本文目录一览：
- 1、有哪些经典的 Web 前端或者 JavaScript 面试笔试题
- 2、关于alert(1)的xss问题？
- 3、请教各位大神关于从js写法上避免xss攻击的问题
- 4、Python后端工程师面试题目有哪些
- 5、javascript关于XSS注入的一些问题
有哪些经典的 Web 前端或者 JavaScript 面试笔试题
Doctype作用？严格模式与混杂模式如何区分？它们有何意义?
HTML5 为什么只需要写 !DOCTYPE HTML？
行内元素有哪些？块级元素有哪些？ 空(void)元素有那些？
页面导入样式时，使用link和@import有什么区别？
介绍一下你对浏览器内核的理解？
常见的浏览器内核有哪些？
html5有哪些新特性、移除了那些元素？如何处理HTML5新标签的浏览器兼容问题？如何区分 HTML 和 HTML5？
简述一下你对HTML语义化的理解？
HTML5的离线储存怎么使用，工作原理能不能解释一下？
浏览器是怎么对HTML5的离线储存资源进行管理和加载的呢？
请描述一下 cookies，sessionStorage 和 localStorage 的区别？
iframe有那些缺点？
Label的作用是什么？是怎么用的？（加 for 或 包裹）
HTML5的form如何关闭自动完成功能？
如何实现浏览器内多个标签页之间的通信? (阿里)
webSocket如何兼容低浏览器？(阿里)
页面可见性（Page Visibility）API 可以有哪些用途？
如何在页面上实现一个圆形的可点击区域？
实现不使用 border 画出1px高的线，在不同浏览器的Quirk *** ode和CSSCompat模式下都能保持同一效果。
网页验证码是干嘛的，是为了解决什么安全问题？
tite与h1的区别、b与strong的区别、i与em的区别？
CSS
介绍一下标准的CSS的盒子模型？与低版本IE的盒子模型有什么不同的？
CSS选择符有哪些？哪些属性可以继承？
CSS优先级算法如何计算？
CSS3新增伪类有那些？
如何居中div？如何居中一个浮动元素？如何让绝对定位的div居中？
display有哪些值？说明他们的作用。
position的值relative和absolute定位原点是？
CSS3有哪些新特性？
请解释一下CSS3的Flexbox（弹性盒布局模型）,以及适用场景？
用纯CSS创建一个三角形的原理是什么？
一个满屏 品 字布局 如何设计?
常见兼容性问题？
li与li之间有看不见的空白间隔是什么原因引起的？有什么解决办法？
经常遇到的浏览器的兼容性有哪些？原因，解决 *** 是什么，常用hack的技巧 ？
为什么要初始化CSS样式。
absolute的containing block计算方式跟正常流有什么不同？
CSS里的visibility属性有个collapse属性值是干嘛用的？在不同浏览器下以后什么区别？
position跟display、margin collapse、overflow、float这些特性相互叠加后会怎么样？
对BFC规范(块级格式化上下文：block formatting context)的理解？
CSS权重优先级是如何计算的？
请解释一下为什么会出现浮动和什么时候需要清除浮动？清除浮动的方式
移动端的布局用过媒体查询吗？
使用 CSS 预处理器吗？喜欢那个？
CSS优化、提高性能的 *** 有哪些？
浏览器是怎样解析CSS选择器的？
在网页中的应该使用奇数还是偶数的字体？为什么呢？
margin和padding分别适合什么场景使用？
抽离样式模块怎么写，说出思路，有无实践经验？[阿里航旅的面试题]
元素竖向的百分比设定是相对于容器的高度吗？
全屏滚动的原理是什么？用到了CSS的那些属性？
什么是响应式设计？响应式设计的基本原理是什么？如何兼容低版本的IE？
视差滚动效果，如何给每页做不同的动画？（回到顶部，向下滑动要再次出现，和只出现一次分别怎么做？）
::before 和 :after中双冒号和单冒号 有什么区别？解释一下这2个伪元素的作用。
如何修改chrome记住密码后自动填充表单的黄色背景 ？
你对line-height是如何理解的？
设置元素浮动后，该元素的display值是多少？（自动变成display:block）
怎么让Chrome支持小于12px 的文字？
让页面里的字体变清晰，变细用CSS怎么做？（-webkit-font- *** oothing: antialiased;）
font-style属性可以让它赋值为“oblique” oblique是什么意思？
position:fixed;在android下无效怎么处理？
