页面白屏

页面白屏

网络请求，返回状态

组件样式布局，组价未显示

网页卡顿原因

1. 网络请求是否过多，导致数据传输变慢，可通过缓存优化
2. 资源bundle太大，考虑拆分
3. 代码是否有太多循环在主线程上花费太长时间
4. 浏览器某个帧中渲染太多东⻄
5. 页面渲染时，大量回流和重绘
6. 内存泄露

动画性能优化

1. 合理布局
2. transform代替left、top 减少重排
3. 硬件加速
4. 避免不必要的图形层
5. requestAnimationFrame实现动画

动画每一帧都是re-render，显示器刷新频率 60 HZ，意味着每一帧任务耗时不超过 16ms

前端安全

XSS和CSRF攻击

XSS跨站脚本攻击

Cross Site Scripting 为了和 CSS 区别，CSS 指的是层叠样式表 (Cascading Style Sheets)

用户输入或使用其他方式向代码中注入其他JS，然后JS代码被执行。

1. 可能是写一个死循环、获取cookie登录
2. 监听用户行为
3. 修改DOM伪造登录表单
4. 页面生成浮窗广告

反射型

XSS代码通过URL注入。

因为恶意脚本通过作为网络请求的参数，经过服务器，然后反射到HTML文档中执行解析，服务器不会存储这些恶意脚本。

反射型 XSS 漏洞常见于通过 URL 传递参数的功能，如网站搜索、跳转等。

存储型

如论坛发帖、商品评论、用户私信等。

文档型

XSS攻击不会经过服务端，作为中间人的角色，数据传输过程劫持到网络数据包，然后修改里面的HTML文档。

劫持包括：

1. WIFI路由劫持
2. 本地恶意软件

DOM 型 XSS 跟前两种 XSS 的区别：DOM 型 XSS 攻击中，取出和执行恶意代码由浏览器端完成，属于前端 JavaScript 自身的安全漏洞，而其他两种 XSS 都属于服务端的安全漏洞。

防范：一个信念，两个利用

1.对输入转码过滤

2.利用CSP

浏览器内容安全策略，核心就是服务器决定浏览器加载哪些资源，功能：

1. 限制其他域下的资源加载
2. 禁止向其它域提交数据
3. 提供上报机制

3.HttpOnly

HttpOnly类型的cookie阻止JS对其的访问(标记或授权对话)

阻止 XSS 攻击：服务器对脚本进行过滤或转码，利用 CSP 策略，使用 HttpOnly；

CSRF-跨站伪造请求（钓鱼）

Cross-Site Request Forgery

攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证（比如cookie），绕过后台的用户验证，因此可以冒充用户对被攻击的网站执行某项操作。

利用所在网站的目前登录信息，悄悄提交各种信息，比XSS更恶劣。

本质：利用cookie会在同源请求中携带发送给服务器的特点，以此冒充用户。

利用服务器的验证漏洞和用户之前的登录状态模拟用户操作。

点击链接后，可能发生3件事

1. 自动发送GET请求。利用src发送请求
2. 自动发送POST请求
3. 诱导点击发送GET请求

防范

1.SameSite

1. 在Lax模式，宽松一点，但是只能在 get 方法提交表单况或者a 标签发送 get 请求的情况下可以携带 Cookie，其

他情况均不能。

1. 在None模式下，也就是默认模式，请求会自动携带上 Cookie。

2.验证来源站点

请求头中的origin和referer

origin只包含域名信息，referer包含具体的URL路径。

3.CSRF Roken

利用token（后端生成的一个唯一登陆态，传给前端保存）每次前端请求都会带token，后端检验通过才同意请求。

敏感操作需要确认敏感信息的cookie只能有较短的生命周期

4.安全框架

如Spring Security。

SQL注入攻击

Sql 注入攻击，将恶意的 Sql查询或添加语句插入到应用的输入参数中，再在后台 Sql服务器上解析执行。

如何让Web服务器执行攻击者的SQL语句？

SQL注入的常规操作就是将有毒的SQL语句放置于Form表单或请求参数之中，然后提交到后端服务器，如果后端服务器没有做输入安全检查，直接将变量取出执行SQL语句，就容易中招。

预防方式如下：

严格检查输入变量的类型和格式过滤和转义特殊字符

对访问数据库的Web应用程序采用Web应用防火墙

其他种类的攻击：

DDoS全称Distributed Denial of Service：分布式拒绝服务攻击。是拒绝服务攻击的升级版。拒绝攻击服务顾名思义，让服务不可用。常用于攻击对外提供服务的服务器，像常见的：

Web服务邮件服务

DNS服务即时通讯服务

DNS劫持

JSON劫持

暴力破解