XSS（跨站脚本攻击）漏洞是Web应用程序中最常见的漏洞之一，它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的，比如获取用户的cookie，导航到恶意网站，携带木马等。根据其触发方式的不同，通常分为反射型XSS、存储型XSS和DOM-base型XSS。漏洞“注入理论”认为，所有的可输入参数，都是不可信任的。大多数情况下我们说的不可信任的数据是指来源于HTTP客户端请求的URL参数、form表单、Headers以及Cookies等，但是，与HTTP客户端请求相对应的，来源于数据库、WebServices、其他的应用接口数据也同样是不可信的。根据请求参数和响应消息的不同，在XSS检测中使用最多的就是动态检测技术：以编程的方式，分析响应报文，模拟页面点击、鼠标滚动、DOM 处理、CSS 选择器等操作，来验证是否存在XSS漏洞。
近期被一个事情困扰着，我们采购了一款软件，里面有一个数据大屏页，当登录过期后，数据就会保持原状，不再更新。和供应商反馈了很多次，都无法彻底解决数据显示的问题，没办法，自己周末在家研究，网站自动登录的事情。
对于 Lint 配置的不了解导致项目中总是会莫名其妙的提示报错，这应该是大多数同学面临的窘境。
第一: gulp必须在nodejs环境下运行，所以要先搭建nodejs环境。 测试nodejs是否安装正常。命令：node -v 如果返回版本号说明安装正常
安全研究人员 Denis Sinegubko 和 Adrian Stoian 近日发现，假冒的 jQuery Migrate 插件通过包含的混淆代码来加载恶意软件从而注入了数十家网站。
Burp插件的使用 使用准备 Burpsuite可以使用三种语言编写的扩展插件，Java、Python和Ruby。除Java外，其它两种需要的扩展插件需要配置运行环境。 Python 下载地址：http://www.jython.org/downloads.html 下载Standalone Jar版本，下载后将Jar文件放置在Burpsuite文件夹。 Ruby 下载地址：http://jruby.org/download 下载Complete Jar 版
Burp插件的使用 使用准备 Burpsuite可以使用三种语言编写的扩展插件，Java、Python和Ruby。除Java外，其它两种需要的扩展插件需要配置运行环境。 Python 下载地址：http://www.jython.org/downloads.html 下载Standalone Jar版本，下载后将Jar文件放置在Burpsuite文件夹。 Ruby 下载地址：http://jruby.org/download 下载Complete Jar 版本，下载后将Jar文件放置在Burpsuite文件
本文介绍了Burpsuite插件的使用，包括如何安装、配置和使用Burpsuite的各种插件。此外，还介绍了Burpsuite的插件市场，以及如何在Intruder和CO2中添加XSS漏洞检测和CSRF Token Tracker。
【前端科普系列】帮助阅读者了解web前端，主要覆盖web前端的基础知识，但不深入讲解，定位为大而全并非细而精，适合非前端开发的同学对前端有一个系统的认识，能更好的与前端开发协作。尽可能的写成科普类文章，对于前端开发而言，只适合刚入门的新手。
gulp 是基于流（stream）的自动化构建工具，能帮助前端节省很多资源。 OK，直接进入主题——本篇中将主要介绍怎么用gulp。
虽然自己的网站流量十分少，但是还是加了一个谷歌广告，用来自己耍。添加之后发现很多电脑浏览器插件很直接进行屏蔽，手机浏览器也会进行屏蔽。虽然自己也不喜欢广告，但是如何在检测出广告被屏蔽后在原来位置上输出一句话提醒浏览者不要关闭本站的广告展示呐？ 自己在网上找了一些有用的方法，一种是检测广告div的高度，如果高度是0则进行了屏蔽，另一种是自己建一个js，其名称和路径与真实广告的js差距不大，能让插件误拦截，通过检测该js是否加载来判断是否遭到屏蔽。 因为不同的广告插件可能自己拦截方式不同，我就把这两种方法结合一下来进行判断。 首先在自己的广告单元上加两个div（可以根据自己的需求，自行更改）
