Web前端新手要了解的Web前端小技巧!

今天小编要跟大家分享的额文章是关于Web前端新手要了解的Web前端小技巧。Web前端看上去好像是搞文艺的，整天都要“符合顾客的审美”，但其实它的重点主要是在功能方面，要超越桌面应用程序，

Web应用程序必须提供简单、直观和即时响应的用户界面，让他们的用户花更少的精力和时间。

为了帮助大家更好的提高工作效率，今天小编就为大家带来了这篇Web前端小技巧的文章，希望能够对大家有所帮助。

一、界面元素的需求

在Web前端设计中，简单清新的页面是很重要的。在任何时候，用户的屏幕上显示的模块越多，那他将花费更多的时间去搞清楚所有模块的作用。当模块很少时，可用的功能变得更加明显更容易被发现。简化界面显然是不容易的，尤其是如果你不想限制应用程序的功能的时候。

当你点击Kontain

搜索框的搜索链接时，会出现一个类似于下拉菜单的层。所以，如果您需要来缩小搜索范围，您可以选择菜单中你所需要的类型。这些选项的聚合简化了搜索框。

我们需要了解用户的习惯，去掉不需要的部分，只显示最常用的部分。

你可以用弹出式菜单和操作来做这件事，这在桌面软件中很常见。决定该保留什么隐藏什么不是一个简单的任务，也会取决于重要性和操作时的频繁程度。

二、专门操作

根据情况选择合适的控件是很重要的。不同情况下可以用不同的方式处理，带有目的性的控件会比其他控件能够更好地完成他们的目标工作。

例如，拿日历和下拉列表来做比较，显然日历选择器相比下拉列表不是很方便，在日历里你可以直接通过点击选择你想要的某一天。日历选择器也会让你更容易看到日期、周期和月份(特别是工作日和休息日)，因此能够让用户更快做出选择。

三、禁用按下按钮

在Web应用程序的表单问题中，如果你快速地点击两次或者更多次“提交”按钮，这个表单会被多次提交。这个问题是因为它会重复创建相同的项目。其实这个问题不难，大多数Web应用程序来说做到这一点是非常必要的。

它有两层维护：客户端和服务器端

。我们不会通过服务器端维护是因为这将取决于您使用的编程语言和你的后端架构。基本上你应该做的就是在提交过程中添加一个检测机制，去检查被提交的内容是否重复，并且是否需要阻止提交。

四、弹出窗口的阴影

在弹出菜单和窗口下的阴影不止是看起来很漂亮这么简单。它们帮助菜单或者窗口通过强调从背景中脱颖而出

。它们还通过周围暗色调区域来屏蔽掉背景内容的噪音。

这种技术来源于传统的桌面软件，帮助用户把他们的焦点放在出现的窗口上。由于大多数情景窗口是不容易从桌面程序中辨识出来，所以阴影帮助他们更接近于读者，因为这种类似于三维的立体感，让用户更好分辨出。

五、空白状态时你要做什么?

当你的页面处在一个空白阶段时，你是怎么利用的?

当在页面或者查询结果没有信息时，告诉用户如何才能处理这些空白区域是跟用户最好的交谈。例如，一个项目管理应用程序的网页可能会列出用户的项目，但如果没有项目，你可以提供一个创建项目的链接。即使已经有创建项目的按钮存在在页面上，但这还是大大有利的。

通过空白状态去激励用户行为，可以大大减少“弹出”，并且帮助您的潜在客户，更好地了解该系统如何工作。

六、按钮按下的状态

本人很喜欢页面上看起来很立体的小按钮。其实默认输入按钮可能不适合在一些情况下，而文字链接很多时候不是很讨人喜欢。那么，当你把你的链接弄得看上去像按钮时，它们的操作也应该和按钮一样，当然包括被“按动”的效果。

这不是一个纯粹的视觉调整。提供即时反馈给用户将使应用程序感觉更有响应性。

你可以通过CSS为按钮增加按下的效果。

七、在登陆页面提供注册的链接

这个大家应该都是懂的，无论你点进大大小小的网站，不干点啥都要注册个账号。现在这个流量比油贵的年代，哪个站长不设置个注册才傻呢。

一些没有注册你的应用程序的用户将不可避免地停在你的登录页面上。他们想要使用你的应用程序，但是却不能立刻找到注册页面，这样的用户体验，会让你永远的失去这个用户。

八、关联导航

站在用户角度思考为什么他会点这个，那么他下一步想看见的是什么就给他什么链接。你不需要在每个地方显示同样的导航链接因为在用户可能不是在每个环境中都需要它们。

Web应用程序也可以受益于这种上下文关联的控件，因为这些控件通过只显示用户需要的内容来帮助整洁界面，并非显示所有的内容。

以上就是小编今天为大家分享的关于Web前端新手要了解的Web前端小技巧!的文章，希望本篇文章能够对正在从事Web前端工作的小伙伴们有所帮助。想要了解更多Web前端相关知识记得关注北大青鸟Web前端培训官网。最后祝愿小伙伴们工作顺利!

