① nodejs安全嗎
安全是不容忽視的，每個開發者都知道它非常重要，真正嚴肅對待它的卻沒有幾人。我們 RisingStack 希望你能認真對待這一問題——這就是我們整理這份清單來幫助你的原因，你的應用在被成千上萬用戶使用前必須要做安全檢查。
這份清單大部分內容是通用的，不僅適用於Node.js，同樣適用於其他語言和框架，只是一些明確給出了在Node.js中使用的方法。同時推薦你去閱讀我們的引導文章 Node.js security，如果你剛開始使用Node.js，推薦你看這篇文章 first chapter of Node Hero。
配置管理
HTTP 安全頭部
有些關於安全的HTTP頭部是你的網站必須要有的：
Strict-Transport-Security 強制將HTTP請求替換為HTTPS請求
X-Frame-Options 防止點擊劫持
X-XSS-Protection 開啟跨站腳本攻擊（XSS）的過濾，大多數現代瀏覽器支持這個設置
X-Content-Type-Options 禁用瀏覽器對響應內容MIME類型的嗅探，嚴格使用響應的Content-Type的值
Content-Security-Policy 能有效防止多種攻擊，包括跨站腳本和跨站注入
Node.js開發者可以使用Helmet模塊置這些頭部，代碼如下：
var express = require('express');
var helmet = require('helmet');
var app = express();
app.use(helmet());
Koa和ThinkJS框架中可以使用koa-helmet來設置這些頭部，當然有關安全的頭部不止這些，更多請看Helmet和MDN HTTP Headers。
在大多數架構里這些頭部可以設置在web伺服器的配置中（Apache、Nginx），不需要對應用代碼進行改動。在Nginx中的配置：
# nginx.conf
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";
add_header Content-Security-Policy "default-src 'self'";
有一個完整的Nginx配置文件，帥氣的傳送門在此。
如果你想快速檢查你的網站是否有了所有的必須頭部，請使用這個在線檢查器。
客戶端的敏感數據
當發布前端應用時，確保你的代碼里永遠不會包含API密碼和證書，因為它可以被任何人看到。
沒有自動化的方法去檢查你在代碼里寫了敏感數據，但是有兩個可以降低向客戶端暴露敏感數據風險的方法：
使用 pull requests 提交代碼
定期 code review
② flash整站的驗證碼問題
我感覺後者的方法安全一些。
驗證碼的目的在於防止機器刷票。如果將生成和驗證的代碼全部放入前端的flash，有兩個潛在的問題：
1. flash很容易被破解。破解後就可以根據你的程序邏輯，編寫刷票程序。
2. 如果驗證的部分放在前端的話，那麼勢必要將驗證結果發送至後台。如果將驗證結果截獲，是很容易偽造的。
所以，將驗證的邏輯放在伺服器端，安全性更高。
③ 檢測一個輸入框裡面的內容或長度是否合法是用js還是後台技術
原則 是永遠不要相信用戶的輸入
所以，如果你確認對用戶的輸入要求嚴格的話，都是前後台一起做驗證
一般的用戶，用js驗證就可以擋住不合法輸入了
不過對於某些人來說，他還是可以繞過js的驗證，把不合法的值傳到後台，這時後台驗證就可以保證安全了
所以，驗證用戶輸入的嚴格程度根據你的系統要求來
嚴格，前後台一起嚴重
不嚴格，前台js驗證即可（js較後台驗證可以幫你節約一點系統資源）
④ 前端測試有哪幾種類型
目前在軟體系統開發中，測試是一個非常重要的環節，特別是前端測試，有幾種類型的測試被認為是前端測試所必需的，讓我們簡單了解一下。
01
單元測試
在修復bug或添加一點功能時，軟體的其他部分可能會停止工作。為了處理這種情況，單元測試將代碼的各個部分分開，以單獨檢查其准確性。跳過或最小化單元測試可能會導致修復缺陷的成本增加。Javascript單元測試包括一個套件中有組織的測試數量，這些測試彼此不沖突，並且相互之間的依賴性更少。
02
端到端測試
端到端測試涵蓋了應用程序從頭到尾的流程，結束測試跟蹤用戶的旅程，如打開瀏覽器、導航，並體驗完整的生產場景。端到端測試驗證互連系統和軟體系統，它包括一個完整的前端和後端系統。
03
集成測試
集成測試的目的是使模塊/組件按預期運行。集成測試技術應用於許多模塊緊密耦合的大型應用中，模塊被單獨測試，一旦集成，組合行為被驗證，它是與開發並行進行的。在集成測試中，您需要更多的邏輯技能，因為在測試期間，某些模塊可能尚未准備就緒或正在構建中。
集成時使用測試存根和驅動程序，集成測試將分析開發人員實現的邏輯是否遵循規定的標准。當模塊與第三方API交互時，查看響應非常重要。當開發人員跳過單元測試時，集成測試就不可避免了。
04
功能測試
功能測試，用於驗證應用程序或網站對目標用戶能正確工作。使用適當的平台、瀏覽器和測試腳本，以保證目標用戶的體驗將足夠好。功能測試是為了確保程序以期望的方式運行而按功能要求對軟體進行的測試，通過對一個系統的所有的特性和功能都進行測試確保符合需求和規范。
