分类：安全与运维

DOM Clobbering 是一种不依赖脚本注入的 XSS 变体，攻击者通过 HTML 元素覆盖全局变量，诱导合法脚本执行恶意逻辑。 一、攻击示例 当页面允许用户注入 HTML（如富文本评论）时，id 或 name 属性会映射为全局变量，覆盖脚本预期的对象。 二、Trusted Types 防御 启用后，所有写入 i

JWT 与 Session 是两种主流认证方案，前者无状态但难以吊销，后者易管理但有存储成本。 一、核心对比 | 维度 | JWT | Session | |||| | 状态存储 | 客户端 | 服务端 | | 水平扩展 | 天然支持 | 需共享存储 | | 吊销能力 | 弱 | 强 | | 令牌体积 | 较大 | 仅

现代分布式系统的可观测性由指标（Metrics）、日志（Logging）与链路追踪（Tracing）三大支柱构成，三者互补而非替代。 一、三者定位 Metrics：聚合数值，低成本长期存储，适合告警与趋势分析 Logging：离散事件详情，适合根因定位与审计 Tracing：请求级调用链，适合跨服务性能分析 二、Ope

跨站请求伪造（CSRF）利用浏览器自动携带 Cookie 的特性，诱导已登录用户在不知情下发起敏感操作。 一、传统 Token 防御 服务端为每个会话生成随机 Token，嵌入表单并在提交时校验。攻击者无法读取跨域页面的 Token，从而无法构造合法请求。 二、SameSite Cookie 属性 Strict：完全禁

在纯前端单页应用（Single Page Application, SPA）架构中，由于 JavaScript 代码与网络请求在客户端完全透明，应用无法安全存储任何客户端密钥（Client Secret），因此 SPA 被 OAuth 2.0 规范定义为“公共客户端”（Public Client）。过往在 SPA 中广