安全

又被安全测试虐了一顿，这次是XSS漏洞 最近项目上线前做安全测试，又被抓了个典型问题——XSS漏洞。说来惭愧，这种老生常谈的问题居然还能翻车。事情是这样的：我们有个评论功能，用户提交的内容直接渲染到页...

SQL审计踩坑记：这锅我不背 前两天被后端同事叫过去，说是我写的前端代码导致SQL注入问题。我当时就懵了，心想前端怎么会导致SQL注入呢？折腾了半天才发现，原来是接口调用的时候参数处理不当惹的祸。 这...

开头直接说：为什么我要对比这几种Anti-CSRF方案 最近在开发一个新项目的时候，遇到了CSRF防护的需求。说实话，Anti-CSRF Token这种东西我之前用过不少次，但这次因为涉及到前后端分离...

为什么我要对比这几个方案？ 最近在做一个项目，涉及到用户敏感信息的隐藏和保护。比如用户的身份证号、手机号这些数据，在界面上需要部分隐藏。这种需求其实很常见，但具体实现方式却有不少坑。我试了几种常见的技...

又踩坑了，Session Cookie居然丢了 最近在开发一个后台管理系统的时候，遇到一个特别诡异的问题：用户登录状态总是莫名其妙丢失。折腾了半天发现是Session Cookie出了问题。这里我踩了...

优化前：卡得不行 最近在搞一个电商项目，首页加载速度慢到让我怀疑人生。首屏渲染时间动不动就5秒以上，用户反馈说页面“卡得受不了”。尤其是登录态的处理，每次请求都要带着一堆Cookie跑来跑去，性能损耗...

项目初期的技术选型 前段时间接了个项目，是个用户管理系统。客户特别强调了安全性，尤其是密码这块，不能存明文，得加密。其实这需求挺常见的，但当时我也没想太多，觉得无非就是加个哈希函数完事了。 最开始我打...

innerHTML的坑，你踩过几个？ 最近在重构一个老项目的时候，又遇到了innerHTML这个让人又爱又恨的东西。说真的，我挺喜欢用innerHTML的，直接拼接HTML字符串，简单粗暴效率高。但问...

项目背景和敏感信息问题的由来 最近做了一个电商后台管理系统，涉及到订单、用户数据的管理。开始觉得不就是个普通的 CRUD 项目嘛，结果上线后发现敏感信息泄露的问题挺严重的。用户的手机号、地址这些隐私数...

先看效果，再看代码 SAML（Security Assertion Markup Language）这玩意儿，说白了就是一种单点登录（SSO）的技术。我最近在项目里用它实现了用户通过第三方系统登录的功...

先说结论：Base64编码的几种实现，我更喜欢用浏览器原生API 最近在做一个图片上传的功能，涉及到Base64编码转换。说实话，这个看似简单的需求让我折腾了好久，试了三四种不同的实现方式，踩了不少坑...

项目初期的技术选型 最近在开发一个用户登录系统时，验证码成了绕不开的一环。说实话，开始我挺纠结的，到底是用传统的图形验证码，还是现在流行的滑块验证，或者直接上短信验证码？后来考虑到安全性和用户体验的平...

列级权限这个需求差点把我整崩溃 最近在做一个后台管理系统，客户提了个需求：不同角色能看到的表格列不一样。一开始觉得挺简单，不就是动态渲染嘛。结果实际做起来才发现，这玩意儿坑太多了。 折腾了大半天，最后...

直接说结论：我偏爱CSP头配置 最近在处理HTTPS站点的安全问题时，block-all-mixed-content这个话题让我折腾了好几天。简单说下我的结论：虽然meta标签和HTTP头部都能实现阻...

项目初期的技术选型 这个项目是一个电商平台的重构，客户对安全性要求特别高。说实话，刚开始我对DevSecOps的理解还停留在概念阶段，觉得就是把安全融入到开发流程中。但实际做起来才发现，这里面门道太多...

我的写法，亲测靠谱 先说结论吧，Session绑定的核心就是保证用户请求和服务器会话的一致性。我一般这样处理： const session = require('express-sessio...

项目初期的技术选型 最近刚结束了一个企业后台管理系统，需求里有一条特别重要：所有用户操作都要记录下来，方便后续审计和问题追溯。说白了就是要做审计追踪（Audit Trail）。我一开始觉得这事儿不复杂...

优化前：卡得不行 最近做的一个项目里，涉及到前端加密的场景。用户登录、表单提交这些操作都得用到加密算法，主要是AES和RSA。一开始没太在意性能问题，直接套了个开源库就上线了。结果上线后发现问题大了—...

直接上手：CSP的基本用法 最近在项目里折腾了一下CSP（Content Security Policy），说真的，这玩意刚开始接触还挺让人头疼的。不过现在回过头看，其实核心就那么几个关键点。我先给你...

我的写法，亲测靠谱 CSP（Content Security Policy）里的frame-ancestors指令，说白了就是用来控制页面能不能被嵌套到iframe里。我在多个项目里都用过这玩意儿，踩...