针对html，我们可以对script\link\style\video\audio\embed等标签的src或href属性进行分析。
虽然找到了一处XSS，但是题目又说明：“我收到邮件后会先点开链接然后登录我的网站！”，而登录的域名是auth.hardxss.xhlj.wetolink.com，登录和打开链接是在不同的域名，并且需要盗取的信息在请求中而不是在cookie中。又注意到，直接访问https://auth.hardxss.xhlj.wetolink.com/，返回的页面源码的js中包含跨域操作：document.domain = "hardxss.xhlj.wetolink.com";，
01 — 什么是RPO攻击？ RPO（Relative Path Overwrite）相对路径覆盖，是一种新型攻击技术，最早由GarethHeyes在其发表的文章中提出。主要是利用浏览器的一些特性和部
Next.js 是一个基于 React 的开发框架，它提供了很多强大的功能，如服务器端渲染、静态网站生成、API路由等。
Gareth Heyes在2014年首次提出了一种新型攻击手法—RPO(Relative Path Overwrite)相对路径覆盖，该漏洞是一种利用相对URL路径覆盖目标文件的一种攻击手段，其主要依赖于服务器和浏览器的解析差异性并利用前端代码中加载的css/js的相对路径来加载其他文件，最终使得浏览器将服务器返回的不是css/js的文件当做css/js来解析，从而导致XSS，信息泄露等漏洞产生
https://github.com/ChenShenhai/koa2-note/blob/master/demo/static-server/open in new window
刚才简单介绍了一下node读取同级页面的html文件,没有类似于Apache的服务,让访问变得复杂,因为这样正是成就了node的优点!优良的路由处理,通过路由访问不同内容!
ECMAScript模块是 JavaScript 的新标准格式。在Node.js中越来越多的库逐渐从从CommonJS转移到ES模块
在写 Node.js 应用程序的时候，你确实可以把所有代码放在巨大的index.js 文件中，不在乎你的应用程序会变得多大多复杂。Node.js 解释器不会在意这个事情。但在代码组织方面，你很快就会陷入混乱，不能理解代码，而且难以调试。所以，作为一个人，你应该关心代码的结构。这就是使用模块的原因。
只要服务器接收到了客户端的请求，就会调用通过server.on为服务器绑定的request事件处理函数，如果想在事件处理函数中，访问与客户端相关的数据或属性，可以使用如下的方式。
做过vue项目的人都知道，当项目越变越大，或者变成多页面应用时，热更新打包速度奇慢无比，每次保存都要几分钟。
挺久以前就有网友给我的 GitHub Pages 博客模板提 Issue，说希望能增加 CDN 用于加速静态资源的加载，由于懒，一直没有动。
本文章中所有内容仅供学习交流，抓包内容、敏感网址、数据接口均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关，若有侵权，请联系我立即删除！
在当今快速发展的网站开发领域，Next.js以其独特的优势和便捷的功能，成为了前端开发者的新宠。Next.js是一个开源的JavaScript框架，它建立在流行的JavaScript库React之上，专为构建用户界面而设计。作为一个专门用于构建网络应用程序的框架，Next.js被广泛描述为一个用于服务端渲染或静态生成应用程序的React框架。通过提供一系列工具和约定，Next.js极大地简化了基于React的网络应用程序的开发过程，使得构建快速、高性能且可扩展的网站变得更加容易。
ECMAScript是JavaScript的核心，但如果要在web中使用JavaScript，那么BOM则是真正的核心，BOM提供了很多对象，用于访问浏览器的功能，这些功能与任何网页内容无关。
Node.js 的推出，不仅从工程化的角度自动化掉更多琐碎费时的工作，更打破了前端后端的语言边界，让 JavaScript 流畅的运行在服务器端，本系列课程旨在引导前端开发工程师，以及 Node.js 初学者走进这个活泼而有富有生命力的新世界。
今天遇到一个比较新奇的问题，但是也应该是使用spring MVC框架时由于疏忽经常会遇到的一个，解决后写出来和大家分享分享。
whistle是一款用Node实现的跨平台的Web调试代理工具，支持查看修改http(s)、Websocket连接的请求和响应内容。IMWEB团队avenwu作品。github地址：https://github.com/avwo/whistle
