前端面试javascript要点简述（中）

小咪咪 2022-12-07 11:38 106阅读 0赞

## 1.跨域 ##

### 1.1 可以允许跨域的3个html标签 ###

*  img
 *  link
 *  script

### 1.2 方法 ###

*  jsonp
 *  服务端设置 http header
 *  反向代理 如nginx

## 2.cookies与token ##

*  `cookies`在每次请求时都会带上。`token`是自定义的参数，可自定义进行传递，通常在header上带上
 *  `cookies`容量大小只有4kb，不像LocalStorage和SessionStorage有5M。另外`cookies`是字符串api过于简单，通常需要结合第三方库进行操作
 *  `CSRF攻击`的原因是由于浏览器会自动带上`cookie`，但浏览器不会自动带上`token`

什么是`CSRF`?

csrf：跨站请求攻击，简单地说，是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并运行一些操作（如发邮件，发消息，甚至财产操作如转账和购买商品）。由于浏览器曾经认证过，所以被访问的网站会认为是真正的用户操作而去运行。这利用了web中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的。**csrf并不能够拿到用户的任何信息，它只是欺骗用户浏览器，让其以用户的名义进行操作**。

什么是`XSS`?

xss：用户通过各种方式**将恶意代码注入**到其他用户的页面中。就可以通过脚本获取信息，发起请求，之类的操作。

## 3.浏览器资源加载过程 ##

*  输入/通过url访问网站
 *  url通过dns解析域名成IP
 *  通过IP发起http请求
 *  服务端接收请求并返回内容
 *  浏览器接收内容并渲染页面

## 4.网页渲染过程 ##

*  根据返回的html生成DOM Tree
 *  根据css生成CSSOM
 *  Dom Tree和CSSOM 整合形成 Render Tree
 *  Render Tree渲染和展示
 *  遇到`<script>`会进行阻塞

## 5.window.onload与DOMContentLoaded ##

*  `window.onload`事件监听是指页面所有资源加载完毕后执行(包括图片、视频等)
 *  `DOMContentLoaded`事件监听指DOM加载完成后执行(不包括异步加载的资源如图片、视频…)