在上一篇文章中，我说过要写一篇风格迥异的新文章，在了解了迭代器和生成器后，是时候来品味一些不烧脑的简单知识，如果你们觉得太难了，还不快去啃犀牛书！
JSX是快速生成react元素的一种语法，实际是React.createElement(component, props, ...children)的语法糖，同时JSX也是Js的语法扩展，包含所有Js功能。
不同于一般函数形如fn(argA, argB)的执行方式，标签函数可以直接跟在模版字符串前面，比如：
XSS（Cross Site Script）攻击又叫做跨站脚本攻击。他的原理是用户在使用具有XSS漏洞的网站的时候，向这个网站提交一些恶意的代码，当用户在访问这个网站的某个页面的时候，这个恶意的代码就会被执行，从而来破坏网页的结构，获取用户的隐私信息等。
前端安全方面，主要需要关注 XSS（跨站脚本攻击 Cross-site scripting） 和 CSRF（跨站请求伪造 Cross-site request forgery）
后面会把前端进阶的课程内容都总结一遍。有些都是很常见的知识，但是为了梳理自己的知识树，所以尽量模糊的地方都会记录
Virtual DOM是一棵以JavaScript对象作为基础的树，每一个节点可以将其称为VNode，用对象属性来描述节点，实际上它是一层对真实DOM的抽象，最终可以通过渲染操作使这棵树映射到真实环境上，简单来说Virtual DOM就是一个Js对象，是更加轻量级的对DOM的描述，用以表示整个文档。
对复杂公式的支持不够好，简单公式可以显示，复杂编译错误，验证表明，问题不是mathjax.js导致，是默认hexo引擎编译导致html文本转义错误。
这是一个模仿真实xss挖洞的情景，在XSS Challenges练习过程中，我们需要用浏览器中的f12中搜索（），找出我们控制的代码所在的位置，然后思考那些个位置哪个或哪几个位置可以被注入我们想要的代码，然后结合上下文进行各种脑洞绕过。
你也可以使用快捷方式 ejs.render(dataAndOptions); ，其中你可以通过一个对象来传递任何东西。在这种情况下，你需要以一个装有所有需要传递对象的本地变量结束。
Django 2.1.7 创建应用模板 Django 2.1.7 配置公共静态文件、公共模板路径 Django 2.1.7 模板语言 - 变量、标签、过滤器、自定义过滤器、模板注释 Django 2.1.7 模板继承
过滤，顾名思义，就是将提交上来的数据中的敏感词汇直接过滤掉。例如对"<script>"、""、""等标签进行过滤，有的是直接删除这类标签中的内容，有的是过滤掉之类标签中的on事件或是'javascript'等字符串，让他们达不到预期的DOM效果。
1）打开assetinfo/views.py文件，创建视图html_escape。
内容整理自 2014 年的 OSCON - React Architecture by vjeux(https://speakerdeck.com/vjeux/oscon-react-architecture)，虽然从今天（2018）来看可能会有点历史感，但仍然值得学习了解。以史为鉴，从中也可以管窥 Facebook 优秀的工程管理文化。
实验地址：https://portswigger.net/web-security/all-labs
XSS（跨站脚本攻击，Cross-site scripting，它的简称并不是 CSS，因为这可能会与 CSS 层叠样式表重名）是一种常见的 web 安全问题。XSS 攻击手段主要是 “HTML 注入”，用户的数据被当成了 HTML 代码一部分来执行。
JS这种语言一不小心就会写错。为什么前端技术专家工资那么高，可能要解决的疑难杂症最多吧。
一个月前刷了XSSchalleng以为自己已经算是入门了XSS了，但是在我挖洞碰到有可能存在XSS漏洞网页的时候，发现我只能记起来<script>alert('xss')</script>
今天在复制粘贴自己博客上的代码时发现，有的代码竟然无法执行！(pbootcms 的 if 语句)
该文介绍了如何使用swig.js库实现JavaScript模板引擎的基本功能，包括变量、标签、继承和块等。同时，文章还介绍了如何利用该库进行模板继承，以及如何在FIS3构建中使用该库。
使当前模板继承父模板，必须在文件最前 参数： file 父模板相对模板 root 的相对路径,将在后面介绍如何实现模板继承。
Django对字符串进行自动HTML转义，如在模板中输出如下值： 视图代码： def index(request): return render(request, 'temtest/index2.html', { 't1': 'hello' }) 模板代码： {{t1}} 显示效果如下图： 📷 会被自动转义的字符 html转义，就是将包含的html标签输出，而不
web攻击的一种，通过对网页注入可执行代码（html代码或JS代码）成功被浏览器执行
本质上是 JavaScript 对象，这个对象就是更加轻量级的对 DOM 的描述。
window是一个全局对象，其实就是相当于那个对象调用这个函数，那么这个函数里面的隐式参数this就是当前调用这个函数的对象
这个很简单 首先你要把html代码转成js代码 有这种转换工具的 搜下代码转换工具就可以 再把你转换好了的代码放到文本中 把后缀名改成点js就可以了 可以用txt文档改 js文件用记事本可以打开小编喝醉了酒，流入街头可怜的像条狗，哭着对你说别走，你义无反顾笑笑也不回头。
也就通过利用网站漏洞，通过网址，输入框等方式构造恶意脚本( java script) ，用脚本进行攻击的一种方式。
如果直接将其作为某个元素的innerHTML，img的onerror回调执行JS代码的能力会带来XSS风险。
坑1：html在django 的mako模版中进行转义： 数据库内html标记转义： 数据库中既有这样的数据： <p><p>&lt;p& 也有这样的数据： 针对小厂商和大厂商不同灰度策略支持 通过下面的方法可以将<转义为可渲染的html页面内容： <%! import HTMLParser %> % for item in items: ${HTMLParser.HTMLParser().un
这是否意味着如果我们使用这样的参数,我们将始终受到SQL注入的保护？在使用表单(FOS的注册表单)时,我eduardo改为使用标签将其保存到数据库中.我真的不明白为什么使用参数可以防止SQL注入......