首先提一下JSON这个概念，JSON是一种轻量级的数据传输格式，被广泛应用于当前Web应用中。JSON格式数据的编码和解析基本在所有主流语言中都被实现，所以现在大部分前后端分离的架构都以JSON格式进行数据的传输。
原创作者：朱顺意 本文长度为1400字 ，建议阅读10分钟。 今天iCDO原创团队志愿者朱顺意将为我们深入探索着陆页跳转的小“心机“！ 访客点击社交网站的广告，打开A页面的时候，跳转到你真正想要的着陆页B，那么此次着陆页的访问来源应该是什么？ 页面的跳转，可以分为客户端跳转和服务器端跳转。典型的客户端跳转，包括通过Javascript跳转，服务器端则包括重定向等等。无论是何种跳转方式，如果跳转前着陆页的统计代码已经被加载，那么此次访问路径将会被统计工具记录为：网站广告-着陆页URL-跳转后URL。因此，
RPO (Relative Path Overwrite) 相对路径覆盖，最早由 Gareth Heyes 在其发表的文章中提出。主要是利用浏览器的一些特性和部分服务端的配置差异导致的漏洞，通过一些技巧，我们可以通过引入相对路径来引入其他资源文件，以达到我们的目的。
上一篇《前端福音：Serverless 和 SSR 的天作之合》，详细介绍了 SSR 相关知识，同时也提到了 Serverless 给 SSR 方案带来的福利。但它只是将 Next.js 应用部署到 Serverless 服务上而已，并不适合实际生产业务。为此本篇专门针对 Next.js 的 SSR 方案进行了探索和优化，一步一步带大家了解，如何基于 Serverless 架构部署一个实际的线上业务。
不同源就是跨域，比如你的前端为localhost:9528，后端为localhost:8080，此时前端去访问后端接口就会产生跨域问题，因为端口不同。
访问连接 http://127.0.0.1:1937/hello%20word.html
对于前端来说，网络请求主要就是用 ajax 的方式去处理。所以本文也会站在前端角度简单讲解 Node 中如何使用 http 模块。\n\n 前后端对接时，现在常用的请求方法有 GET、POST、PUT、PATCH、DELETE。当然，还有其他方法，但本文主要面向新手，希望能做到快速起步。所以本文只讲 GET 和 POST 这两种最最最常用的方法。\n\n 在敲代码前，你首先需要准备一个 编辑器（我用vs code）、浏览器、postman 还有安装好 Node.js 。\n\n 创建服务\n\nNode.js 提供了 http 模块，可用于网络请求。\n\n 创建一个 js 文件，输入以下代码。（本例的文件命名为 index.js）\n\njs\nconst http = require('http')\n\nconst server = http.createServer((res, req) => {\n req.end('hello world')\n})\n\nserver.listen(8000, () => {\n console.log('http://localhost:8000')\n})\n解释：- Node.js 使用 commonjs 语法，所以引入 http 模块使用了 require 的方法。\n- http 模块有一个 createServer 方法，该方法的参数是一个函数，函数里又有2个参数，res 是前端发送请求带过来的信息；req 是后端返回信息给前端时的一些方法和属性的集合。\n- 通过 req.end 方法，可以返回一段字符串给前端。\n- 通过 listen 方法可以设置需要监听的端口号，第二个参数是一个函数，我在控制台里输出 http://localhost:8000 是方便启动服务后方便自己打开这个地址。\n\n 使用 Node.js 运行上面的代码：\n\n\nnode index.js\n\n\n运行完上面的命令，控制台应该会输出 http://localhost:8000 ，此时打开浏览器，输入 http://localhost:8000 后页面上会出现 “hello world”，证明服务创建成功，并且可以访问了。\n\n\n
短链接我们或多或少都使用过，所谓短链接就是根据较长的原链接url生成一段较短的链接，访问短链接可以跳转到对应的原链接，这样做好处在于：1. url更加美观；2. 便于保存和传播；3. 某些网站内容发布有字数限制，短链接可以节约字数。
Vue.js 是一个渐进式 MVVM 框架，目前被广泛使用，也成为目前前端技术中颇具代表性的一个框架。