如果需要手动写动画，你认为最小时间间隔是多久，为什么？（阿里）
display:inline-block 什么时候会显示间隙？(携程)
overflow: scroll时不能平滑滚动的问题怎么处理？
有一个高度自适应的div，里面有两个div，一个高度100px，希望另一个填满剩下的高度。
png、jpg、gif 这些图片格式解释一下，分别什么时候用。有没有了解过webp？
什么是Cookie 隔离？（或者说：请求资源的时候不要让它带cookie怎么做）
style标签写在body后与body前有什么区别？
JavaScript
介绍JavaScript的基本数据类型。
说说写JavaScript的基本规范？
JavaScript原型，原型链 ? 有什么特点？
JavaScript有几种类型的值？（堆：原始数据类型和 栈：引用数据类型），你能画一下他们的内存图吗？
Javascript如何实现继承？
Javascript创建对象的几种方式？
Javascript作用链域?
谈谈This对象的理解。
eval是做什么的？
什么是window对象? 什么是document对象?
null，undefined的区别？
写一个通用的事件侦听器函数(机试题)。
[“1”, “2”, “3”].map(parseInt) 答案是多少？
关于事件，IE与火狐的事件机制有什么区别？ 如何阻止冒泡？
什么是闭包（closure），为什么要用它？
javascript 代码中的”use strict”;是什么意思 ? 使用它区别是什么？
如何判断一个对象是否属于某个类？
new操作符具体干了什么呢?
用原生JavaScript的实现过什么功能吗？
Javascript中，有一个函数，执行时对象查找时，永远不会去查找原型，这个函数是？
对 *** ON的了解？
[].forEach.call($$("*"),function(a){ a.style.outline="1px solid #"+(~~(Math.random()*(124))).toString(16) }) 能解释一下这段代码的意思吗？
js延迟加载的方式有哪些？
Ajax 是什么? 如何创建一个Ajax？
同步和异步的区别?
如何解决跨域问题?
页面编码和被请求的资源编码如果不一致如何处理？
模块化开发怎么做？
AMD（Modules/Asynchronous-Definition）、CMD（Common Module Definition）规范区别？
require *** 的核心原理是什么？（如何动态加载的？如何避免多次加载的？如何 缓存的？）
让你自己设计实现一个require *** ，你会怎么做？
谈一谈你对ECMAScript6的了解？
ECMAScript6 怎么写class么，为什么会出现class这种东西?
异步加载的方式有哪些？
documen.write和 innerHTML的区别?
DOM操作——怎样添加、移除、移动、复制、创建和查找节点?
.call() 和 .apply() 的含义和区别？
数组和对象有哪些原生 *** ，列举一下？
*** 怎么实现一个类。怎么实例化这个类
JavaScript中的作用域与变量声明提升？
如何编写高性能的Javascript？
那些操作会造成内存泄漏？
JQuery的源码看过吗？能不能简单概况一下它的实现原理？
jQuery.fn的init *** 返回的this指的是什么对象？为什么要返回this？
jquery中如何将数组转化为json字符串，然后再转化回来？
jQuery 的属性拷贝(extend)的实现原理是什么，如何实现深拷贝？
jquery.extend 与 jquery.fn.extend的区别？
jQuery 的队列是如何实现的？队列可以用在哪些地方？
谈一下Jquery中的bind(),live(),delegate(),on()的区别？
JQuery一个对象可以同时绑定多个事件，这是如何实现的？
是否知道自定义事件。jQuery里的fire函数是什么意思，什么时候用？
jQuery 是通过哪个 *** 和 Sizzle 选择器结合的？（jQuery.fn.find()进入Sizzle）
针对 jQuery性能的优化 *** ？
Jquery与jQuery UI有啥区别？
JQuery的源码看过吗？能不能简单说一下它的实现原理？
jquery 中如何将数组转化为json字符串，然后再转化回来？
jQuery和Zepto的区别？各自的使用场景？
针对 jQuery 的优化 *** ？
Zepto的点透问题如何解决？
jQueryUI如何自定义组件?