那么，如何开发一个智能化的微信小程序呢？使用Paddle.js插件只需要3个步骤：在开发者的小程序中添加插件，引入插件代码包，最后使用插件。
由于移动设备的显示屏幕相对于桌面显示器来说小很多，在桌面显示器上能够正常显示的内容，到了移动设备中就不正常了。为了实现移动端和桌面端的相互跳转，我们可以通过JavaScript来判断当前的设备是否是移动设备，然后执行相应的代码。
如今，Visual Studio Code无疑是最流行的轻量级代码编辑器。它确实从其他代码编辑器那借鉴了很多，最主要是从Sublime和Atom那里。然而它的成功关键是源于能提供更好的性能和稳定的表现。另外，它还提供了如代码智能提示等开发者非常需要的功能。而这些功能，曾经只在像Eclipse或者Visual Studio 2017这样的完整集成开发环境(IDEs)中才有。
插件 parallel.js: 前后端通用的一个并行库 zepto: 用于现代浏览器的兼容 jQuery 的库 totoro: 稳定的跨浏览器测试工具 TheaterJS: 一个用于模拟人输入状态的 JS 库 stellar.js: 前端用于实现异步滚动效果的库，现已不再维护 skrollr: 另一款实现一步滚动的开源库，使用人数众多，可实现各种狂拽酷炫掉渣天的前端效果，看真相 Framework7: 前端框架，是开发人员可以基于 web 技术构建 IOS7 程序 regulex: 用于生成 正则表达式 的
TypeScript代码的编译过程一直以来会给很多小伙伴造成困扰，typescript官方提供tsc对ts代码进行编译，babel也表示能够编译ts代码，它们二者的区别是什么？我们应该选择哪种方案？为什么IDE打开ts项目的时候，就能有这些ts代码的类型定义？为什么明明IDE对代码标红报错，但代码有能够编译出来？
最近偶然间有看到某家的一个站点中的网站中的前端代码的“泄露”。此处的泄露为什么打引号，因为一般来说网站的前端代码都是暴露出来的，都是可以访问的。但是一般生产环境的 JavsScript 代码都是经过压缩和混淆的，所以可读性大大降低，这也提升了从前端的角度挖取更多信息的门槛。这里的泄露指的是在 Chrome 浏览器的 Sources 面板中可以看到完整的以及原始的前端代码。
本文从黑产攻击方式、木马恶意行为、监控及防御方案等角度对Lnkr木马进行分析，此类木马影响范围较广，攻击手法多样，但目前国内相关的资料却非常稀少，希望本文的实践经验和总结能对从事相关安全检测的同学有所帮助。
在日常工作中，我们会接触形形色色的工程。如果工程使用的技术架构不同，可能会有对应不同的代码规范。而每个人的编码习惯是不一样的，也是难以短时间内改变的，这也是我们常常在开发一个新工程的时候，会遇到各种规范报错的原因。
这篇文章目的是介绍如何创建一个ESLint插件和创建一个ESLint rule，用以帮助我们更深入的理解ESLint的运行原理，并且在有必要时可以根据需求创建出一个完美满足自己需求的Lint规则。
很多博主在写一些技术博客的时候，会在博文中添加一些代码，但是在展示的时候代码高亮的话会让博客整体布局更优雅。找到网上的不少插件，最终还是选择了 Crayon Syntax Highlighter 这个插件。江湖称 Wordpress 最强大的代码高亮插件！
前言: gulp是前端开发过程中对代码进行构建的工具，是自动化项目的构建利器；她不仅能对网站资源进行优化，而且在开发过程中很多重复的任务能够使用正确的工具自动完成；使用她，我们不仅可以很愉快的编写代码，而且大大提高我们的工作效率。相比于grunt的频繁 IO 操作，gulp的流操作，能更快地更便捷地完成构建工作。此处仅记录初步折腾中所遇点滴以及待解决的点。 Gulp折腾之初探 折腾之战略上的藐视 回过头看Gulp的折腾历程，使用还是非常简易的。初步入门资料可参考这里。所以战略上一定要藐视”她”;当然战术上要
这篇文章目的是介绍如何创建一个ESLint插件和创建一个 ESLint rule，用以帮助我们更深入的理解ESLint的运行原理，并且在有必要时可以根据需求创建出一个完美满足自己需求的Lint规则。
