前端安全面试题汇总及参考答案

目录

简述 XSS 攻击的原理及三种常见类型（存储型、反射型、DOM 型）

如何在前端防御 XSS 攻击？列举编码、过滤、CSP 策略的具体实现方式

富文本编辑器场景下如何安全处理用户输入的 HTML 内容？

如何通过 HttpOnly 属性增强 Cookie 安全性？它与 XSS 防御的关系是什么？

举例说明 DOM 型 XSS 的攻击路径及防御方法

内容安全策略（CSP）如何配置以限制脚本加载来源？如何通过 标签或 HTTP 头启用 CSP？

如何利用 X-XSS-Protection 响应头增强浏览器端的 XSS 过滤？

为什么仅依赖前端过滤无法彻底防御 XSS？后端应如何配合？

在 Vue/React 框架中，如何通过内置机制（如 v-html 转义、JSX 自动编码）避免 XSS？

如何检测网站是否存在 XSS 漏洞？列举常用工具（如 OWASP ZAP、Burp Suite）

假设某网站评论区存在存储型 XSS，请描述攻击者从注入到攻击成功的完整流程

分析 eval () 和 innerHTML 的使用风险，给出替代方案

解释 CSRF 攻击的原理，说明其依赖的同源策略漏洞

列举 CSRF 的三种防御方案（Token 验证、SameSite Cookie、双重 Cookie 校验）

如何实现 CSRF Token 的生成、传递及服务端校验逻辑？

SameSite 属性的三个取值（Strict/Lax/None）分别适用于哪些场景？

为什么 CSRF 攻击需要用户已登录目标网站？如何构造恶意请求诱导用户触发？

如何通过验证 Referer 和 Origin 头防御 CSRF？其局限性是什么？

在 RESTful API 设计中，如何区分安全方法（GET）和非安全方法（POST/PUT）以降低 CSRF 风险？

若网站同时存在 XSS 和 CSRF 漏洞，攻击者可能如何组合利用？

单页面应用（SPA）中如何安全存储和传递 CSRF Token？

第三方支付接口如何防范 CSRF 攻击？以支付宝回调为例说明

描述点击劫持（Clickjacking）的攻击原理及典型案例（如虚假按钮覆盖）

如何通过 X-Frame-Options 响应头禁止页面被嵌入到

使用 JavaScript 如何检测当前页面是否被嵌套并强制跳转至顶层窗口？

现代浏览器如何通过 Content - Security - Policy: frame - ancestors 增强防御？

除了点击劫持，界面伪装攻击还有哪些形式（如 URL 钓鱼、样式欺骗）？

前端敏感数据（如 Token、密码）应如何安全存储？对比 localStorage 与 sessionStorage 的风险。

HTTPS 如何防止中间人攻击（MITM）？简述 SSL/TLS 握手过程。

如何在前端实现数据加密？列举 Web Crypto API 或库（如 CryptoJS）的使用场景。

为什么明文传输敏感信息（如密码）存在风险？如何通过哈希加盐增强安全性？

如何防御 JSON 劫持攻击？说明 while (1); 前缀的防护原理。

在文件上传功能中，如何防范恶意文件（如木马、超大文件）上传？

如何通过 Subresource Integrity (SRI) 确保第三方 CDN 资源的完整性？

前端日志监控中，如何避免记录敏感信息（如用户身份、支付数据）？

如何通过 npm audit 或 Snyk 检测第三方库的已知漏洞？

锁定依赖版本（package - lock.json）对安全维护的意义是什么？

如何防范恶意 npm 包（如 typosquatting 攻击）？列举最佳实践。

前端项目中，如何安全引入第三方脚本（如统计代码、广告 SDK）？

如何通过沙箱机制（如 iframe 隔离、Web Workers）限制第三方代码的权限？

列举必须配置的 HTTP 安全响应头（如 Strict - Transport - Security、X - Content - Type - Options）

如何通过 Content - Security - Policy 限制资源加载策略？

如何通过 Feature - Policy 控制浏览器功能（如摄像头、地理位置）的访问权限？

如何防止 MIME 类型嗅探攻击（如 X - Content - Type - Options: nosniff）？

如何通过 Access - Control - Allow - Origin 正确配置 CORS 策略？

会话劫持（Session Hijacking）与 Cookie 盗取的防御措施

输入验证不足可能导致哪些攻击（如 SQL 注入、路径遍历）？后端如何协作防御？

如何防范暴力破解攻击？列举前端限速、验证码、密码复杂度策略。

前端代码混淆与压缩对安全防护的作用及局限性