需求：实现一个页面操作不会整页刷新的网站，并且能在浏览器前进、后退时正确响应。给出你的技术实现方案？
如何判断当前脚本运行在浏览器还是node环境中？（阿里）
移动端最小触控区域是多大？
jQuery 的 slideUp动画 ，如果目标元素是被外部事件驱动, 当鼠标快速地连续触发外部元素事件, 动画会滞后的反复执行，该如何处理呢?
把 Script 标签 放在页面的更底部的body封闭之前 和封闭之后有什么区别？浏览器会如何解析它们？
移动端的点击事件的有延迟，时间是多久，为什么会有？ 怎么解决这个延时？（click 有 300ms 延迟,为了实现safari的双击事件的设计，浏览器要知道你是不是要双击操作。）
知道各种 *** 框架(Angular, Backbone, Ember, React, Meteor, Knockout…)么? 能讲出他们各自的优点和缺点么?
Underscore 对哪些 *** 原生对象进行了扩展以及提供了哪些好用的函数 *** ？
解释JavaScript中的作用域与变量声明提升？
那些操作会造成内存泄漏？
JQuery一个对象可以同时绑定多个事件，这是如何实现的？
Node.js的适用场景？
(如果会用node)知道route, middleware, cluster, nodemon, pm2, server-side rendering么?
解释一下 Backbone 的 MVC 实现方式？
什么是“前端路由”?什么时候适合使用“前端路由”? “前端路由”有哪些优点和缺点?
知道什么是webkit么? 知道怎么用浏览器的各种工具来调试和debug代码么?
如何测试前端代码么? 知道BDD, TDD, Unit Test么? 知道怎么测试你的前端工程么(mocha, sinon, ja *** in, qUnit..)?
前端templating(Mustache, underscore, handlebars)是干嘛的, 怎么用?
简述一下 Handlebars 的基本用法？
简述一下 Handlerbars 的对模板的基本处理流程， 如何编译的？如何缓存的？
用js实现千位分隔符?(来源：前端农民工，提示：正则+replace)
检测浏览器版本版本有哪些方式？
我们给一个dom同时绑定两个点击事件，一个用捕获，一个用冒泡，你来说下会执行几次事件，然后会先执行冒泡还是捕获
其他问题
原来公司工作流程是怎么样的，如何与其他人协作的？如何夸部门合作的？
你遇到过比较难的技术问题是？你是如何解决的？
设计模式 知道什么是singleton, factory, strategy, decrator么?
常使用的库有哪些？常用的前端开发工具？开发过什么应用或组件？
页面重构怎么操作？
列举IE与其他浏览器不一样的特性？
99%的网站都需要被重构是那本书上写的？
什么叫优雅降级和渐进增强？
是否了解公钥加密和私钥加密。
WEB应用从服务器主动推送Data到客户端有那些方式？
对Node的优点和缺点提出了自己的看法？
你有用过哪些前端性能优化的 *** ？
http状态码有那些？分别代表是什么意思？
一个页面从输入 URL 到页面加载显示完成，这个过程中都发生了什么？（流程说的越详细越好）
部分地区用户反应网站很卡，请问有哪些可能性的原因，以及解决 *** ？
从打开app到刷新出内容，整个过程中都发生了什么，如果感觉慢，怎么定位问题，怎么解决?
除了前端以外还了解什么其它技术么？你最最厉害的技能是什么？
你用的得心应手用的熟练地编辑器开发环境是什么样子？
对前端界面工程师这个职位是怎么样理解的？它的前景会怎么样？
你怎么看待Web App 、hybrid App、Native App？
你移动端前端开发的理解？（和 Web 前端开发的主要区别是什么？）
你对加班的看法？
平时如何管理你的项目？
说说最近更流行的一些东西吧？常去哪些网站？
如何设计突发大规模并发架构？
说说最近更流行的一些东西吧？常去哪些网站？
是否了解开源的工具 bower、npm、yeoman、grunt、gulp，一个 npm 的包里的 package.json 具备的必要的字段都有哪些？（名称、版本号，依赖）
每个模块的代码结构都应该比较简单，且每个模块之间的关系也应该非常清晰，随着功能和迭代次数越来越多，你会如何去保持这个状态的？
Git知道branch, diff, merge么?
