首页/ 学科题库/ javascript/ JS安全与边界处理专题测试
javascript 模拟试卷

JS安全与边界处理专题测试

20 题 60 分钟 难度：★★★
知识模块题数核心考点
跨站请求伪造(CSRF)防御4题CSRF攻击原理、Token验证、SameSite属性、防护策略
跨站脚本攻击(XSS)防御4题XSS类型识别、防御机制、CSP策略、DOM安全
输入验证与净化4题输入过滤、白名单验证、边界检查、净化函数
输出编码与转义4题HTML编码、URL编码、JavaScript编码、上下文转义
安全编码实践4题安全API使用、敏感数据处理、最佳实践、防御性编程

试卷习题（20 题）

参考答案在文末
判断题
1
判断题

设置Cookie的HttpOnly属性可以完全防止XSS攻击。

A

对

B

错

2
判断题

使用JSON.stringify()可以将用户输入安全地嵌入到JavaScript字符串中。

A

对

B

错

3
判断题

CSRF攻击不需要获取用户的Cookie内容，只需要浏览器自动携带Cookie即可完成攻击。

A

对

B

错

4
判断题

前端输入验证足够安全，不需要后端再次验证。

A

对

B

错

单选题
5
单选题

设置Cookie的SameSite属性为Strict时，Cookie的行为是什么？

A

允许所有跨站请求携带Cookie

B

只允许同站请求携带Cookie，完全禁止跨站请求

C

允许安全的跨站GET请求携带Cookie，禁止跨站POST

D

允许跨站请求携带Cookie，但需要用户显式确认

多选题
6
多选题

以下哪些输入验证场景需要特别关注安全问题？

A

用户注册时的邮箱和手机号验证

B

文件上传时验证文件类型和大小

C

URL跳转时验证目标地址是否为合法域名

D

搜索功能时验证搜索关键词长度

E

表单提交时验证必填字段是否为空

F

JSON解析时直接使用eval处理用户输入

7
多选题

以下哪些是有效的XSS防御措施？

A

对用户输入进行HTML实体编码后输出

B

使用textContent代替innerHTML设置文本内容

C

设置Cookie的HttpOnly属性防止JS读取敏感Cookie

D

使用Content-Security-Policy(CSP)限制脚本来源

E

对URL参数进行JavaScript编码后使用

F

使用eval执行用户输入的表达式

8
多选题

以下哪些编码实践可能导致安全漏洞？

A

将用户密码硬编码在前端JavaScript代码中

B

使用document.cookie直接读取敏感Cookie

C

在URL中传递敏感参数（如token、密码）

D

使用HTTPS传输数据

E

在前端代码中验证用户权限然后跳过后端验证

F

将API密钥暴露在前端代码或localStorage中

9
多选题

关于XSS攻击的类型，以下哪些说法是正确的？

A

反射型XSS：攻击代码通过URL参数传递，服务器将其反射回页面

B

存储型XSS：攻击代码存储在服务器数据库中，每次访问都会执行

C

DOM型XSS：攻击代码完全在客户端执行，不经过服务器

D

存储型XSS危害最大，影响所有访问该页面的用户

E

反射型XSS需要诱导用户点击恶意链接才能触发

F

DOM型XSS可以通过服务器端输入验证完全防御

10
多选题

关于用户输入验证，以下哪些做法是正确的？

A

在前端和后端都进行输入验证

B

使用白名单验证而非黑名单过滤

C

验证数据类型、长度、格式和范围

D

对验证失败的数据尝试修复后使用

E

使用正则表达式严格验证邮箱、URL等格式

F

对所有输入统一使用相同的验证规则

11
多选题

关于跨站请求伪造(CSRF)攻击的防御措施，以下哪些是有效的防御策略？

A

使用CSRF Token验证，每次请求携带服务器生成的随机Token

B

验证HTTP请求头的Referer或Origin字段

C

对关键操作使用POST请求替代GET请求

D

