主题
高级资深前端面试题 · Nuxt 架构深挖
Nuxt 如何防御 SSRF、XSS、CSRF 和开放重定向？
这道题不只考 API 记忆，还考察你能否从构建期、Nitro、SSR、浏览器和部署平台解释完整链路。
面试官想考什么
- 你能否说明这个问题的边界？
考察是否理解 Nuxt 抽象解决什么，以及哪些责任仍属于浏览器、后端或平台。 - 你能否讲清运行链路和失败模式？
考察 SSR、Nitro、缓存、客户端接管和部署能力之间的因果关系。 - 你能否做高级工程取舍？
考察安全、性能、可观测性、兼容性、成本和回滚意识。 - 你能否把方案落到团队和生产环境？
考察测试、版本治理、灰度和故障恢复能力。
一句话回答
text
Nuxt 的全栈能力扩大了攻击面，必须在服务端限制出站 URL 和凭据，在输出和模板边界做转义，在状态变更请求做 CSRF 防护，并校验 redirect 目标。面试回答详解
高级回答要从“概念是什么”继续往下讲到“为什么这样设计、如何验证、出错如何恢复”。这类 Nuxt 题尤其要区分构建期能力、服务端请求期能力和浏览器运行期能力。
1. SSRF\n\nserver route 不能把用户输入直接交给 $fetch；应限制协议、域名、端口、重定向和内网地址，并使用固定 connector。\n\n### 2. XSS\n\n避免 v-html 直接渲染不可信内容，富文本必须经过白名单清洗，CSP、Trusted Types 和安全 Cookie 作为纵深防御。\n\n### 3. CSRF/重定向\n\nCookie 会话的写操作要校验 origin/CSRF token；navigateTo 或登录回跳只允许站内或 allowlist URL。
4. 生产落地判断
- 安全边界：服务端凭据、用户身份、租户、缓存和出站请求都不能依赖客户端自报。
- 性能边界：要同时看 TTFB、LCP、INP、CLS、payload、hydration、上游依赖和资源瀑布。
- 稳定性边界：为超时、断连、重复执行、版本不一致、冷启动和平台能力差异设计降级。
- 治理边界：把配置、日志、指标、测试、发布、灰度和回滚纳入方案，而不是上线后补救。
可直接背诵的 30 秒回答
text
Nuxt 安全要同时守住浏览器输出、服务端出站和导航跳转三条边界：SSRF 用 allowlist，XSS 用安全渲染和 CSP，CSRF 用请求校验，重定向用目标校验。扩展知识
常见排查路径
text
现象 -> 版本/配置 -> 请求与缓存 -> SSR/Nitro -> hydration -> 浏览器性能 -> 部署平台需要避免的绝对化结论
- SSR 不一定比 CSR 快，取决于数据、缓存、服务端资源和 hydration。
- Nitro 不会消除平台差异，Edge、Serverless 和 Node 仍有不同运行时能力。
- 缓存不是越多越好，个性化数据和失效一致性决定了缓存边界。
- Nuxt Module、Plugin、Composable 和 Middleware 是不同层次的扩展点，不能混用。
面试官追问链
追问一：为什么服务端 $fetch 更容易造成 SSRF？
- 考察点：是否能把 Nuxt 抽象落到运行时机制。
- 回答方向：先说明默认行为，再补充身份、缓存、错误和部署边界。
追问二：SameSite Cookie 能完全防 CSRF 吗？
- 考察点：是否知道正常路径之外的风险。
- 回答方向：给出失败模式、降级策略和观测指标，不只给理想代码。
追问三：CSP 如何兼容 Nuxt 内联脚本？
- 考察点：是否具备架构治理能力。
- 回答方向：说明如何测试、灰度、回滚和验证长期维护成本。