Node.js 20 已经发布，带来了创新和激动人心的新时代。这个开创性的版本于2023年4月18日首次亮相，并将在2023年10月发布长期支持（LTS）版本，并且将持续支持至2026年4月，下面小编就为大家介绍一下Node.js20的几个新特性：
首先在工程的Cypress路径下新建一个pages目录，然后在该目录下新建一个JS文件，并命名为login.js
现在大多项目都是前后端分离的，但是如果前后端都是一个人做，前后端来回切也挺不方便的。
接着上回新闻搜索的例子。现在我们要通过路由进入一个新的页面来查看新闻详细内容。 react和路由并没有什么直接关系，用什么路由都可以。不过使用react-router可以让我们的代码风格统一， 并且有些工具使用起来很方便。 先来安装react-router库（我目前安装的版本是2.0.1，跟1.x版本区别比较大）： npm install react-router --save 从使用上来说，react-router不过是一些react组件，所以用起来特别方便。不用多说，看个例子就知道怎么用了。 先把咱们已
攻击者在入侵网站后，常常会通过恶意劫持流量来获取收益，从而实现流量变现。有一些黑帽劫持的手法堪称防不胜防，正常的访问行为很难发现异常。今天给大家分享一下常见的网站劫持手法和排查思路。
作为前端开发人员，你要是连同源策略都不知道是什么，那就太说不过去了。本篇文章将讲述同源策略的定义， 以及当我们需要克服同源策略，如何进行跨域访问数据的方法。
在进行对 SpringMVC 配置时，通常我们会配置一个 dispatcherServlet 用于处理对应的 URL。
所谓URL转发是当你访问一个域名时，将会自动跳转到您所指定的另一个网络地址（URL）。假设abc.com是您要访问的域名，则通过URL转发服务可以实现当访问http://www.abc.com时，自动转向访问另外一个URL，如：http://www.otherdomain.com/somedir/other.htm。URL转发服务尤其对于拥有一个主网站并同时拥有多个域名的用户比较适用，通过URL转发服务，您就可以轻松实现多个域名指向一个网站或网站子目录了； 另外，通过URL转发服务，可以方便的实现将您的中文域名，设置自动转发到您的英文域名主站点。
JS调用Android的其中一个方式是通过addJavascriptInterface接口进行对象映射：
通常我们写了一套自适应的 web 程序,想在多种环境中使用.比如 app 里,微信小程序里,各种 app 分享中, 假如只是能使用 app 浏览,问题不大,但是要在被嵌入 app 里面和 app 本身交互,就要做各种折腾, 如是就有了本文.
0x00 起因 不久前@三好学生师傅买了一个wooyun wifi,然后聊到了缓存投毒： 然后看到wooyun wifi的这个说明： 默认情况下该功能附带缓存投毒功能，将视图缓存所有的页面至2099年
http://www.cnblogs.com/yank/p/4477204.html
最近开始研究网页参数的JS加密，但是大型网站的JS文件过于繁杂，不适合新手上路，于是乎找了几个简单的网页来学习学习。
这 5 种方式覆盖了开发中绝大多数场景，掌握好这些就能轻松应对各种 http/https 数据通信的需求。
https://www.cnblogs.com/poloyy/category/1680176.html
说明：Swagger的使用目的是方便优美的呈现出接口API的各种定义, 生成API文档, 包括参数, 路径之类. 有时后端改了API的参数或者其他设置, 前端直接看这个Swagger UI就可以, 方便项目管理和团队协作。
随着Web技术的发展和移动互联网的发展，Hybrid技术已经成为一种前端开发的主流技术方案。那什么是Hybrid App呢？
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测以及文章作者不为此承担任何责任。 雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。
早期的网站开发整个HTML页面是由服务器来渲染的。服务器将渲染好的对应的HTML页面返回给客户端进行展示，但是一个网站包含很多页面，那服务器是怎么处理的呢？
返回非页面的数据，必须在方法或者类上加 @ResponseBody，同时 我们返回的类型 springmvc会自动解析成对应的格式，不需要我们进行手动指定
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
