frontend-interview-playbook

Appearance

认证与存储：Cookie、Token、SessionStorage、LocalStorage 的安全边界 ​

问题背景 ​

认证方案设计不能只问“Token 存哪里”，还要看凭证如何发送、如何失效和如何被滥用。

  • 认证方案设计不能只问“Token 存哪里”，还要看凭证如何发送、如何失效和如何被滥用
  • 前端常见会话载体包括 Cookie、内存态、sessionStorage、localStorage 和某些原生容器提供的安全存储
  • 讨论安全边界时要区分可读性、自动附带行为、过期控制和跨标签页共享
  • “Token 存 localStorage 更安全”或“Cookie 一定不安全”都是过度简化
  • Cookie 可设置 HttpOnly、Secure、SameSite 并由浏览器在符合域、路径和同站策略时自动附带

指标、症状与判断信号 ​

  • 认证方案设计不能只问“Token 存哪里”，还要看凭证如何发送、如何失效和如何被滥用
  • 前端常见会话载体包括 Cookie、内存态、sessionStorage、localStorage 和某些原生容器提供的安全存储
  • 讨论安全边界时要区分可读性、自动附带行为、过期控制和跨标签页共享
  • “Token 存 localStorage 更安全”或“Cookie 一定不安全”都是过度简化
  • Cookie 可设置 HttpOnly、Secure、SameSite 并由浏览器在符合域、路径和同站策略时自动附带

常见方案空间 ​

  • 认证方案设计不能只问“Token 存哪里”，还要看凭证如何发送、如何失效和如何被滥用
  • 真正拉开差距的部分通常在 稳定性治理、发布和回滚机制，因为这里最能体现规模、约束和经验判断
  • Cookie 方案易受 CSRF 影响但可通过 HttpOnly 避免被 JS 直接读取；本地存储方案不自动携带，但一旦发生 XSS，凭证暴露面更直接
  • 认证方案要和后端会话模型、跨域架构、移动端支持和登出失效策略一起设计
  • 有过线上问题或性能治理经历时，补充你如何定位 凭证存储、CSP 和运行时隔离、如何验证假设，以及如何收敛风险
  • 偏设计题需要补充未选方案的放弃原因，以及 稳定性治理、发布和回滚机制 最终如何影响方案落地

取舍、闭环与治理代价 ​

  • 讨论安全边界时要区分可读性、自动附带行为、过期控制和跨标签页共享
  • 当你在项目里讨论“认证与存储：Cookie、Token、SessionStorage、LocalStorage 的安全边界”时，通常不是只回答一个定义，而是要把 XSS、CSRF 和输入信任边界 讲清楚
  • 认证与存储：Cookie、Token、SessionStorage、LocalStorage 的安全边界 与“XSS 与 CSRF：脚本注入和跨站请求伪造的边界”的关系和边界
  • 认证与存储：Cookie、Token、SessionStorage、LocalStorage 的安全边界 与“认证、会话与凭证：Cookie Session、JWT 与刷新链路”的关系和边界
  • 把 XSS、CSRF 和输入信任边界 代入这个问题时，哪些前提必须先讲清楚

落地路径与协作方式 ​

  • 治理题最好按“发现问题 -> 定位归因 -> 实施动作 -> 验证结果 -> 持续追踪”的顺序去讲
  • 跨团队协作时要补充责任边界、数据口径和回归标准
  • 越偏线上治理，越要说明发布、回滚、灰度、告警和版本信息如何联动

问答设计及延伸 ​

标准回答 ​

回答 认证与存储：Cookie、Token、SessionStorage、LocalStorage 的安全边界 时，先定义要治理的症状，再给出方案空间和取舍依据，最后交代闭环如何落地以及结果如何验证。

追问拆解 ​

  • 认证与存储：Cookie、Token、SessionStorage、LocalStorage 的安全边界 与“XSS 与 CSRF：脚本注入和跨站请求伪造的边界”分别落在治理闭环的哪一步
  • 认证与存储：Cookie、Token、SessionStorage、LocalStorage 的安全边界 与“认证、会话与凭证：Cookie Session、JWT 与刷新链路”分别落在治理闭环的哪一步
  • 预算和人力受限时的保序优先级
  • 数据与用户感知冲突时的判定口径

容易失分的点 ​

  • 只报工具名，不讲问题背景和指标口径
  • 只讲发现问题，不讲如何验证和收敛
  • 把治理说成一次性动作，而不是持续机制

相关主题 ​