为空，拿到流后应如何刷新设备列表？
enumerateDevices 为什么在授权前 label 为空，拿到流后应如何刷新设备列表？ 本文先给出可直接复述的结论，再用最小代码说明enumerateDevices label 权限 devicechange的工作方式、判断依据、项目边界和常见误区。
核心关键词enumerateDevices label 权限 devicechange - 0162
<input type=file> 的 accept 属性能否当作安全校验，失败体验应怎样兜底？
<input type=file> 的 accept 属性能否当作安全校验，失败体验应怎样兜底？ 本文先给出可直接复述的结论，再用最小代码说明input file accept 属性 校验的工作方式、判断依据、项目边界和常见误区。
核心关键词input file accept 属性 校验 - 0163
Permissions API query 摄像头/麦克风状态时，name 支持与 change 事件边界是什么？
Permissions API query 摄像头/麦克风状态时，name 支持与 change 事件边界是什么？ 本文先给出可直接复述的结论，再用最小代码说明Permissions API query camera microphone的工作方式、判断依据、项目边界和常见误区。
核心关键词Permissions API query camera microphone - 0164
页面里的 iframe 会怎样影响父页面 window load 事件的触发，嵌入慢第三方页面时有哪些隔离手段？
页面里的 iframe 会怎样影响父页面 window load 事件的触发，嵌入慢第三方页面时有哪些隔离手段？ 本文先给出可直接复述的结论，再用最小代码说明iframe load 阻塞 父页面 加载的工作方式、判断依据、项目边界和常见误区。
核心关键词iframe load 阻塞 父页面 加载 - 0165
Cookie 的 HttpOnly、Secure 和 SameSite 属性各自解决什么问题？
本题说明 Cookie 三个安全属性各自的防御目标：HttpOnly 防脚本窃取、Secure 防明文传输窃听、SameSite 防跨站伪造请求，并给出真实配置场景与失效边界。
核心关键词Cookie HttpOnly Secure SameSite 属性作用 - 0166
多个装饰器叠加时执行顺序为什么会影响结果，如何约定顺序？
多个装饰器叠加时执行顺序为什么会影响结果，如何约定顺序？ 本文先给出可直接复述的结论，再用最小代码说明装饰器 执行顺序 组合的工作方式、判断依据、项目边界和常见误区。
核心关键词装饰器 执行顺序 组合 - 0167
依赖倒置原则要求高层模块依赖抽象，在 JavaScript 中抽象边界如何落地？
依赖倒置原则要求高层模块依赖抽象，在 JavaScript 中抽象边界如何落地？ 本文先给出可直接复述的结论，再用最小代码说明依赖倒置 抽象接口 JavaScript的工作方式、判断依据、项目边界和常见误区。
核心关键词依赖倒置 抽象接口 JavaScript - 0168
依赖倒置如何通过注入替身提升模块的可测试性？
依赖倒置如何通过注入替身提升模块的可测试性？ 本文先给出可直接复述的结论，再用最小代码说明依赖倒置 可测试性 mock 注入的工作方式、判断依据、项目边界和常见误区。
核心关键词依赖倒置 可测试性 mock 注入 - 0169
依赖倒置原则与依赖注入是什么关系，注入了就一定满足依赖倒置吗？
依赖倒置原则与依赖注入是什么关系，注入了就一定满足依赖倒置吗？ 本文先给出可直接复述的结论，再用最小代码说明依赖倒置 依赖注入 关系的工作方式、判断依据、项目边界和常见误区。
核心关键词依赖倒置 依赖注入 关系 - 0170
策略模式在运行时切换算法时如何避免共享状态导致的串扰？
策略模式在运行时切换算法时如何避免共享状态导致的串扰？ 本文先给出可直接复述的结论，再用最小代码说明策略模式 运行时切换 状态污染的工作方式、判断依据、项目边界和常见误区。
核心关键词策略模式 运行时切换 状态污染 - 0171
Docker 容器基于命名空间的隔离与虚拟机隔离在安全边界上有什么本质区别？
Docker 容器基于命名空间的隔离与虚拟机隔离在安全边界上有什么本质区别？ 本文先给出可直接复述的结论，再用最小代码说明Docker 容器 虚拟机 隔离 区别 安全的工作方式、判断依据、项目边界和常见误区。
