常见的8个前端防御性编程方案

Posted Peter谭老师

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了常见的8个前端防御性编程方案相关的知识,希望对你有一定的参考价值。

关于前端防御性编程

  • 我们大多数情况可能遇到过,后端的由于同时请求人数过多,或者数据量过大,又或者是因为异常导致服务异常,接口请求失败,然后前端出现白屏或者报错
  • 还有一种情况,是前端自身写的代码存在一些缺陷,整个系统不够健壮,从而会出现白屏,或者业务系统异常,用户误操作等
  • 那么,就出现了前端防御性编程

常见的问题和防范

1.最常见的问题:
uncaught TypeError: Cannot read property \'c\' of undefined

出现这个问题最根本原因是:

当我们初始化一个对象obj为{}时候,obj.a这个时候是undefined.我们打印obj.a可以得到undefined,但是我们打印obj.a.c的时候,就会出现上面的错误。js对象中的未初始化属性值是undefined,从undefined读取属性就会导致这个错误(同理,null也一样)

如何避免?

js和ts目前都出现了一个可选链概念,例如:

const obj = {};
console.log(obj?.b?.c?.d)
上面的代码并不会报错,原因是?.遇到是空值的时候便会返回undefined.
2.前端接口层面的错误机制捕获

前端的接口调用,一般都比较频繁,我们这时候可以考虑使用单例模式,将所有的axios请求都用一个函数封装一层。统一可以在这个函数中catch捕获接口调用时候的未知错误,伪代码如下:

function ajax(url,data,method=\'get\'){
  const promise = axios[method](url,data)
  return  promise.then(res=>{
  }).catch(error){
  //统一处理错误
}
}

那么只要发生接口调用的未知错误都会在这里被处理了

3.错误边界(Error Boundaries,前端出现未知错误时,展示预先设定的UI界面)

以React为例

部分 UI 的 javascript 错误不应该导致整个应用崩溃,为了解决这个问题,React 16 引入了一个新的概念 —— 错误边界。

错误边界是一种 React 组件,这种组件可以捕获并打印发生在其子组件树任何位置的 JavaScript 错误,并且,它会渲染出备用 UI,而不是渲染那些崩溃了的子组件树。错误边界在渲染期间、生命周期方法和整个组件树的构造函数中捕获错误。

使用示例:

class ErrorBoundary extends React.Component {
  constructor(props) {
    super(props);
    this.state = { hasError: false };
  }

  static getDerivedStateFromError(error) {
    // 更新 state 使下一次渲染能够显示降级后的 UI
    return { hasError: true };
  }

  componentDidCatch(error, errorInfo) {
    // 你同样可以将错误日志上报给服务器
    logErrorToMyService(error, errorInfo);
  }

  render() {
    if (this.state.hasError) {
      // 你可以自定义降级后的 UI 并渲染
      return <h1>Something went wrong.</h1>;
    }

    return this.props.children; 
  }
}
注意
  • 错误边界无法捕获以下场景中产生的错误:

    • 事件处理(了解更多)
    • 异步代码(例如 setTimeout 或 requestAnimationFrame 回调函数)
    • 服务端渲染
    • 它自身抛出来的错误(并非它的子组件)
4.前端复杂异步场景导致的错误
  • 这个问题可能远不止这么简单,但是大道至简,遵循单向数据流的方式去改变数据,例如:

    //test.js
    export const obj = {
      a:1,
      b:2
    }
    
    //使用obj
    import {obj} from \'./test.js\';
    obj.a=3;

当你频繁使用这个obj对象时,你无法根据代码去知道它的改变顺序(即在某个时刻它的值是什么),而且这里面可能存在不少异步的代码,当我们换一种方式,就能知道它的改变顺序了,也更方便我们debug

例如:

//test.js
export const obj = {
  a:1,
  b:2
}
export function setObj (key,value)  {
  console.log(key,value)
  obj[key] = value
}
这样,我们就做到了
5.前端专注“前端”
  • 对于一些敏感数据,例如登录态,鉴权相关的。前端应该是尽量做无感知的转发、携带(这样也不会出现安全问题)
6.页面做到可降级
  • 对于一些刚上新的业务,或者有存在风险的业务模块,或者会调取不受信任的接口,例如第三方的接口,这个时候就要做一层降级处理,例如接口调用失败后,剔除对应模块的展示,让用户无感知的使用
7.巧用loading和disabled
  • 用户操作后,要及时loading和disabled确保不让用户进行重复,防止业务侧出现bug
8.慎用innerhtml
  • 容易出现安全漏洞,例如接口返回了一段JavaScript脚本,那么就会立即执行。此时脚本如果是恶意的,那么就会出现不可预知的后果,特别是电商行业,尤其要注意

❤️ 看完三件事

  • 如果你觉得这篇内容对你挺有启发,我想邀请你帮我三个小忙:
  • 点个「赞」,让更多的人也能看到这篇内容(喜欢不点在看,都是耍流氓 -_-)
  • 关注我,让我们成为长期关系
  • 关注公众号「前端巅峰」,持续为你推送精选好文,也可以加我为好友,随时聊骚。

以上是关于常见的8个前端防御性编程方案的主要内容,如果未能解决你的问题,请参考以下文章

3大Web安全漏洞防御详解:XSS、CSRF、以及SQL注入解决方案

20 个防御性的 CSS 实践

XSS 攻击实验 & 防御方案

译文:18个实用的JavaScript代码片段,助你快速处理日常编程任务

前端 | XSS 的攻击方式及其防御

程序员常用的3大Web安全漏洞防御解决方案:XSSCSRF及SQL注入(图文详解)