简介： 形成XSS漏洞的主要原因是程序对输入和输出没有做合适的处理，导致“精心构造”的字符输出在前端时被浏览器当作有效代码解析执行从而产生危害。
持续创作，加速成长！这是我参与「掘金日新计划 · 6 月更文挑战」的第30天，点击查看活动详情
当当当当，我是美团技术团队的程序员鼓励师美美～“基本功”专栏又来新文章了，这次是一个系列，一起来学习前端安全的那些事。我们将不断梳理常见的前端安全问题以及对应的解决方案，希望可以帮助前端同学在日常开发中不断预防和修复安全漏洞，Enjoy Reading！
本文介绍了mXSS漏洞的基本概念、危害以及三个典型的mXSS漏洞案例。作者通过分析这些案例，强调了XSS漏洞的危害性以及mXSS漏洞的复杂性和隐蔽性。同时，对于开发人员来说，了解mXSS漏洞的原因和危害，有助于在开发过程中避免类似的漏洞产生，提高网络的安全性。
偶然发现这个新东西，ES6也有模板了，是使用反引号`，来表示的。 这个新东西被称为字符串字面量，就是模板字符串。它使JS也有了简单的字符串插值特性。 为什么说是简单呢，因为因为它不能不能自动转义特殊字符，不能处理特殊语言格式的日期、时间什么的，也没有循环，， 所以它现在只是一个处理输出字符串的东西，目前无法替代模板引擎。 它的用法很简单，这样： console.log( `我是 $(json.name)` ); 这个$(json.name)就是模板占位符，JS会把相应的值，输出安插在一对反引号``中，对应的
不论是服务器端或客户端的XSS过滤器，都认定过滤后的HTML源代码应该与浏览器所渲染后的HTML代码保持一致，至少不会出现很大的出入。然而，如果用户所提供的富文本内容通过javascript代码进属性后，一些意外的变化会使得这个认定不再成立：一串看似没有任何危害的HTML代码，将逃过XSS过滤器的检测，最终进入某个DOM节点中，浏览器的渲染引擎会将本来没有任何危害的HTML代码渲染成具有潜在危险的XSS攻击代码。随后，该段攻击代码，可能会被JS代码中的其它一些流程输出到DOM中或是其它方式被再次渲染，从而导致XSS的执行。 这种由于HTML内容进后发生意外变化（mutation，突变，来自遗传学的一个单词，大家都知道的基因突变，gene mutation），而最终导致XSS的攻击流程，被称为突变XSS（mXSS, Mutation-based Cross-Site-Scripting）。
XSS为跨站攻击脚本，指攻击者将js脚本(可能是其他脚本)插入到web页面，当用户浏览该网页是，代码就会执行，造成恶意攻击。
JS编码解码 一、定义和用法 encodeURI() 函数可把字符串作为 URI 进行编码。
通常指攻击者通过“HTML注入”篡改网页，插入恶意脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击手段 。
使用react开发网页的话，我们难免会下载两个包，一个是react，一个是react-dom，其中react是react的核心代码。react的核心思想是虚拟Dom，其实虚拟Dom改变没有那么复杂，简单而言就是一个js的对象来表达一个dom包含的东西，例如如下代码：
作为一枚技术公众号运营者，写文章，发文章都是日常操作了，但在一次日常的发文中却意外地发现了微信公众号的重大BUG，这究竟是怎么回事呢？
赋值： 在方法中： this.setData({ msg: “World” })
前端一般会面临 XSS 这样的安全风险，但随着 React 等现代前端框架的流行，使我们在平时开发时不用太关注安全问题。以 React 为例，React 从设计层面上就具备了很好的防御 XSS 的能力。本文将以源码角度，看看 React 做了哪些事情来实现这种安全性的。
UEditor是由百度web前端研发部开发的所见即所得富文本web编辑器，具有轻量，可定制，注重用户体验等特点。UEditor存在一个XSS漏洞，编辑器在定义过滤规则的时候不严和读取内容的时候的绕过导致了该漏洞，目前此漏洞已经上报。
2.办法是后来想到的，标签包含标签，这样一个script被过滤了，剩下的刚好组成script
Pug是一款健壮、灵活、功能丰富的HTML模板引擎,专门为 Node.js 平台开发。Pug是由Jade 改名而来。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