核心关键词Docker 容器 虚拟机 隔离 区别 安全 - 0172
为什么挂载宿主机目录进 Docker 容器后经常出现权限拒绝，如何正确处理 UID 映射？
为什么挂载宿主机目录进 Docker 容器后经常出现权限拒绝，如何正确处理 UID 映射？ 本文先给出可直接复述的结论，再用最小代码说明Docker 挂载目录 权限 UID 属主 问题的工作方式、判断依据、项目边界和常见误区。
核心关键词Docker 挂载目录 权限 UID 属主 问题 - 0173
为什么 Express 接口不能直接把 req.body 整体传给数据库层，白名单过滤怎么做？
为什么 Express 接口不能直接把 req.body 整体传给数据库层，白名单过滤怎么做？ 本文先给出可直接复述的结论，再用最小代码说明Express 批量赋值 白名单 字段过滤的工作方式、判断依据、项目边界和常见误区。
核心关键词Express 批量赋值 白名单 字段过滤 - 0174
Express 的 app.all() 适合什么场景，与 app.use() 语义上差在哪里？
Express 的 app.all() 适合什么场景，与 app.use() 语义上差在哪里？ 本文先给出可直接复述的结论，再用最小代码说明Express app.all 与 app.use 区别的工作方式、判断依据、项目边界和常见误区。
核心关键词Express app.all 与 app.use 区别 - 0175
用客户端传来的文件名直接拼接保存路径，在 Express 上传服务里会造成什么漏洞，如何防？
用客户端传来的文件名直接拼接保存路径，在 Express 上传服务里会造成什么漏洞，如何防？ 本文先给出可直接复述的结论，再用最小代码说明Express 上传 文件名 路径穿越 防护的工作方式、判断依据、项目边界和常见误区。
核心关键词Express 上传 文件名 路径穿越 防护 - 0176
performance.now 比 Date.now 精度高在哪，为什么实际精度仍被限制？
performance.now 比 Date.now 精度高在哪，为什么实际精度仍被限制？ 本文先给出可直接复述的结论，再用最小代码说明performance.now 精度 时间戳的工作方式、判断依据、项目边界和常见误区。
核心关键词performance.now 精度 时间戳 - 0177
GraphQL 如何实现字段级权限控制（如仅本人可见邮箱）？
GraphQL 如何实现字段级权限控制（如仅本人可见邮箱）？ 本文先给出可直接复述的结论，再用最小代码说明GraphQL 字段级 权限 授权的工作方式、判断依据、项目边界和常见误区。
核心关键词GraphQL 字段级 权限 授权 - 0178
GraphQL 的权限校验应该放在 resolver、服务层还是数据层，如何权衡？
GraphQL 的权限校验应该放在 resolver、服务层还是数据层，如何权衡？ 本文先给出可直接复述的结论，再用最小代码说明GraphQL 权限 授权 resolver 层级的工作方式、判断依据、项目边界和常见误区。
核心关键词GraphQL 权限 授权 resolver 层级 - 0179
DataLoader 的请求级缓存为什么必须按请求创建实例而不能全局共享？
DataLoader 的请求级缓存为什么必须按请求创建实例而不能全局共享？ 本文先给出可直接复述的结论，再用最小代码说明GraphQL DataLoader 缓存 请求级 生命周期的工作方式、判断依据、项目边界和常见误区。
核心关键词GraphQL DataLoader 缓存 请求级 生命周期 - 0180
GraphQL 的内省（Introspection）在生产环境是否应该关闭，依据是什么？
GraphQL 的内省（Introspection）在生产环境是否应该关闭，依据是什么？ 本文先给出可直接复述的结论，再用最小代码说明GraphQL introspection 生产环境 安全的工作方式、判断依据、项目边界和常见误区。
核心关键词GraphQL introspection 生产环境 安全 - 0181
如何防止恶意构造的超深嵌套 GraphQL 查询拖垮服务端？
如何防止恶意构造的超深嵌套 GraphQL 查询拖垮服务端？ 本文先给出可直接复述的结论，再用最小代码说明GraphQL 查询深度限制 depth limiting的工作方式、判断依据、项目边界和常见误区。
