标签题目
浏览器安全相关面试题
CSRF 的原理、攻击形式和防御方式是什么？
CSRF 是跨站请求伪造，核心是攻击者诱导已登录用户的浏览器向目标站点发起请求，浏览器会自动携带目标站点的 Cookie，从而让服务端误以为请求来自用户本人。常见攻击包括隐藏表单提交、img 或链接触发 GET 请求、跨站 POST 和配合不安全 CORS 的接口调用；防御重点是 SameSite Cookie、CSRF Token、Origin/Referer 校验、避免 GET 改状态和敏感操作二次确认。
XSS 和 CSRF 的区别、原理和防御方式是什么？
XSS 和 CSRF 都属于 Web 安全问题，但攻击面不同。XSS 是让恶意脚本在可信页面里执行，CSRF 是诱导已登录浏览器向可信站点发起非预期请求。防御要分别围绕脚本执行边界和请求意图校验来设计。
保证Map线程安全？
Map 本身只是键值存储抽象，是否线程安全取决于具体实现和访问方式。普通 HashMap 在并发读写下不安全，可能出现数据丢失、结构破坏、读到不一致状态等问题。保证线程安全通常有几类方案：用外部锁保护所有访问、使用 Collections.synchronizedMap 包装、使用 ConcurrentHashMap、在读多写少场景使用不可变快照或 CopyOnWrite 思路。实际回答时要结合读写比例、是否需要复合操作原子性、是否需要强一致迭代、性能和内存成本来选型。
如何确保cookie不重复？
确保 cookie 不重复，不能只理解为 cookie 名字不要重复。浏览器实际以 name、Domain、Path 作为主要唯一键；同一组键再次 Set-Cookie 会覆盖旧值，但同名 cookie 如果 Domain 或 Path 不同，可以同时存在，并在请求时一起进入 Cookie 请求头。面试中应回答：统一 cookie 的 name、Domain、Path，更新时使用相同属性覆盖；清理历史重复项时按旧 Domain/Path 组合逐个过期；服务端用高熵随机值和存储层唯一约束保证 sessionId/token 唯一。
如何从后端角度控制cookie的域？
从后端角度控制 cookie 的域，核心是在 HTTP 响应头 Set-Cookie 中设置 Domain 属性。后端只能把 cookie 设置到当前请求主机本身，或其合法父域，不能随意设置到无关域名。是否能被后续请求携带，还受 Domain、Path、Secure、SameSite、浏览器公共后缀规则以及跨站请求策略共同影响。
ConcurrentHashMap 为什么能保证线程安全？
ConcurrentHashMap 的线程安全不是靠一个全局大锁实现的，而是把可见性、原子性和局部互斥组合起来：数组槽位和节点关键字段用 volatile 保证可见性，空桶插入、初始化和扩容状态切换用 CAS 保证原子更新，非空桶写入时只锁住单个桶的头节点，读操作基本无锁；再配合扩容协作、红黑树化和分散计数，既保证并发访问下结构不被破坏，又尽量降低锁竞争。
Java 实现线程安全的方式？
线程安全的核心不是某个关键字，而是多个线程访问共享可变状态时，程序仍能保持正确性。回答时应先界定共享、可变、并发访问这三个条件，再按避免共享、限制共享、控制访问、使用并发工具和改进设计几个层次展开。
怎么保证map的线程安全？
保证 Map 线程安全的核心是先明确并发语义：是只要单次 get/put 安全，还是复合操作也要原子；是允许弱一致迭代，还是必须看到稳定快照；是读多写少、写多读少，还是配置类读多且整体替换。常见方案包括外部加锁、Collections.synchronizedMap、ConcurrentHashMap、不可变 Map、读写锁和快照/COW。面试中不能只说“用 ConcurrentHashMap”，还要说明它解决了什么、不解决什么，以及复合操作、迭代一致性、内存可见性和选型边界。
什么是线程安全？
线程安全指一段代码、对象或组件在多个线程同时访问时，仍然能够保持预期的正确性，不因为执行时序交错而产生脏数据、丢失更新、状态破坏或偶发异常。判断线程安全不能只看单次调用是否正确，而要看共享可变状态在并发读写下是否满足原子性、可见性和有序性，并通过不可变、线程封闭、同步、原子类或并发容器等手段建立可靠的并发语义。
如何在实际中判断是否会出现线程安全问题？
判断实际项目中是否会出现线程安全问题，核心不是先看有没有多线程，而是追踪共享可变状态是否被多个执行路径并发访问，以及访问是否包含读改写、检查后执行、跨字段一致性、对象发布等风险。实战判断要结合代码审查、并发入口梳理、锁边界分析、压测和线上偶发症状，而不是依赖一次本地复现。
单例模式如何实现，如何保证线程安全？
单例模式的核心目标是让一个类在进程内只暴露一个可访问实例，并控制实例创建时机。回答时应从构造器私有化、全局访问点、线程安全发布、延迟加载、反射和序列化破坏边界几个维度展开。常见实现包括饿汉式、同步懒汉式、双重检查锁、静态内部类和枚举单例，其中推荐优先说明静态内部类和枚举单例，再解释为什么双重检查锁必须配合 volatile。
Token的安全怎么保护？
Token 安全的核心不是只把 Token 加密，而是从传输、存储、签发、使用、续期、撤销、审计全链路降低泄露、伪造、重放和越权风险。回答应先说明 HTTPS 是底线，再比较 Cookie 与本地存储风险，重点展开 HttpOnly、Secure、SameSite、短有效期、Refresh Token 轮换、权限范围、服务端撤销、重放防护和日志脱敏。
跨域请求需要携带 Cookie 时，前端该怎么设置？
前端请求不一定必须携带 Cookie。是否携带取决于业务是否依赖 Cookie 做登录态、会话、灰度、风控等状态识别，以及浏览器、前端请求配置、Cookie 属性和服务端 CORS 配置是否同时满足条件。跨域场景下，前端单独设置不够，必须前后端配合：前端开启 credentials，服务端允许带凭证，并返回精确的 Access-Control-Allow-Origin 和 Access-Control-Allow-Credentials。