① nodejs安全吗
安全是不容忽视的，每个开发者都知道它非常重要，真正严肃对待它的却没有几人。我们 RisingStack 希望你能认真对待这一问题——这就是我们整理这份清单来帮助你的原因，你的应用在被成千上万用户使用前必须要做安全检查。
这份清单大部分内容是通用的，不仅适用于Node.js，同样适用于其他语言和框架，只是一些明确给出了在Node.js中使用的方法。同时推荐你去阅读我们的引导文章 Node.js security，如果你刚开始使用Node.js，推荐你看这篇文章 first chapter of Node Hero。
配置管理
HTTP 安全头部
有些关于安全的HTTP头部是你的网站必须要有的：
Strict-Transport-Security 强制将HTTP请求替换为HTTPS请求
X-Frame-Options 防止点击劫持
X-XSS-Protection 开启跨站脚本攻击（XSS）的过滤，大多数现代浏览器支持这个设置
X-Content-Type-Options 禁用浏览器对响应内容MIME类型的嗅探，严格使用响应的Content-Type的值
Content-Security-Policy 能有效防止多种攻击，包括跨站脚本和跨站注入
Node.js开发者可以使用Helmet模块置这些头部，代码如下：
var express = require('express');
var helmet = require('helmet');
var app = express();
app.use(helmet());
Koa和ThinkJS框架中可以使用koa-helmet来设置这些头部，当然有关安全的头部不止这些，更多请看Helmet和MDN HTTP Headers。
在大多数架构里这些头部可以设置在web服务器的配置中（Apache、Nginx），不需要对应用代码进行改动。在Nginx中的配置：
# nginx.conf
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";
add_header Content-Security-Policy "default-src 'self'";
有一个完整的Nginx配置文件，帅气的传送门在此。
如果你想快速检查你的网站是否有了所有的必须头部，请使用这个在线检查器。
客户端的敏感数据
当发布前端应用时，确保你的代码里永远不会包含API密码和证书，因为它可以被任何人看到。
没有自动化的方法去检查你在代码里写了敏感数据，但是有两个可以降低向客户端暴露敏感数据风险的方法：
使用 pull requests 提交代码
定期 code review
② flash整站的验证码问题
我感觉后者的方法安全一些。
验证码的目的在于防止机器刷票。如果将生成和验证的代码全部放入前端的flash，有两个潜在的问题：
1. flash很容易被破解。破解后就可以根据你的程序逻辑，编写刷票程序。
2. 如果验证的部分放在前端的话，那么势必要将验证结果发送至后台。如果将验证结果截获，是很容易伪造的。
所以，将验证的逻辑放在服务器端，安全性更高。
③ 检测一个输入框里面的内容或长度是否合法是用js还是后台技术
原则 是永远不要相信用户的输入
所以，如果你确认对用户的输入要求严格的话，都是前后台一起做验证
一般的用户，用js验证就可以挡住不合法输入了
不过对于某些人来说，他还是可以绕过js的验证，把不合法的值传到后台，这时后台验证就可以保证安全了
所以，验证用户输入的严格程度根据你的系统要求来
严格，前后台一起严重
不严格，前台js验证即可（js较后台验证可以帮你节约一点系统资源）
④ 前端测试有哪几种类型
目前在软件系统开发中，测试是一个非常重要的环节，特别是前端测试，有几种类型的测试被认为是前端测试所必需的，让我们简单了解一下。
01
单元测试
在修复bug或添加一点功能时，软件的其他部分可能会停止工作。为了处理这种情况，单元测试将代码的各个部分分开，以单独检查其准确性。跳过或最小化单元测试可能会导致修复缺陷的成本增加。Javascript单元测试包括一个套件中有组织的测试数量，这些测试彼此不冲突，并且相互之间的依赖性更少。
02
端到端测试
端到端测试涵盖了应用程序从头到尾的流程，结束测试跟踪用户的旅程，如打开浏览器、导航，并体验完整的生产场景。端到端测试验证互连系统和软件系统，它包括一个完整的前端和后端系统。
03
集成测试
集成测试的目的是使模块/组件按预期运行。集成测试技术应用于许多模块紧密耦合的大型应用中，模块被单独测试，一旦集成，组合行为被验证，它是与开发并行进行的。在集成测试中，您需要更多的逻辑技能，因为在测试期间，某些模块可能尚未准备就绪或正在构建中。
集成时使用测试存根和驱动程序，集成测试将分析开发人员实现的逻辑是否遵循规定的标准。当模块与第三方API交互时，查看响应非常重要。当开发人员跳过单元测试时，集成测试就不可避免了。
04
功能测试
功能测试，用于验证应用程序或网站对目标用户能正确工作。使用适当的平台、浏览器和测试脚本，以保证目标用户的体验将足够好。功能测试是为了确保程序以期望的方式运行而按功能要求对软件进行的测试，通过对一个系统的所有的特性和功能都进行测试确保符合需求和规范。