如何设计突发大规模并发架构？
当团队人手不足，把功能代码写完已经需要加班的情况下，你会做前端代码的测试吗？
说说最近更流行的一些东西吧？平时常去哪些网站？
知道什么是SEO并且怎么优化么? 知道各种meta data的含义么?
移动端（Android IOS）怎么做好用户体验?
简单描述一下你做过的移动APP项目研发流程？
你在现在的团队处于什么样的角色，起到了什么明显的作用？
你认为怎样才是全端工程师（Full Stack developer）？
介绍一个你最得意的作品吧？
你有自己的技术博客吗，用了哪些技术？
对前端安全有什么看法？
是否了解Web注入攻击，说下原理，最常见的两种攻击（XSS 和 CSRF）了解到什么程度？
项目中遇到国哪些印象深刻的技术难题，具体是什么问题，怎么解决？。
最近在学什么东西？
你的优点是什么？缺点是什么？
如何管理前端团队?
最近在学什么？能谈谈你未来3，5年给自己的规划吗？
关于alert(1)的xss问题？
这是一般用来测试一个 xss 是否能成功的绕过各种 html (entities) 防御机制而运行到的 script.
如果可以执行 alert(1), 那就是可以执行任何 script 了. xss 的最基本生存空间就是这样.
相当於写一般程序的之一个程序 print "hello world!"
请教各位大神关于从js写法上避免xss攻击的问题
XSS攻击通常是指黑客通过"HTML注入"篡改了网页，插入了恶意的脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击。
一、HttpOnly防止劫取Cookie
HttpOnly最早由微软提出，至今已经成为一个标准。浏览器将禁止页面的Javascript访问带有HttpOnly属性的Cookie。目前主流浏览器都支持，HttpOnly解决是XSS后的Cookie支持攻击。
我们来看下百度有没有使用。
未登录时的Cookie信息
可以看到，所有Cookie都没有设置HttpOnly，现在我登录下
发现在个叫BDUSS的Cookie设置了HttpOnly。可以猜测此Cookie用于认证。
下面我用PHP来实现下：
?php
header("Set-Cookie: cookie1=test1;");
header("Set-Cookie: cookie2=test2;httponly",false);
setcookie('cookie3','test3',NULL,NULL,NULL,NULL,false);
setcookie('cookie4','test4',NULL,NULL,NULL,NULL,true);
?
script
alert(document.cookie);
/script
js只能读到没有HttpOnly标识的Cookie
二、输入检查
输入检查一般是检查用户输入的数据中是否包含一些特殊字符，如、、'、"等，如果发现存在特殊字符，则将这些字符过滤或者编码。
例如网站注册经常用户名只允许字母和数字的组合，或者邮箱 *** ，我们会在前端用js进行检查，但在服务器端代码必须再次检查一次，因为客户端的检查很容易绕过。
网上有许多开源的“XSS Filter”的实现，但是它们应该选择性的使用，因为它们对特殊字符的过滤可能并非数据的本意。比如一款php的lib_filter类：
$filter = new lib_filter();
echo $filter-go('1+11');
它输出的是1，这大大歪曲了数据的语义，因此什么情况应该对哪些字符进行过滤应该适情况而定。
三、输出检查
大多人都知道输入需要做检查，但却忽略了输出检查。
1、在HTML标签中输出
如代码：
?php
$a = "scriptalert(1);/script";
$b = "img src=# onerror=alert(2) /";
?
div?=$b?/div
a href="#"?=$a?/a
这样客户端受到xss攻击，解决 *** 就是对变量使用htmlEncode,php中的函数是htmlentities
?php
$a = "scriptalert(1);/script";
$b = "img src=# onerror=alert(2) /";
?
