如果偷取cookie失败，无法session劫持，攻击者如何再发起攻击？劫持session的目的是拿到登录态，从而获得服务器授权做很多请求，例如账户变更。如果劫持不到session，也能够做授权请求不是也达到攻击的目的了？无需拿到session cookie，跨站发起请求就可以了，这就是CSRF！server通过把用户凭证存储在cookie以维持session，http/https协议每次访问都会自动传输cookie，协议上的缺陷是导致可进行CSRF攻击的根本原因！防御方式：使用anti-forgery token。
本文解释JavaScript中的this，希望有助你理解this的工作机制。作为JavaScript程序员，学习this对于你的发展有很大帮助，可以说利大于弊。
insertAdjacentHTML和 insertAdjacentText这两个方法很灵活，可以在指定的地方插入html内容和文本内容，在大部分情况下比element.innerHTML的性能更好，比Document Fragments更好的HTML文档插入方案，因为我们知道Document Fragments在某些IE版本中的表现不好。
在项目的交互或视觉评审中，前端同学常常会对一些交互效果质疑，提出这样做不好那样做不好。主要原因是这些效果通常会产生一系列的浏览器重绘和重排，需要 付出高昂的性能代价。那么，什么是浏览器的重绘和重排呢？二者何时发生以及如何权衡？如何在具体的开发过程中将重绘和重排引发的性能问题考虑进去？本文期 待可以部分解释以上三个问题。
在讨论页面重绘、回流之前。需要对页面的呈现流程有些了解，页面是怎么把html结合css等显示到浏览器上的，下面的流程图显示了浏览器对页面的呈现的处理流程。可能不同的浏览器略微会有些不同。但基本上都是类似的。
cookie操作在前端开发过程中经常遇到，当然如果只是用来存储一些简单用户数据，还是比较简单的，我们要做的可能只是设置cookie名，值，过期时间等，读取也只要根据cookie的名读取相应的cookie值就可以了。在复杂的应用中，光这些肯定就不够了。
360安全浏览器6.5版本开始在
中添加一行代码，分别代表用极速模式，兼容模式，IE模式打开。由于 JavaScript “弱语言”的性质，使得其在使用过程中异常的宽松灵活，但也极为容易“掉进陷阱”。这些陷进往往隐藏的很深，所以要多加小心。
随着互联网的发展，相比其他职位，前端开发是最容易被边缘化的一个工种，终其所有，前端也只是一个服务于浏览器端信息呈现的工种。而随着科技的发展，未来信息呈现的媒介会愈发丰富，目前浏览器的垄断地位将不复存在，前端也会随之没落。君子不器，当有远虑。
上周写了window resize和scroll事件的基本优化，结果微博上交流的人还挺多，大家都提到了一个技术名词：“throttle”。这里说的throttle就是函数节流的意思。再说的通俗一点就是函数调用的频度控制器，是连续执行时间间隔控制。
HTML 5增加了一项新功能是自定义数据属性，也就是 data-*自定义属性。在HTML5中我们可以使用以data-为前缀来设置我们需要的自定义属性，来进行一些数据的存放。当然高级浏览器下可通过脚本进行定义和数据存取。在项目实践中非常有用。
如果你使用jQuery类库，那么你可以非常愉悦的使用jquery的data()方法存取data-*自定义属性，方法允许我们在DOM元素上绑定任意类型的数据,避免了循环引用的内存泄漏风险。
有IE就有hack，看看IE9的css hack，IE8的css hack；上次同事说一个页面IE10下有问题，IE9下测试了一下，也有同样的问题。悲剧了赶紧找IE10的hack。
一个想当老的话题，一般不是用户主动触发的弹窗和新窗口打开页面，现代浏览器就会将他们拦截。 但是在我们产品设计和开发的时候总是会碰到这些状况，比如和第三方网站合作的时候，需要新窗口打开页面，传递一些相关的数据，用户数据还要在这里验证，用户在第三方网站任务完成后，还要在我们的产品上继续用户的任务流程，所有似乎弹窗和新窗口打开第三方网站似乎是一个很好的选择，但是在我们产品，用户流程和程序设计不合理的时候，弹窗被拦截了。
javascript中，变量和对象属性关系非常微妙，甚至可以很多时候会被等同起来，因为 javascript 在执行脚本之前会创建一个Global对象，在浏览器中就是window对象，所有的全局变量都是这个Global对象的属性，执行函数时也会创建一个Activation对象，所有的局部变量都是这个Activation对象的属性。这些可以大家可以去了解一下javascript作用域和闭包。
我有一个前端笔试题：使用JavaScript深度克隆一个对象。可是我发现大多数人都是空白，问他为什么不做，大部分说不懂这题目的意思。 科普一下： js一般有两种不同数据类型的值： 基本类型（包括undefined,Null,boolean,String,Number），按值传递； 引用类型（包括数组，对象），按址传递，引用类型在值传递的时候是内存中的地址。
jQuery 1.9删除或修改了几个过去行为不一致或效率低下的几个API。他们在以前的jQuery版本中已经标注过过时(deprecated)的API，特别是1.7和1.8。 在做这些变化中，团队的目标是修复jQuery的行为不一致或比较难使用的地方，在这个过程中提高整体性能，减小了文件的体积。 此列表是看似给你一些不祥的预感。因为jQuery 1.9删除和修改一些以前做特殊需求的API，比如jQuery.browser。如何升级？首先，看看你的代码，最好的方法是尝试用jQuery 1.9和Migrate（迁移）插件（如下文所述）。 本指南作为标准的jQuery API文档的附录，作为快速上手jQuery 1.9的引导。
科普了，再群里有人讨论nodeName、nodeValue 及 nodeType，归纳总结了一下。
Chromium 采用 Chrome:// 协议开头的形式, 规定了一系列的内部协议, 有的用来显示数据, 有的用来实现一些功能, 但对普通用户进行了屏蔽。在Chrome浏览器地址栏直接访问就好了!
网上发现一个很有意思的jQuery旋转插件，支持Internet Explorer 6.0+ 、Firefox 2.0 、Safari 3 、Opera 9 、Google Chrome，高级浏览器下使用Transform，低版本ie使用VML实现。