核心关键词GraphQL 查询深度限制 depth limiting - 0182
GraphQL 查询中变量（variables）解决了什么问题，为什么不能直接拼接字符串？
GraphQL 查询中变量（variables）解决了什么问题，为什么不能直接拼接字符串？ 本文先给出可直接复述的结论，再用最小代码说明GraphQL variables 变量 注入 安全的工作方式、判断依据、项目边界和常见误区。
核心关键词GraphQL variables 变量 注入 安全 - 0183
iframe sandbox 默认限制什么，放行权限要注意什么？
给 <iframe> 加空的 sandbox，浏览器会对嵌入页面施加一组限制，例如脚本、表单提交、顶层导航及同源能力受限。按真实需求加 allow-scripts、allow-forms 等令牌逐项放行。
核心关键词iframe sandbox allow-scripts allow-same-origin 权限 - 0184
HTTP 401 与 403 的语义区别是什么，它们分别要求哪些响应字段配合？
HTTP 401 与 403 的语义区别是什么，它们分别要求哪些响应字段配合？ 本文先给出可直接复述的结论，再用最小代码说明HTTP 401 403 区别 认证 授权的工作方式、判断依据、项目边界和常见误区。
核心关键词HTTP 401 403 区别 认证 授权 - 0185
HTTP CONNECT 方法在 HTTPS 代理隧道中的语义和工作过程是什么？
HTTP CONNECT 方法在 HTTPS 代理隧道中的语义和工作过程是什么？ 本文先给出可直接复述的结论，再用最小代码说明HTTP CONNECT 隧道 代理 HTTPS的工作方式、判断依据、项目边界和常见误区。
核心关键词HTTP CONNECT 隧道 代理 HTTPS - 0186
HPACK 动态表为什么可能带来 CRIME 类压缩侧信道风险
HPACK 动态表为什么可能带来 CRIME 类压缩侧信道风险 本文先给出可直接复述的结论，再用最小代码说明HPACK CRIME 压缩侧信道的工作方式、判断依据、项目边界和常见误区。
核心关键词HPACK CRIME 压缩侧信道 - 0187
为什么修改 Kubernetes ConfigMap 后已运行的 Pod 环境变量不会自动更新？
为什么修改 Kubernetes ConfigMap 后已运行的 Pod 环境变量不会自动更新？ 本文先给出可直接复述的结论，再用最小代码说明Kubernetes ConfigMap 更新 不生效 环境变量的工作方式、判断依据、项目边界和常见误区。
核心关键词Kubernetes ConfigMap 更新 不生效 环境变量 - 0188
Kubernetes 1.25+ 的临时容器（Ephemeral Containers）如何调试无 shell 的镜像？
Kubernetes 1.25+ 的临时容器（Ephemeral Containers）如何调试无 shell 的镜像？ 本文先给出可直接复述的结论，再用最小代码说明Kubernetes Ephemeral Containers 临时容器 调试的工作方式、判断依据、项目边界和常见误区。
核心关键词Kubernetes Ephemeral Containers 临时容器 调试 - 0189
如何用 kubectl auth can-i 定位 Kubernetes RBAC 权限问题？
如何用 kubectl auth can-i 定位 Kubernetes RBAC 权限问题？ 本文先给出可直接复述的结论，再用最小代码说明kubectl auth can-i RBAC 权限排查的工作方式、判断依据、项目边界和常见误区。
核心关键词kubectl auth can-i RBAC 权限排查 - 0190
Kubernetes RBAC 中哪些权限组合会导致权限提升风险？
Kubernetes RBAC 中哪些权限组合会导致权限提升风险？ 本文先给出可直接复述的结论，再用最小代码说明Kubernetes RBAC 权限提升 escalate bind 风险的工作方式、判断依据、项目边界和常见误区。
核心关键词Kubernetes RBAC 权限提升 escalate bind 风险 - 0191
如何为 CI/CD 流水线账号设计最小权限的 Kubernetes RBAC 规则？
