安全

权限缓存的核心代码就这么几行 最近重构了一个老项目，权限管理这块之前写得乱七八糟，每次进入页面都重新请求权限数据，用户体验差得要命。这次直接搞了个权限缓存系统，效果立竿见影。 先上核心代码： clas...

非对称加密方案对比：RSA vs ECC vs EdDSA 最近在做一个安全登录的项目，涉及到用户密码传输加密的问题。虽然之前也接触过非对称加密，但都是用现成的库糊弄过去，这次决定好好研究一下各种方案...

License验证这破事，折腾了我三天 最近接了一个客户项目，需要做个License验证的功能，看起来挺简单的事情，结果被各种安全绕过搞得很头疼。本来想着就是简单的接口验证，没想到客户那边还有各种特殊...

这次搞隐私设计差点翻车 上个月接了个新项目，客户要求特别注重用户隐私保护。本来以为就是常规的GDPR合规那一套，结果做得时候才发现完全不是那么回事。各种数据收集、存储、传输的安全要求，还有用户的同意管...

这次项目真的让我重新认识了生物识别 上个月接了个企业内部系统的需求，需要集成指纹和面部识别登录。说实话，一开始我以为就是调个API的事儿，结果项目一启动才发现，这玩意儿比想象中复杂太多了。特别是浏览器...

我的写法，亲测靠谱 说实话，unsafe-eval这个东西我在实际项目中用得并不多，但每次遇到相关问题都得重新折腾一遍。之前做数据可视化平台的时候，有个动态组件加载的需求，用户可以上传自定义的Java...

先说说为什么我会用WebAssembly 最近项目里有个图像处理的需求，用户上传图片后要做一些复杂的滤镜算法。之前都是用Canvas + JavaScript处理，结果发现CPU占用特别高，尤其是处理...

优化前：卡得不行 最近重构一个老项目，这个系统的登录验证用的是传统Session机制。本来以为Session挺简单的，结果一压测就发现问题了。高峰期的时候页面加载时间直接飙到5秒多，有些请求甚至超时。...

优化前：卡得不行 最近接手了一个老项目，用户反映页面加载特别慢，有时候要等个5-6秒才能看到主要内容。打开Chrome DevTools一看，各种资源加载时间长到离谱，特别是第三方资源和CDN的请求，...

优化前：卡得不行 最近接手一个老项目，用户反馈页面加载特别慢，尤其是首页。Chrome DevTools 显示首屏渲染要6-8秒，其中字体资源占了很大一部分时间。优化前的状态就是，页面内容都出来了，但...

session被劫持了，差点翻车 上周遇到一个诡异的问题，用户反馈账号莫名被盗用了。查了半天日志才发现是session被劫持了，具体表现就是同一个账号在不同地方同时登录，而且是从不同IP过来的。说实话...

DOM-based XSS防护：这几种方案我踩坑无数次了 说到DOM-based XSS，我真的是又爱又恨。前阵子在做项目安全加固的时候，被这玩意儿折腾得够呛。各种防护方案试了个遍，今天把踩过的坑都记...

HTTPS方案对比，我踩过的那些坑都在这了 最近重构一个老项目的安全策略，重新梳理了一下HTTPS的各种实现方案。说起来惭愧，虽然做了这么多年前端，但真正深入理解HTTPS的不同部署方式还是在最近几个...

密码过期这个需求，真是一言难尽 最近接了个企业内部系统的重构项目，其中一个需求就是密码过期管理。说实话，一开始我觉得这功能挺简单的，就是设置个过期时间，到期提示用户修改密码呗。结果项目做下来才发现，这...

安全防护还是麻烦制造 上个月接手了一个老项目的安全性重构，其中最重要的就是CSRF防护。其实这块之前也接触过，但真正深入去做才发现，看似简单的CSRF Token在实际项目中还挺复杂，特别是要考虑用户...

我的写法，亲测靠谱 输入验证这块儿，我踩过的坑数都数不清了。最开始的时候就是简单的正则匹配一下，结果线上bug频发，用户输入各种奇怪的内容都能绕过验证。后来学乖了，现在我都是前后端双重验证，而且验证规...

优化前：卡得不行 做密码加密这块，之前一直用的scrypt算法，本来以为挺安全的，结果测试环境一跑，好家伙，用户登录一次要等个3-5秒，页面直接假死。客户端这边还好，最烦的是服务端，高并发一来，CPU...

为什么我们决定搞白盒测试 去年底接手一个内部管理后台重构项目，前端用的是 React + TypeScript，后端是 Node.js。这个系统权限控制特别复杂，角色、部门、资源粒度都很细，而且很多逻...

打包后的代码被扒了，我急得直拍大腿 上周五快下班的时候，同事突然跑来问我：“你那个新功能的接口密钥是不是写死在前端了？怎么被人直接反编译出来调我们测试接口了？”我一听就懵了——这项目明明用了 Webp...

项目初期的技术选型 去年接了个内部管理后台的活，前端团队就我和另一个同事。需求看起来挺常规：用户权限分级、敏感操作留痕、前后端分离。但安全这块老板特别上心，说之前吃过 XSS 和 CSRF 的亏，这次...