*声明：内容与图片均来源于网络(部分内容有修改)，版权归原作者所有，如来源信息有误或侵犯权益，请联系我们删除或授权事宜。

前端程序员必须知道的 Web 漏洞，快来看看

随着互联网的发展，早已经不是仅限于简单的网页或是社交，电商购物、银行转账、企业管理等等。上次看到一个新闻，后台程序员离职后，利用职位之便，每天还不断的给自己转账，转了好多次才被发现，想想这多可怕。或者会窃取重要的商业信息，所以 Web 安全也是非常值得注意的。

什么是 Web 安全？

黑客利用网络操作系统的漏洞和 Web 服务器的 SQL 注入漏洞等，得到 Web 服务器的控制权，轻则篡改、删除、添加数据，重则窃取重要的商业信息、转账等，更严重的就是在网页中植入恶意代码，使网站受到不可预期的侵害。

常见的攻击可分为三类：XSS、CSRF、SQL注入。

Cross Site Scripting 跨站脚本攻击，为了与 CSS 区分，所以简写为 XSS 。

恶意攻击给 Web 页面植入恶意的 Script 代码，当用户浏览该网页的时候，嵌入 Web 里面的 script 代码会被执行，从而达到攻击的效果。

讲直白点，就是恶意攻击者通过在输入框处添加恶意 script 代码，用户浏览网页的时候执行 script 代码，从而达到恶意攻击用户的目的。

1.1、XSS 的危害

1.2、XSS 的攻击类型

发出请求时，XSS代码会出现在 url 中，作为输入提交到服务器端，服务器再返回给浏览器，然后浏览器解析执行 XSS 代码，这一过程像一次反射，所以称之为反射型。

这种类型的攻击，通常是把 XSS 攻击代码放入请求地址的 数据传输部分，如：

提交的 XSS 代码会存储在服务器端，如数据库、内存、文件系统内，下次请求目标页面时不再提交 XSS 代码。

文档型的 XSS 攻击不会经过服务器，作为中间人的角色，在数据传输过程中劫持到网络数据包，然后修改里面的 html 文档。

1.3、XSS 的防御措施

措施1：编码。

对这些数据进行 html entity 编码。客户端和服务器端都需要进行转义编码。

转义后为：

放入上边的代码中，还是会自动解析为上边的代码，所以放到外边。

措施2：过滤。

移除用户上传的 DOM 属性，如上边的 onerror。

移除用户上传的 style、script、iframe 节点。

措施3：利用 CSP

浏览器中的内容安全策略，就是决策浏览器加载哪些资源。

Cross site request forgery 跨站点请求伪造。

攻击者诱导受害者进入第三方网站，向被攻击网站发送跨站请求，利用被攻击者在被攻击网站已经获取的注册凭证，绕过后台的用户验证达到冒充用户对攻击网站进行的某种操作。

CSRF 攻击特点：

2.1、CSRF 的危害

2.2、CSRF 的攻击类型

使用非常简单，只需要一个 http 请求。

比如页面中的一个图片添加链接，还有 iframe、script ，最容易完成 CSFR 攻击，且不易被用户发现，隐蔽性超强。

由于 get 接口是最常见的一种 CSRF 攻击类型，所以很多重要的接口不适用 get 方式，使用 post 一定程度上可以防止 CSRF 攻击。

这种类型的 SCRF 攻击，通常使用的是一个自动提交的表单。简单讲就是伪造一个自动提交的表单，一旦访问页面时，表单就会自动提交。

如：

比起前两个，这个类型的比较少见，链接类型的攻击必须要用户点击链接，才能触发。

通常在论坛中发布的图片嵌入恶意的链接，或以广告的形式诱导用户点击中招。所以我们在邮箱中看到乱七八糟的广告，尽量别点击，防止遇到三方攻击。

伪造一种新型的攻击方式，用户误以为是在网站正常登录，实际上是使用账户和密码登录到了黑客网站，这样黑客可以监听到用户的所有操作，甚至知道用户的账户信息。

2.3、CSRF 的防御措施

措施1：检查 http 头部的 referer 信息

referer 包含在请求头内，表示请求接口的页面来源。

服务端通过检查 referer 信息，发现来源于外域时，就可以拦截请求，通过阻止不明外域的访问，一定程度上可以减少攻击。

措施2：使用一次性令牌

使用一次性令牌做身份识别，黑客是无法通过跨域拿到一次性令牌的，所以服务端可以通过判断是否携带一次性令牌，就可以排除一部分的非法操作者。

措施3：使用验证图片

服务端生成一些文本和数字，在服务端保存这份信息，同时以图片的形式在客户端展现，让用户去合法填写信息，当 CSRF 攻击时，拿不到这个验证码的时候，无法向服务器提供这个信息，导致匹配失败，从而识别它是非法攻击者。