图来源网络 前端插件以及部分细分网址梳理 插件 parallel.js: 前后端通用的一个并行库 zepto: 用于现代浏览器的兼容 jQuery 的库 totoro: 稳定的跨浏览器测试工具 TheaterJS: 一个用于模拟人输入状态的 JS 库 stellar.js: 前端用于实现异步滚动效果的库，现已不再维护 skrollr: 另一款实现一步滚动的开源库，使用人数众多，可实现各种狂拽酷炫掉渣天的前端效果，看真相 Framework7: 前端框架，是开发人员可以基于 web 技术构建 IOS7 程
当我们在修改主题样式后，经常要做的一个重复动作就是按F5刷新网页，今天介绍一款神奇的小工具，可以检测CSS和JavaScript文件的变化，并自动刷新网页的JS脚本Live.js。
说是破解，其实也就是想办法把防切屏解了。 之前有些考试软件防止切屏可以用虚拟机，稍微复杂一点，至于浏览器检测切屏，无非就是检测焦点，像有些网站的动态标题就是这样，那么用什么来实现检测焦点呢？这里不得不提到JavaScript。
写在前面 首先说明 不是水文，我只是希望通过面试题的形式给你们看一些看似比较牛逼的概念，其实很简单的东西，我最近在写vue3的项目，所以等我写好之后我再更新vue3的教程，虽然早就想更新了，但是一直不是没有一个拿得出收的v3项目嘛，我也很着急的嘛，写完之后我就更新v3+vite+antdv的文章。 Vue中的组件和插件有什么区别 定义不同： vue中组件是指.vue结尾的文件，一个合格的组件具备相对单一的功能，具有复用性强，耦合度低的特点，名字叫做components， vue中的插件是指用来扩展
Vue官方的脚手架工具Vue Cli有了一次较大的更新，相比于2.x版本，新版本3.x中对项目的搭建，相关包、插件的安装都有了很大的不同。本文即立足于此，选择@vue/cli 3.x版本的脚手架工具，动手实践从0到1搭建Vue项目，包含了项目的初始化，以及Vue全家桶(VueRouter/Vuex/Axios/CSS预处理器)的相关配置。
2020年10月，美团安全运营平台发现流量中存在恶意JavaScript请求，信息安全部收到告警后立即开始应急处理，通过对网络环境、访问日志等进行排查，最终锁定恶意请求由Chrome浏览器安装恶意插件引起，该恶意JavaScript文件会窃取Cookie并强制用户跳转到恶意色情站点、推广链接等，结合美团威胁情报大数据，发现该插件与Lnkr Ad Injector木马特征吻合。
ESLint是一个用来识别 ECMAScript 并且按照规则给出报告的代码检测工具，使用它可以避免低级错误和统一代码的风格。如果每次在代码提交之前都进行一次eslint代码检查，就不会因为某个字段未定义为undefined或null这样的错误而导致服务崩溃，可以有效的控制项目代码的质量。
在形形色色的互联网中，网站被挂马是非常严重的安全事件，因为这不仅标志着自己的网站被控制，而且还会影响到网站的用户，不管是杀毒软件的“友情”提示还是用户中木马，对网站的信誉都有严重的影响。
今天，LayaAir再次迎来一个大版本的更新，本次2.7.0beta版本的核心在于物理引擎的升级完善，以及考虑到当前有开发者对于物理引擎包体缩减的需求，我们还新增支持了cannon.js物理引擎库。另外，本次更新还进一步增强了3D光影的渲染效果，强化了LayaAir的Unity 3D资源导出插件的功能。关于小游戏平台的加载效率方面，LayaAirIDE中新增了vivo平台的LayaAir引擎共享插件支持。更多本次版本的详细说明，我们在下面的篇幅中，会逐个详细进行介绍。
用 JavaScript 处理图像可能非常困难且繁琐。 幸运的是，有许多库可以让这些变得简单得多。 下面介绍一些图像处理的库。
Eslint在过往接触过的很多开源项目内都有它的身影，习惯一个人写代码了，总觉得它可有可无，但是归根结底，好处还是很多的。
// 注释型配置 /* eslint eqeqeq: "off", curly: "error" */ // 文件型配置 "rules": { "eqeqeq": "off", "curly": "error", "quotes": ["error", "double"] }