div?=htmlentities($b)?/div
a href="#"?=htmlentities($a)?/a
2、在HTML属性中输出
div id="div" name ="$var"/div
这种情况防御也是使用htmlEncode
在owasp-php中实现：
$immune_htmlattr = array(',', '.', '-', '_');
$this-htmlEntityCodec-encode($this-immune_htmlattr, "\"script123123;/script\"");
3、在script标签中输出
如代码：
?php
$c = "1;alert(3)";
?
script type="text/javascript"
var c = ?=$c?;
/script
这样xss又生效了。首先js变量输出一定要在引号内，但是如果我$c = "\"abc;alert(123);//"，你会发现放引号中都没用，自带的函数都不能很好的满足。这时只能使用一个更加严格的JavascriptEncode函数来保证安全——除数字、字母外的所有字符，都使用十六进制"\xHH"的方式进行编码。这里我采用开源的owasp-php *** 来实现
$immune = array("");
echo $this-javascriptCodec-encode($immune, "\"abc;alert(123);//");
最后输出\x22abc\x3Balert\x28123\x29\x3B\x2F\x2F
4、在事件中输出
a href="#" onclick="funcA('$var')" test/a
可能攻击 ***
a href="#" onclick="funcA('');alter(/xss/;//')"test/a
这个其实就是写在script中，所以跟3防御相同
5、在css中输出
在owasp-php中实现：
$immune = array("");
$this-cssCodec-encode($immune, 'background:expression(window.x?0:(alert(/XSS/),window.x=1));');
6、在地址中输出
先确保变量是否是"http"开头，然后再使用js的encodeURI或encodeURIComponent *** 。
在owasp-php中实现：
$instance = ESAPI::getEncoder();
$instance-encodeForURL(‘url’);
四、处理富文体
就像我写这篇博客，我几乎可以随意输入任意字符，插入图片，插入代码，还可以设置样式。这个时要做的就是设置好白名单，严格控制标签。能自定义 css件麻烦事，因此更好使用成熟的开源框架来检查。php可以使用htmlpurify
五、防御DOM Based XSS
DOM Based XSS是从javascript中输出数据到HTML页面里。
script
var x = "$var";
document.write("a href='"+x+"'test/a");
/script
按照三中输出检查用到的防御 *** ，在x赋值时进行编码，但是当document.write输出数据到HTML时，浏览器重新渲染了页面，会将x进行解码，因此这么一来，相当于没有编码，而产生xss。
防御 *** ：首先，还是应该做输出防御编码的，但后面如果是输出到事件或脚本，则要再做一次javascriptEncode编码，如果是输出到HTML内容或属性，则要做一次HTMLEncode。
会触发DOM Based XSS的地方有很多：
document.write()、document.writeln()、xxx.innerHTML=、xxx.outerHTML=、innerHTML.replace、document.attachEvent()、window.attachEvent()、document.location.replace()、document.location.assign()
Python后端工程师面试题目有哪些
一.语言
1.推荐一本看过更好的python书籍？
2.谈谈python的装饰器，迭代器，yield？
3.标准库线程安全的队列是哪一个？不安全的是哪一个？logging是线程安全的吗？
4.python适合的场景有哪些？当遇到计算密集型任务怎么办？
5.python高并发解决方案？我希望听到twisted-tornado-gevent，能扯到golang,erlang更好
二.操作系统
可以直接认为是linux，毕竟搞后端的多数是和linux打交道。
1.tcp/udp的区别？tcp粘包是怎么回事，如何处理？udp有粘包吗？
2.time_wait是什么情况？出现过多的close_wait可能是什么原因？
3.epoll,select的区别？边缘触发，水平触发区别？
三.存储
存储可能包含rdbms，nosql以及缓存等，我以mysql,redis举例
mysql相关
1.谈谈mysql字符集和排序规则？
2.varchar与char的区别是什么？大小限制？utf8字符集下varchar最多能存多少个字符
3.primary key和unique的区别？
4.外键有什么用，是否该用外键？外键一定需要索引吗？
5.myisam与innodb的区别？innodb的两阶段锁定协议是什么情况？
6.索引有什么用，大致原理是什么？设计索引有什么注意点？
redis相关
1.什么场景用redis，为什么mysql不适合？
2.谈谈redis的事务？用事务模拟原子+1操作？原子操作还有其它解决方案吗？
3.redis内存满了会怎么样？
四.安全
web安全相关
1.sql注入是怎么产生的，如何防止？
2.xss如何预防？htmlescape后能否避免xss?