这个应用非常常见，之前登录的时候，需要填写图形验证码。

现在滑动图片验证也非常常见。

SQL 注入，一般发生在注册、评论、添加等，只有有用户输入的地方，就有可能发生 SQL 注入。SQL 注入是一种常见的 Web 安全漏洞，攻击者会利用这个漏洞，可以访问或修改数据，利用潜在的数据库漏洞进行攻击。

所谓SQL注入，就是通过把SQL命令插入到Web 表单 提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将(恶意的)SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入(恶意)SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到 SQL注入式攻击 .

3.1、SQL 注入危害

任意的账号都可以登录，可以进行任意的操作，粗暴点讲，就是随便来。

3.2、 SQL注入分类

当输入的参数为整数时，则有可能存在数字型漏洞。

当输入参数为字符串时，则可能存在字符型注入漏洞。数字型与字符型注入最大的区别在于：数字型不需要单引号闭合，而字符型一般需要使用单引号来闭合。

字符型注入最关键的是如何闭合 SQL 语句以及注释多余的代码。

其实我觉得 SQL 注入只有两种类型：数字型与字符型。很多人可能会说还有如：Cookie 注入、POST 注入、延时注入等。

的确如此，但这些类型的注入归根结底也是数字型和字符型注入的不同展现形式或者注入的位置不同罢了。

以下是一些常见的注入叫法：

3.3、SQL注入的防范措施

凡是用户输入的地方，我们都应该防止黑客攻击，永远不要相信用户的输入。所以对应的防御措施分别有：

前后端分离之后，前端每天都会接触到很多接口。发送网络请求的时候，有些接口就会使用 get 方法。最常见的传参方式就是，直接在 url 地址后面加参数。

直接采用这种方式传输数据，如果数据被劫持或抓包工具偷走之后，就会直接被人盗取走，特别危险。若是采用接口加密，如下：

上边那个看不懂的一长串符号，正是经过加密的数据。

接口加密就是将接口请求调用中传递的参数进行加密，目的就是为了保证接口请求中传递参数和返回的结果的安全性，一般比较敏感数据，如身份证、电话号码、账号、密码等需要进行加密。

常见的加密方式：

加密方式较多，可以根据自己具体的需要和项目语言选择其中一种。

加密之后的数据更安全，那我们能不能将接口所有的数据都进行加密呢？加密是非常消耗资源的，如果有大批量的数据都进行加密时，返回数据需要的时间就更长，会直接影响用户体验。所以我们进行加密时，只需要对敏感的重要的信息进行加密。

好了我今天的文章就到此结束了，本篇文章没有介绍到的 web 安全，欢迎评论区交流！

《Web前端黑客技术揭秘》pdf下载在线阅读全文，求百度网盘云资源

《Web前端黑客技术揭秘》（钟晨鸣）电子书网盘下载免费在线阅读

链接：

提取码：WEXZ  

书名：Web前端黑客技术揭秘

豆瓣评分：7.6

作者: 钟晨鸣 / 徐少培

出版社: 电子工业出版社

出版年: 2013-1

页数: 361

内容简介：

Web前端的黑客攻防技术是一门非常新颖且有趣的黑客技术，主要包含Web前端安全的跨站脚本（XSS）、跨站请求伪造（CSRF）、界面操作劫持这三大类，涉及的知识点涵盖信任与信任关系、Cookie安全、Flash安全、DOM渲染、字符集、跨域、原生态攻击、高级钓鱼、蠕虫思想等，这些都是研究前端安全的人必备的知识点。本书作者深入剖析了许多经典的攻防技巧，并给出了许多独到的安全见解。

本书适合前端工程师阅读，同时也适合对Web前端各类安全问题或黑客攻防过程充满好奇的读者阅读，书中的内容可以让读者重新认识到Web的危险，并知道该如何去保护自己以免受黑客的攻击。

作者简介：

钟晨鸣，毕业于北京化工大学，网名：余弦。国内著名Web安全团队xeye成员，除了爱好Web Hacking外，还对宇宙学、人类学等保持着浓厚兴趣。2008年加入北京知道创宇信息技术有限公司，现任研究部总监，团队致力于Web安全与海量数据研究，并进行相关超酷平台的实现。如果大家想和我交流，可以私信我微博：weibo.com/evilcos，同时本书的最新动态也会发布在我的微博上。

徐少培，毕业于河北工业大学。网名：xisigr。国内著名Web安全团队xeye成员。2008年加入北京天融信公司，现任北京天融信资深安全专家，重点负责安全研究工作，主要研究领域包括：WEB安全、HTML5安全、浏览器安全、协议分析等。

Web前端新手应该知道的JavaScript开发技巧有哪些?

