安全
深耕开发安全场景，解答漏洞排查、攻防实战与合规落地中的各类安全疑问。
-
1
回答
713浏览
为什么CORS预检请求返回403时，我的自定义头被服务器拒绝了？
最近在做跨域文件上传时遇到个问题：前端用fetch发送POST请求带了multipart/form-data格式和自定义头X-File-Hash，但预检OPTIONS请求一直返回403。服务器日志显示...
-
2
回答
39浏览
为什么我的Vue项目跨域请求总是被阻止？
我在Vue项目里用axios请求后端接口时，浏览器一直报CORS错误。明明后端同事说已经配置了headers，但页面还是显示“No 'Access-control-allow-origin'头”。 我...
-
2
回答
21浏览
OAuth2.0静默刷新时怎么避免重复发送refresh_token请求？
我在做前端静默刷新访问令牌时遇到个问题，当用户快速切换页面时，多个定时器同时触发导致重复发送了refresh_token请求。比如这样写的： let refreshTimeout; function ...
-
2
回答
26浏览
React表单提交时如何安全处理包含PII的用户数据？
在开发用户注册表单时，需要收集姓名和电话号码这些PII信息。我用useState保存输入值，提交时通过fetch发送到后端，但担心前端存储和传输过程中的数据泄露风险。虽然用了HTTPS，但直接存储在s...
-
2
回答
25浏览
配置Public-Key-Pins头后浏览器还是报证书错误怎么办？
我给网站配置了Public-Key-Pins头，参考了文档写死了当前证书和备用密钥的pin值，但访问时Chrome还是提示“证书无效”。明明证书指纹和includeSubDomains参数都对，是不是...
-
1
回答
44浏览
代码混淆后函数名变成乱码，但运行时报错找不到原始函数名怎么办？
我在用JavaScript的代码混淆工具处理一段代码时遇到问题。混淆后的函数名都变成了标签？
-
2
回答
85浏览
X-Content-Type-Options设置后为什么响应头里看不到这个字段？
我在nginx里加了X-Content-Type-Options: nosniff，但用开发者工具看响应头时根本找不到这个字段，明明其他自定义头都显示了，是不是配置位置有问题？ 尝试过把代码写在ser...
-
1
回答
48浏览
怎么在防止SQL注入的同时隐藏具体错误信息？
我在做用户登录功能时发现一个问题，用JavaScript拼接SQL语句时虽然用了参数化查询，但后端返回的错误信息里会暴露数据库表结构： const query = <code>SELECT...
-
2
回答
93浏览
设置了CSP后图片无法加载，却显示’strict-dynamic’相关错误？
我在给项目配置CSP时遇到了奇怪的问题。设置了后页面报错： <!DOCTYPE html> <html> <head> <meta http-equiv="C...
-
2
回答
78浏览
HMAC签名在前端加密时，为什么服务端验证总是失败？
我在给登录接口加HMAC签名验证时遇到了问题。按照文档用CryptoJS生成签名，把时间戳和参数按字母排序后拼接，但服务端一直返回"签名无效"。试过确认密钥和算法都正确，连请求头的Content-Ty...
-
1
回答
180浏览
Vue组件里用Web Crypto加密后的数据在服务端无法解密怎么办？
我在做一个聊天功能时用Vue实现端到端加密，按照文档用Web Crypto的subtle加密了消息内容，但服务端返回"无法解密"的错误。试过把加密结果转成Base64，但后端说数据格式不对。 这是我的...
-
1
回答
27浏览
用户输入的javascript:伪协议怎么防不住XSS？
在React项目里处理用户提交的留言内容时，发现如果用户输入类似javascript:alert(1)这样的内容，直接渲染后居然真的会执行脚本。虽然用了DOMPurify清理和转义特殊字符，但测试输入...
-
1
回答
33浏览
前端用Argon2哈希密码后，跨域请求被拦截怎么办？
我在前端用JavaScript调用Argon2对用户密码进行哈希处理，然后通过fetch发送到后端，但一直报错“Blocked by CORS policy: No 'Access-Control-A...
-
2
回答
32浏览
设置了font-src为什么字体还是被阻止加载？
我在项目里用Google字体时遇到了CSP报错，明明在HTTP头里写了font-src fonts.gstatic.com，但控制台还是提示“Blocked loading font”... 这是我的...
-
2
回答
65浏览
Vue的Self检测在iframe里总是返回false怎么办？
在Vue组件里嵌入第三方iframe时，按照文档写了Self检测逻辑，但点击完全没反应，Self检测好像没生效，哪里出问题了？ 我的组件结构是这样的，用iframe引用了支付页面： <templ...
-
2
回答
48浏览
设置Cross-Origin-Resource-Policy后图片还是被阻止了怎么办？
我给服务器配置了cross-origin-resource-policy: same-site，但跨域加载图片时还是出现这个错误：Blocked by Cross-Origin Resource Po...
-
2
回答
35浏览
为什么用innerHTML渲染用户输入时会引发XSS漏洞？
最近在做论坛项目时，用innerHTML动态显示用户提交的评论内容，结果被测试工具提示存在XSS漏洞。我尝试过滤了输入里的尖括号和script关键字，但漏洞检测还是报错，这是为什么呢？ 代码是这样的：...
-
2
回答
33浏览
用户组权限样式的CSS优先级问题怎么解决？
大家好，我在做用户组权限样式区分时遇到个问题。现在有管理员、普通用户、访客三个用户组，需要给按钮显示不同样式： .user-btn { background: #ccc; } .admin .user...
-
1
回答
28浏览
yarn.lock损坏后重建导致依赖版本变动怎么办？
在部署项目时发现yarn.lock文件损坏了，我删掉后重新运行yarn install，但新生成的yarn.lock里好多依赖版本都变了，这会不会引入安全漏洞？ 之前用npm audit发现有个高危漏...
-
2
回答
36浏览
React表格组件如何根据角色动态隐藏特定列？
我现在在做用户管理页面，不同角色需要看到的表格列不一样。比如普通用户只能看姓名和邮箱，管理员还能看到创建时间和角色列。尝试用条件渲染写成这样： function UserTable({ users, ...