设置Cookie的SameSite属性为Strict或Lax

E

在前端使用JavaScript验证用户身份

F

对敏感操作要求二次验证（如输入密码或验证码）

12
多选题

以下哪些是JavaScript安全编码的最佳实践？

A

避免使用eval、Function构造函数执行动态代码

B

使用const和let替代var，减少变量提升带来的意外作用域问题

C

对敏感操作添加日志记录和审计

D

使用严格模式（"use strict"）捕获更多潜在错误

E

在生产环境中暴露详细的错误信息给用户

F

对API接口进行速率限制防止滥用

13
多选题

以下哪些前端编码实践可以有效防御XSS攻击？

A

使用encodeURIComponent编码URL参数

B

使用DOM API的setAttribute设置属性，而非拼接HTML字符串

C

对用户输入使用正则表达式过滤HTML标签

D

使用框架提供的安全绑定机制（如Vue的v-text、React的{}）

E

禁止使用innerHTML、document.write等危险API

F

将用户输入直接插入script标签执行

14
多选题

用户输入在不同输出上下文中需要使用不同的编码方式，以下哪些匹配是正确的？

A

HTML内容上下文：使用HTML实体编码（<、>等）

B

HTML属性上下文：使用HTML属性编码，确保属性值被正确引号包裹

C

JavaScript上下文：使用JavaScript编码（转义引号、反斜杠等）

D

URL上下文：使用encodeURIComponent编码参数值

E

CSS上下文：使用CSS编码（转义特殊字符）

F

所有上下文统一使用HTML实体编码即可

15
多选题

以下哪些输出编码方式是正确的？

A

在HTML内容中使用 < 显示用户输入的小于号符号

B

在JavaScript中使用 \x3c 编码 < 字符

C

在URL参数中使用 %3C 编码 < 字符

D

在HTML属性中使用 &lt; 编码 < 字符，并用引号包裹属性值

E

直接将用户输入拼接到内联事件处理属性中

F

在CSS属性值中使用 \3c 编码 < 字符

16
多选题

以下哪些场景容易受到CSRF攻击？

A

用户登录银行网站后，访问恶意网站发起转账请求

B

网站使用GET请求执行状态变更操作（如删除数据）

C

网站未设置Cookie的SameSite属性

D

网站使用HTTPS传输数据

E

用户点击恶意邮件中的链接修改账户密码

F

网站对所有请求进行CSRF Token验证

填空题
17
填空题

输出编码应该在进行，而不是在进行。因为不同的输出上下文需要不同的编码方式，过早编码可能导致数据在不同上下文中显示异常或安全失效。

18
填空题

输入净化（Sanitization）是指在验证通过后，进一步移除或转换输入中的和，使其安全地用于后续处理。常见的净化方式包括HTML实体编码、移除HTML标签、限制字符集等。

19
填空题

防御XSS攻击时，常用的HTML实体编码是将 < 编码为，将 > 编码为，将 " 编码为，将 ' 编码为'。

20
填空题

安全编码遵循最小权限原则，即代码和用户只应拥有完成任务所需的，不授予不必要的权限。例如，前端JavaScript不应能读取设置了属性的敏感Cookie，用户账户不应有管理员权限除非确实需要。

参考答案
1.错误 2.正确 3.正确 4.错误 5.B 6.A;B;C;D;E 7.A;B;C;D;E 8.A;B;C;E;F 9.A;B;C;D;E 10.A;B;C;E 11.A;B;D;F 12.A;B;C;D;F 13.A;B;D;E 14.A;B;C;D;E 15.B;C;D;F 16.A;B;C;E 17.输出时;输入时 18.危险字符;恶意内容 19.&lt;;&gt;;&quot; 20.最小权限;HttpOnly
想在手机上在线作答这套卷子？
使用微信 卷王开发者小程序/App，首页顶部扫一扫识别二维码，即可限时作答并自动判分。
了解产品 App
← 上一套 JS基础语法与变量专题测试 下一套 → JS对象与数组专题测试