今天小编要跟大家分享的文章是关于Web前端新手应该知道的JavaScript开发技巧有哪些?熟悉Web前端的小伙伴都知道，Javascript

的很多扩展的特性是的它变得更加的犀利，同时也给予程序员机会创建更漂亮并且更让用户喜欢的网站。

尽管很多的开发人员都乐于颂扬javascript，但是仍旧有人看到它的阴暗面。

使用很多javascript代码的Web页面会加载很慢，过多的使用javascript使得网页丑陋和拖沓。很快如何有效地使用

javascript成为一个非常火热的话题。

今天小编就为Web前端新手准备了这篇JavaScript开发技巧，希望能够对你有所帮助，下面我们一起来看一看吧!

1、尽可能的保持代码简洁

可能大家都听到过了N遍这个代码简洁问题了。作为一个开发人员你可能在你的代码开发过程中使用了很多次，但千万不要在js开发中忘记这点。

§尽量在开发模式中添加注释和空格，这样保持代码的可读性

§在发布到产品环境前请将空格和注释都删除，并且尽量缩写变量和方法名

§使用第三方工具帮助你实现压缩javascript。

2、思考后再修改prototypes

添加新的属性到对象prototype中是导致脚本出错的常见原因。

yourObject.prototype.anotherFunction='Hello';

yourObject.prototype.anotherMethod=function(){...}

在上面代码中，所有的变量都会被影响，因为他们都继承于yourObject。这样的使用会导致意想不到的行为。所以建议在使用完后删除类似的修改。

yourObject.prototype.anotherFunction='Hello';

yourObject.prototype.anotherMethod=function(){};

test.anotherMethod();

deleteyourObject.prototype.anotherFunction='Hello';

deleteyourObject.prototype.anotherMethod=function(){};

3、DebugJavascript代码

即使最好的开发人员都会犯错。为了最大化的减少类似错误，请在你的debugger中运行你的代码，确认你没有遇到任何细微的错误。

4、避免Eval

你的JS在没有eval方法的时候也可以很好的工作。eval允许访问javascript编译器。如果一个字符串作为参数传递到

eval，那么它的结果可以被执行。

这会很大的降低代码的性能。尽量避免在产品环境中使用eval。

5、最小化DOM访问

DOM是最复杂的API，会使得代码执行过程变慢。有时候Web页面可能没有加载或者加载不完整。最好避免DOM。

6、在使用javascript类库之前先学习javascript

互联网充斥着很多的javascript类库，很多程序员都往往使用js类库而不理解负面影响。强烈建议你在使用第三方类库之前学习基本的JS

代码，否则，你就准备着倒霉吧。

7、不要用“SetTimeOut”和“Setinterval”方法来作为“Eval”的备选

setTimeOut("document.getID('value')",3000);

在以上代码中document.getID(‘value’)在setTimeOut方法中被作为字符串来处理。这类似于eval

方法，在每个代码执行中来执行一个字符串，因此会降低性能，因此，建议在这些方法中传递一个方法。

setTimeOut(yourFunction,3000);

8、[]比newArray();更好

一个常犯的错误在于使用当需要数组的时候使用一个对象或者该使用对象的时候使用一个数组。但是使用原则很简单：

“当属性名称是小的连续整数，你应该使用数组。否则，使用一个对象”_DouglasCrockford,JavaScript:Good

Parts的作者.

建议：

vara=['1A','2B'];

避免：

vara=newArray();

a[0]="1A";

a[1]="2B";

9、尽量不要多次使用var

在初始每一个变量的时候，程序员都习惯使用var关键字。相反，建议你使用逗号来避免多余的关键字，并且减少代码体积。如下：

varvariableOne='string1',

variableTwo='string2',

variableThree='string3';

10、不要忽略分号“;”

这往往是大家花费数个小时进行debug的原因之一。

我很确信你肯定也在其它的文章中阅读过以上相关的内容，但是大家可能往往都忽略了很多基本的规则。你是不是也曾经忽略过分号。是不是也遇到过eval

关键字问题导致性能问题?

以上就是小编今天为大家分享的关于Web前端新手应该知道的JavaScript

开发技巧有哪些?的文章，希望本篇文章能够对刚刚接触Web前端行业的新手们有所帮助。想要了解更多Web前端知识记得关注北大青鸟Web前端培训官网!

*声明：内容与图片均来源于网络(部分内容有修改)，版权归原作者所有，如来源信息有误或侵犯权益，请联系我们删除或授权事宜。