作为一款轻便的编辑器，Sublime Text3的下载和安装都比较简单，这里一并略过，只说安装插件的事情。Sublime Text3支持各种强大的插件，可以在一定程度上提高打码速度。
前言 今天这篇文章，主要聊聊什么是ESLint，为什么要用它？它的实现原理是什么?工作中如何使用的ESLint，以及如何自定义ESLint规则。 本文整理自以下文章： 掘金：eslint工作原理探讨
---- 方案来源于团队分享后的总结实现,文中代码并未在实际产品中是使用,仅供参考。 背景 由于在spa模式的应用中页面的内容变化不再引起整个页面的重新加载,故需要解决在spa模式的应用中网页在使用的过程中服务器已更新的资源不能被及时的获取的问题。 解决思路 标记版本: 在vue.config.js中每次编译生成一个版本号 使用html-webpack-plugin插件将版本号插入到index.html的mate标签 在webpack编译结束生成附带版本号的version.json文件放置到服
首先安装符合要求的node和npm版本，安装yarn（建议通过msi文件全局安装）
在chrome插件中，我们通常会看到在插件端登录操作会跳转到第三方独立的web去登录，一旦web登录，返回到插件端，一刷新页面，插件就自动登录了。这是如何实现的呢？本文是插件与web端的单点登录的一篇总结笔记，希望看完在项目中有所帮助。
只要接触过ts的前端同学都能回答出ts是js超集，它具备静态类型分析，能够根据类型在静态代码的解析过程中对ts代码进行类型检查，从而在保证类型的一致性。那，现在让你对你的webpack项目（其实任意类型的项目都同理）加入ts，你知道怎么做吗？带着这个问题，我们由浅入深，逐步介绍TypeScript、Babel以及我们日常使用IDE进行ts文件类型检查的关系，让你今后面对基于ts的工程能够做到游刃有余。
Node-RED是IBM开源的低代码物联网编排工具，有广泛应用，包括研华WISE PaaS、西门子Iot2000、美国groov EPIC/groov RIO等工业IoT硬件也都预装了Node-RED。此外，它亦常被作为低代码开发平台使用。
JS 资源列表，内容包括：包管理器、加载器、测试框架、运行器、QA、MVC框架和库、模板引擎、数据可视化、时间轴、编辑器等等。 包管理器 管理着 JavaScript 库，并提供读取和打包它们的工具。 npm：npm 是 JavaScript 的包管理器。官网 Bower：一个 web 应用的包管理器。官网 component：能构建更好 web 应用的客户端包管理器。官网 spm：全新的静态包管理器。官网 jam：一个专注于浏览器端和兼容 RequireJS 的包管理器。官网 jspm：流畅的浏览器包管理
ESLint最初是由Nicholas C. Zakas 于2013年6月创建的开源项目。它的目标是提供一个插件化的javascript代码检测工具。
webpack是一个JavaScript应用程序的静态资源打包器（module bundler）。它会递归构建一个依赖关系图（dependency graph）,其中包含应用程序需要的每个模块，然后将所有这些模块打包成一个或多个bundle。大部分Vue应用会使用webpack进行打包，如果没有正确配置，就会导致Vue源码泄露，可能泄露的各种信息如API、加密算法、管理员邮箱、内部功能等等。
Themeablebrowser是一个外部浏览器插件，它fork自inappbrowser，相比于后者，此插件的目的是提供一个可以与你的应用程序的主题相匹配的in-app-browser，以便给你的应用保持一致的外观和感觉。所以，除了一些主题化的配置外，核心部分使用参考inappbrowser文档。
在阅读内部名字服务的源码时，看到了微内核+插件化的设计实现，非常有利于功能的横向扩展。本文以开源的 tcb-admin-node.js 库的扩展功能为例，记录下插件化的思想以及在 tcb 中的实现。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
