主题
高级项目实践面试题
Vue 项目如何处理 XSS、CSRF、富文本和不可信配置？
考察框架默认防护、危险 API、内容清洗和服务端安全边界。
面试官想考什么
- 能否先明确问题边界？
考察框架默认防护、危险 API、内容清洗和服务端安全边界。 - 能否讲清核心链路和状态变化？
重点考察：输入分类 -> 清洗/编码 -> 安全渲染 -> CSP 和权限校验；富文本使用白名单 sanitizer，不能用正则替代 HTML 解析和安全策略。 - 能否说明取舍，而不是只给单一方案？
重点考察：严格清洗可能损失格式能力，完全信任内容则扩大攻击面；前端校验用于体验，服务端校验用于安全。 - 能否把方案落到项目治理？
重点考察：禁止把用户输入拼进 template，限制 v-html 来源，外链协议和跳转目标做 allowlist，Cookie 配置 SameSite/HttpOnly/Secure，并对上传文件做服务端检查。
一句话回答
text
Vue 的模板插值有默认转义，但 v-html、动态模板、URL、第三方脚本和富文本仍需显式信任边界；CSRF、鉴权和数据授权必须由服务端协同。面试回答详解
这道题的关键不是背一个 Vue API，而是把业务目标、状态边界、运行时链路和上线后的失败恢复放在同一个设计里。
1. 先拆问题和边界
考察框架默认防护、危险 API、内容清洗和服务端安全边界。 严格清洗可能损失格式能力，完全信任内容则扩大攻击面；前端校验用于体验，服务端校验用于安全。
2. 核心机制
输入分类 -> 清洗/编码 -> 安全渲染 -> CSP 和权限校验；富文本使用白名单 sanitizer，不能用正则替代 HTML 解析和安全策略。
text
需求与约束 -> 状态/模块建模 -> Vue 组件与基础设施协作 -> 失败恢复 -> 指标验证3. 工程落地
禁止把用户输入拼进 template，限制 v-html 来源，外链协议和跳转目标做 allowlist，Cookie 配置 SameSite/HttpOnly/Secure，并对上传文件做服务端检查。
- 契约：明确输入、输出、错误模型和生命周期，避免组件依赖隐式全局状态。
- 异常：为网络失败、权限变化、取消、重复操作和卸载分别设计行为。
- 验证：通过类型、单元/组件测试、E2E、性能指标和线上日志验证，而不是只看本地能否运行。
- 演进：把稳定能力沉淀为模块 API，把易变业务留在 feature 内，保留迁移和回滚路径。
4. 方案取舍
严格清洗可能损失格式能力，完全信任内容则扩大攻击面；前端校验用于体验，服务端校验用于安全。
不要把架构复杂度本身当成成熟度。高级答案应说明何时采用简单实现，何时值得引入抽象，以及抽象带来的调试、性能和团队认知成本。
5. 生产风险
禁止把用户输入拼进 template，限制 v-html 来源，外链协议和跳转目标做 allowlist，Cookie 配置 SameSite/HttpOnly/Secure，并对上传文件做服务端检查。 还要补充数据隐私、权限校验、资源释放、兼容性、灰度发布和可观测性。前端可以改善用户体验，但不能替代服务端授权、数据一致性和安全校验。
可直接背诵的 30 秒回答
text
我会先把问题拆成目标、状态、模块边界和失败场景。Vue 的模板插值有默认转义，但 v-html、动态模板、URL、第三方脚本和富文本仍需显式信任边界；CSRF、鉴权和数据授权必须由服务端协同。 实现上我会让 Vue 组件负责展示和交互，把请求、领域规则和基础设施隔离，通过明确契约连接；同时覆盖 loading、error、empty、取消、重复操作和卸载。最后用类型、测试、性能指标和线上监控验证方案，而不是只证明功能能跑。扩展知识
一个通用项目设计框架
text
业务目标 -> 领域边界 -> 状态所有权 -> 依赖方向 -> 异常恢复 -> 测试与观测 -> 灰度与回滚常见误区
- 把前端隐藏、路由拦截或 TypeScript 类型当成真正的安全边界。
- 只讲正常流程，不讲刷新、并发、取消、卸载、断网和版本不一致。
- 只看局部代码能否运行，不看模块耦合、性能、测试和发布成本。
- 引入抽象后没有公共契约、迁移路径和删除旧实现的计划。
面试官追问链
追问一：v-html 为什么危险？
- 考察点：确认候选人是否能把方案落到生产边界。
- 回答方向：结合数据规模、失败恢复、可观测性和团队维护成本回答，不要只给 API 名称。
追问二：XSS 和 CSRF 的攻击前提有什么不同？
- 考察点：确认候选人是否能把方案落到生产边界。
- 回答方向：结合数据规模、失败恢复、可观测性和团队维护成本回答，不要只给 API 名称。
追问三：CSP 能解决全部 XSS 吗？
- 考察点：确认候选人是否能把方案落到生产边界。
- 回答方向：结合数据规模、失败恢复、可观测性和团队维护成本回答，不要只给 API 名称。