3.csrf是什么？django是如何防范的？
密码技术
1.什么是分组加密？加密模式有哪些？ecb和cbc模式有什么区别？为什么需要iv向量？
2.简单说说https的过程？
3.对称加密与非对称加密区别？
3.如何生成共享秘钥？ 如何防范中间人攻击？
五.杂
是否关注新技术啊？golang，rust是否了解？numpy,pandas是啥鸟？
是否紧跟时代潮流？逛不逛微博，刷不刷知乎？
可能你觉得我问的好细，但这好多都是平常经常遇到，并需要解决的，细节更能体现一个人。
如果你觉得小kiss，欢迎投简历给我yihaibo@longtugame.com，龙图游戏运营支持中心数据分析部招人；觉得有点问题，那还等什么，赶快来和我交流交流。
更新:讨论区挺热闹，有人说好简单，有人说好难，其实我觉得这只适合面试2~3年工作经验的后端工程师。真的没有问
很难的题目，只是可能你平时没有注意。
在这里我推荐几本书吧
python参考手册，绝对让你更上一层楼
图解密码技术，密码入门不二之选
mysql技术内幕第五版，有点厚当手册读读，要有耐心，高性能mysql也强烈建议读读
effective tcp/ip programming
为什么评论区有这么大差异？我想是个人经历不一样吧，如果是搞web的对操作系统这块和密码技术会偏弱，但如果是系统工程师或是游戏服务端这块会明显偏强。
六.后记
最近我也面试了不少童鞋，我发现能达到要求的真的少之又少，很多hr都说Python是最难 *** 的岗位，我想是有道理的，这真的很值得我们去深思？
我想有一部分原因是Python这门语言造成的，会写Python的人很多，但写的好的人很少，大部分都把Python当做脚本来写，缺乏面向对 象，模式的思想。想想Java，大家都习惯了接口，实现分离，设计模式在Java中也喊了很多年，尤其是ssh三大框架一出，用着用着就理所当然的认为就 该这么做，虽然也有点坏处，但对企业级Java开发无疑是一大进步。
反观Python，尤其是生成器，协程，元类给Python注入了很大的灵活性，想写的Pythonic有不小难度，但其实Python高级特性就那么几个，干掉了也就没有了。
当你觉得Python遇到了瓶颈，不妨停下来好好想想。研究研究设计模式，想想重构，了解领域驱动设计，敏捷开发，再回来读读以前写的代码，当眼界变高了，代码也就美了。
当然思想的提高不是一朝一夕，模式，原则会经常让你纠结，纠结就会思索，思考就走出了自己的路，当然条条大路通罗马。
数据库等存储技术是研发工程师迈不过的坎，对关系数据库以mysql举例来说，你必须清楚的知道什么字段选择什么类型，类型字节大小，限制条件，这 东西也很容易理解，多想想即可，比如set类型，要支持交并等操作，1个字节只能存8个类别。数据类型搞定了，下面就是索引了，mysql索引种类？主 键，唯一索引，普通索引。索引类别， *** ree索引，hash索引。索引的优缺点，mysql的索引查找原理，join原理(大部分都是nested loop)，以及一些特殊的情况，比如mysql子查询慢等。其实到这里研发工程师就差不多，当然你可以继续深入下去，比如读写分离，集群管理，甚至一些 参数调优。
javascript关于XSS注入的一些问题
xss注入的内容是给浏览器看的东西，所以只要让浏览器认为它不是需要被解析的html标签或者脚本就可以了。过滤掉'' ，或者把'',''都过滤掉，已经可以保证不会被xss注入了。但是这需要建立在你其他代码没有注入漏洞的前提下。