05
可视化/用户界面测试
视觉/UI测试包括屏幕截图的验证。这是一项质量保证活动，旨在确保屏幕在任何设备、屏幕分辨率、浏览器和操作系统上的外观与预期一致。通过无头浏览器中捕获的不同屏幕截图比较渲染版本的结果，可视化回归测试允许您检测偏差。
在构建应用程序时，事情会变得过载和复杂，这种情况很容易破坏现有的功能并引入新的bug—单元、行为和集成测试将到位，以使应用程序稳定。
06
性能/压力测试
性能测试是一种非功能性技术，它在各种工作负载下检查软件的稳定性、响应性、速度、可靠性和资源使用等系统参数。
压力测试：应用程序被重载以检查意外行为并了解其承受能力。
为网站执行一个高质量的前端测试将提高生产力，并增加客户对您的服务的依赖。了解趋势通用模式并结合专家经验来定义质量测试套装是很重要的。
07
跨浏览器测试
Web端应用测试主要障碍之一就是在不同的浏览器上“测试他们的网站/应用程序”，也称为“跨浏览器测试”或者“兼容性测试”。浏览器和浏览器版本很多（Google Chrome，Mozilla Firefox，Internet Explorer，Microsoft Edge，Opera，Yandex等），可以通过多种设备（通过台式机，笔记本，智能手机，平板电脑等）访问网站/应用。）以及可能用于访问网站的多种操作系统（Windows，MacOS，Linux，Android，iOS等）。
要确保网站的UI/UX及其功能正常运行，并且在“浏览器+浏览器版本+操作系统+设备配置”的组合上没有任何BUG，则将需要大量的开发，测试和维护工作。
⑤ 关于表单验证
看你业务需求，如果安全性比较高的业务，前后端都需要校验的，前端校验，主要是针对数据规范性，确保表单数据都是规范数据，提高性能，js或者是jquery都可以的。后端校验的话，一般是针对业务上的需要或者数据校验，安全性更高，一般放在入库之前。
⑥ Web安全是前端还是后端安全居多，Web安全工程师是前端后端一起搞的吗
您好：大多数安全问题都是以数据为中心，也包括web安全，后端来说存储的隐秘系统更多一些，虽然大部分漏洞问题都发生在后端，但是前端也会存在一些安全问题，比如XSS跨站，所以WEB安全工程师前后端都需要会一些。
⑦ 前端如何检测视频文件损坏
打开文件看看能否正常播放。
对于这种流媒体文件。最简单的方法是，打开文件点击播放。如果播放正常就是没有损坏，或者有轻微损伤。对于一般人来说没有影响。如果播放不正常，即可确认为有问题。
⑧ 一年经验Web前端转Web安全可行吗
web前端和web安全还是有区别的，前端的工作主要是设计用户浏览的页面，而web安全主要负责程序的安全，以及web服务器的安全，网站数据的安全问题。如果说是后端转做安全的哈还要好点，因为后端懂得web程序以及数据库等知识，相对容易一点。
⑨ 注册登录对比
常见登录方式：
1、手机号密码登录
2、手机号验证码登录
3、第三方登录：QQ 微信 微博
4、账号密码登录
备注：
手机号验证码登录：用户通过手机号注册，获取通过短信平台下发验证码，填写手机号及验证码上传服务器，服务器验证二者匹配，生成用户UID，注册成功
选取微信、微博
特点总结： 极简流畅
功能简：
一个页面只做一件事，进入下一个页面的操作清晰
前端无手机号等格式校验，信息上传后统一校验
内容藏：
使用频次低的必须功能，收在底部弹层，例如紧急冻结、前往安全中心等
疑问点：
问题1：注册环节为什么要另一个微信号的安全验证——为什么注册要这么严格
问题2：微信的QQ登录，非常见的调起QQ页面完成授权，而是直接填写QQ号密码——微信账号与QQ账号的关系
问题3：微信的非手机登录，可以随意填写微信号、QQ号、邮箱号，进行密码登录——实现的原理
问题4：前端为什么不做填写的手机号格式校验
注册登录截图
流程图
注册登录原型复原
复原总结：
防丢：页面返回上一级的操作，注册需要用户隐私协议、用户服务协议，密码的二次确认
特定总结：方式简洁，
某些步骤多余，比如输入手机号和填写验证码，两个动作是手机验证码登录同一件事，可以放在一个页面，分开为两个步骤，增加了步骤，提高使用成本，但是没有额外的收益
流程存在不统一问题，比如手机号验证码，注册登录流程和找回密码流程中，方式不统一
注册登录截图
流程
原型复原
⑩ 活体检测前端防hack检测失败
完善3D建模漏洞。
避免面部表情建模破解活体检测。
一个人具有生物特征，包括人脸、指纹、虹膜、DNA等，这些特征在一起，可以确定我们的身份，但是当这些特征被各种传感器信息化提取后放到互联网上，就成了生物特征信息。生物特征信息能不能证明自己的身份，就要看这个提取过程是否安全，会不会被复制、伪造、合成？在网上使用人脸识别技术用于法定身份识别是不是经过对抗性分析？在网上使用人脸识别的过程中，面部信息被存留怎么办？采集的面部信息被盗取怎么办？2011年，csdn密码泄露（据说还有人人、天涯、开心网），结果全国网民纷纷改密码，如果有一天，我们的人脸库泄露了，我们该怎么办？换脸吗？信息安全行业对于任何新技术的应用都是慎之又慎的。