如何为 CI/CD 流水线账号设计最小权限的 Kubernetes RBAC 规则？ 本文先给出可直接复述的结论，再用最小代码说明Kubernetes RBAC 最小权限 ServiceAccount 设计的工作方式、判断依据、项目边界和常见误区。
核心关键词Kubernetes RBAC 最小权限 ServiceAccount 设计 - 0192
Kubernetes 用环境变量注入 Secret 比挂载文件多了哪些泄露风险？
Kubernetes 用环境变量注入 Secret 比挂载文件多了哪些泄露风险？ 本文先给出可直接复述的结论，再用最小代码说明Kubernetes Secret 环境变量 挂载 泄露风险的工作方式、判断依据、项目边界和常见误区。
核心关键词Kubernetes Secret 环境变量 挂载 泄露风险 - 0193
为什么 chmod -R 777 或 chown -R 到错误目录是高危操作，如何安全执行批量权限变更？
为什么 chmod -R 777 或 chown -R 到错误目录是高危操作，如何安全执行批量权限变更？ 本文先给出可直接复述的结论，再用最小代码说明linux chmod -R 777 危险 批量改权限 find的工作方式、判断依据、项目边界和常见误区。
核心关键词linux chmod -R 777 危险 批量改权限 find - 0194
文件权限看起来没问题却仍 Permission denied，要检查哪些层次？
文件权限看起来没问题却仍 Permission denied，要检查哪些层次？ 本文先给出可直接复述的结论，再用最小代码说明linux Permission denied 排查 目录x权限 ACL的工作方式、判断依据、项目边界和常见误区。
核心关键词linux Permission denied 排查 目录x权限 ACL - 0195
Linux 目录上的 r、w、x 权限分别控制什么操作？
Linux 目录上的 r、w、x 权限分别控制什么操作？ 本文先给出可直接复述的结论，再用最小代码说明linux 目录权限 rwx 含义 区别的工作方式、判断依据、项目边界和常见误区。
核心关键词linux 目录权限 rwx 含义 区别 - 0196
如何为运维脚本配置最小权限的 sudo 免密执行而不开放全部命令？
如何为运维脚本配置最小权限的 sudo 免密执行而不开放全部命令？ 本文先给出可直接复述的结论，再用最小代码说明linux sudoers NOPASSWD 最小权限 配置的工作方式、判断依据、项目边界和常见误区。
核心关键词linux sudoers NOPASSWD 最小权限 配置 - 0197
umask 如何决定新建文件和目录的默认权限，运维排障中何时需要检查它？
umask 如何决定新建文件和目录的默认权限，运维排障中何时需要检查它？ 本文先给出可直接复述的结论，再用最小代码说明linux umask 默认权限 计算的工作方式、判断依据、项目边界和常见误区。
核心关键词linux umask 默认权限 计算 - 0198
NestJS 的 ConfigurableModuleBuilder 相比手写 forRoot 有什么优势？
NestJS 的 ConfigurableModuleBuilder 相比手写 forRoot 有什么优势？ 本文先给出可直接复述的结论，再用最小代码说明NestJS ConfigurableModuleBuilder 动态模块的工作方式、判断依据、项目边界和常见误区。
核心关键词NestJS ConfigurableModuleBuilder 动态模块 - 0199
NestJS 守卫和 Express 中间件在职责上如何分工？
NestJS 守卫和 Express 中间件在职责上如何分工？ 本文先给出可直接复述的结论，再用最小代码说明NestJS Guard 中间件 区别的工作方式、判断依据、项目边界和常见误区。
核心关键词NestJS Guard 中间件 区别 - 0200
NestJS 中什么时候必须用 @Inject() 装饰器显式注入？
NestJS 中什么时候必须用 @Inject() 装饰器显式注入？ 本文先给出可直接复述的结论，再用最小代码说明NestJS @Inject 装饰器 自定义 token的工作方式、判断依据、项目边界和常见误区。
核心关键词NestJS @Inject 装饰器 自定义 token