05
可視化/用戶界面測試
視覺/UI測試包括屏幕截圖的驗證。這是一項質量保證活動，旨在確保屏幕在任何設備、屏幕解析度、瀏覽器和操作系統上的外觀與預期一致。通過無頭瀏覽器中捕獲的不同屏幕截圖比較渲染版本的結果，可視化回歸測試允許您檢測偏差。
在構建應用程序時，事情會變得過載和復雜，這種情況很容易破壞現有的功能並引入新的bug—單元、行為和集成測試將到位，以使應用程序穩定。
06
性能/壓力測試
性能測試是一種非功能性技術，它在各種工作負載下檢查軟體的穩定性、響應性、速度、可靠性和資源使用等系統參數。
壓力測試：應用程序被重載以檢查意外行為並了解其承受能力。
為網站執行一個高質量的前端測試將提高生產力，並增加客戶對您的服務的依賴。了解趨勢通用模式並結合專家經驗來定義質量測試套裝是很重要的。
07
跨瀏覽器測試
Web端應用測試主要障礙之一就是在不同的瀏覽器上「測試他們的網站/應用程序」，也稱為「跨瀏覽器測試」或者「兼容性測試」。瀏覽器和瀏覽器版本很多（Google Chrome，Mozilla Firefox，Internet Explorer，Microsoft Edge，Opera，Yandex等），可以通過多種設備（通過台式機，筆記本，智能手機，平板電腦等）訪問網站/應用。）以及可能用於訪問網站的多種操作系統（Windows，MacOS，Linux，Android，iOS等）。
要確保網站的UI/UX及其功能正常運行，並且在「瀏覽器+瀏覽器版本+操作系統+設備配置」的組合上沒有任何BUG，則將需要大量的開發，測試和維護工作。
⑤ 關於表單驗證
看你業務需求，如果安全性比較高的業務，前後端都需要校驗的，前端校驗，主要是針對數據規范性，確保表單數據都是規范數據，提高性能，js或者是jquery都可以的。後端校驗的話，一般是針對業務上的需要或者數據校驗，安全性更高，一般放在入庫之前。
⑥ Web安全是前端還是後端安全居多，Web安全工程師是前端後端一起搞的嗎
您好：大多數安全問題都是以數據為中心，也包括web安全，後端來說存儲的隱秘系統更多一些，雖然大部分漏洞問題都發生在後端，但是前端也會存在一些安全問題，比如XSS跨站，所以WEB安全工程師前後端都需要會一些。
⑦ 前端如何檢測視頻文件損壞
打開文件看看能否正常播放。
對於這種流媒體文件。最簡單的方法是，打開文件點擊播放。如果播放正常就是沒有損壞，或者有輕微損傷。對於一般人來說沒有影響。如果播放不正常，即可確認為有問題。
⑧ 一年經驗Web前端轉Web安全可行嗎
web前端和web安全還是有區別的，前端的工作主要是設計用戶瀏覽的頁面，而web安全主要負責程序的安全，以及web伺服器的安全，網站數據的安全問題。如果說是後端轉做安全的哈還要好點，因為後端懂得web程序以及資料庫等知識，相對容易一點。
⑨ 注冊登錄對比
常見登錄方式：
1、手機號密碼登錄
2、手機號驗證碼登錄
3、第三方登錄：QQ 微信 微博
4、賬號密碼登錄
備註：
手機號驗證碼登錄：用戶通過手機號注冊，獲取通過簡訊平台下發驗證碼，填寫手機號及驗證碼上傳伺服器，伺服器驗證二者匹配，生成用戶UID，注冊成功
選取微信、微博
特點總結： 極簡流暢
功能簡：
一個頁面只做一件事，進入下一個頁面的操作清晰
前端無手機號等格式校驗，信息上傳後統一校驗
內容藏：
使用頻次低的必須功能，收在底部彈層，例如緊急凍結、前往安全中心等
疑問點：
問題1：注冊環節為什麼要另一個微信號的安全驗證——為什麼注冊要這么嚴格
問題2：微信的QQ登錄，非常見的調起QQ頁面完成授權，而是直接填寫QQ號密碼——微信賬號與QQ賬號的關系
問題3：微信的非手機登錄，可以隨意填寫微信號、QQ號、郵箱號，進行密碼登錄——實現的原理
問題4：前端為什麼不做填寫的手機號格式校驗
注冊登錄截圖
流程圖
注冊登錄原型復原
復原總結：
防丟：頁面返回上一級的操作，注冊需要用戶隱私協議、用戶服務協議，密碼的二次確認
特定總結：方式簡潔，
某些步驟多餘，比如輸入手機號和填寫驗證碼，兩個動作是手機驗證碼登錄同一件事，可以放在一個頁面，分開為兩個步驟，增加了步驟，提高使用成本，但是沒有額外的收益
流程存在不統一問題，比如手機號驗證碼，注冊登錄流程和找回密碼流程中，方式不統一
注冊登錄截圖
流程
原型復原
⑩ 活體檢測前端防hack檢測失敗
完善3D建模漏洞。
避免面部表情建模破解活體檢測。
一個人具有生物特徵，包括人臉、指紋、虹膜、DNA等，這些特徵在一起，可以確定我們的身份，但是當這些特徵被各種感測器信息化提取後放到互聯網上，就成了生物特徵信息。生物特徵信息能不能證明自己的身份，就要看這個提取過程是否安全，會不會被復制、偽造、合成？在網上使用人臉識別技術用於法定身份識別是不是經過對抗性分析？在網上使用人臉識別的過程中，面部信息被存留怎麼辦？採集的面部信息被盜取怎麼辦？2011年，csdn密碼泄露（據說還有人人、天涯、開心網），結果全國網民紛紛改密碼，如果有一天，我們的人臉庫泄露了，我們該怎麼辦？換臉嗎？信息安全行業對於任何新技術的應用都是慎之又慎的。