一些遗漏的JS知识点

<script type="text/javascript">
    // 得到航班信息查询结果后的回调函数
    var flightHandler = function(data){
        alert('你查询的航班结果是：票价 ' + data.price + ' 元，' + '余票 ' + data.tickets + ' 张。');
    };
    // 提供jsonp服务的url地址（不管是什么类型的地址，最终生成的返回值都是一段javascript代码）
    var url = "http://flightQuery.com/jsonp/flightResult.aspx?code=CA1998&callback=flightHandler";
    // 创建script标签，设置其属性
    var script = document.createElement('script');
    script.setAttribute('src', url);
    // 把script标签加入head，此时调用开始
    document.getElementsByTagName('head')[0].appendChild(script); 
    </script>

 jQuery(document).ready(function(){ 
        $.ajax({
             type: "get",
             async: false,
             url: "http://flightQuery.com/jsonp/flightResult.aspx?code=CA1998",
             dataType: "jsonp",
             jsonp: "callback",//传递给请求处理程序或页面的，用以获得jsonp回调函数名的参数名(一般默认为:callback)
             jsonpCallback:"flightHandler",//自定义的jsonp回调函数名称，默认为jQuery自动生成的随机函数名，也可以写"?"，jQuery会自动为你处理数据
             success: function(json){
                 alert('您查询到航班信息：票价： ' + json.price + ' 元，余票： ' + json.tickets + ' 张。');
             },
             error: function(){
                 alert('fail');
             }
         });
     })

//指定服务器端允许进行跨域资源访问的来源域。
//可以用通配符*表示允许任何域的JavaScript访问资源，
//但是在响应一个携带身份信息(Credential)的HTTP请求时，必需指定具体的域，不能用通配符
    ctx.set("Access-Control-Allow-Origin", "http://127.0.0.1:8080");
 
    //指定服务器允许进行跨域资源访问的请求方法列表，一般用在响应预检请求上
    ctx.set("Access-Control-Allow-Methods", "OPTIONS,POST,GET,HEAD,DELETE,PUT");
    
    //必需。指定服务器允许进行跨域资源访问的请求头列表，一般用在响应预检请求上
    ctx.set("Access-Control-Allow-Headers", "x-requested-with, accept, origin, content-type");
    
    //告诉客户端返回数据的MIME的类型，这只是一个标识信息,并不是真正的数据文件的一部分
    ctx.set("Content-Type", "application/json;charset=utf-8");
    
    //可选，单位为秒，指定浏览器在本次预检请求的有效期内，无需再发送预检请求进行协商，
//直接用本次协商结果即可。
//当请求方法是PUT或DELETE等特殊方法或者Content-Type字段的类型是application/json时，
//服务器会提前发送一次请求进行验证
    ctx.set("Access-Control-Max-Age", 300);
 
    //可选。它的值是一个布尔值，
//表示是否允许客户端跨域请求时携带身份信息(Cookie或者HTTP认证信息)。
//默认情况下，Cookie不包括在CORS请求之中。
//当设置成允许请求携带cookie时，需要保证"Access-Control-Allow-Origin"是服务器有的域名，
//而不能是"*";如果没有设置这个值，浏览器会忽略此次响应。
    ctx.set("Access-Control-Allow-Credentials", true);
 
    //可选。跨域请求时，
//客户端xhr对象的getResponseHeader()方法只能拿到6个基本字段，
//Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Pragma。
//要获取其他字段时，使用Access-Control-Expose-Headers，xhr.getResponseHeader('myData')
//可以返回我们所需的值
    ctx.set("Access-Control-Expose-Headers", "myData");
 

16.XMLHttpRequest和fetch

fetch('./api/some.json')
    .then(function(res) {
        if (res.status !== 200) {
            console.log('Looks like there was a problem. Status Code: ' + res.status);
            return;
        }

        // 处理响应中的文本信息 
        res.json().then(function(data) {
            console.log(data);
        });
    })
    .catch(function(err) {
        console.log('Fetch Error : %S', err);
    })

17.localStorage sessionStorage

function lazyload() { //监听页面滚动事件
      var seeHeight = window.innerHeight; //可见区域高度
      var scrollTop =document.documentElement.scrollTop||document.body.scrollTop; 
          //滚动条距离顶部高度
      for (var i = n; i < img.length; i++) {
        console.log(img[i].offsetTop, seeHeight, scrollTop);
        if (img[i].offsetTop < seeHeight + scrollTop) {
          if (img[i].getAttribute("src") == "loading.gif") {
            img[i].src = img[i].getAttribute("data-src");
          }
          n = i + 1;
        }
      }
    }

// 节流
function throttle(fn, delay = 100) {
    let timer = null //同理，也是闭包
 
    return function () {
        if (timer) {
            return
        }
        timer = setTimeout(() => {
            fn.apply(this, arguments) //进行绑定
            timer = null
        }, delay)
    }
}
 
div1.addEventListener('drag', throttle(function (e) {
    console.log(e.offsetX, e.offsetY)
}，200))

21.XSS攻击

• 受害者登录http://a.com，并保留了登录凭证（Cookie）。
• 攻击者引诱受害者访问了http://b.com。
• http://b.com 向 http://a.com 发送了一个请求：http://a.com/act=xx。浏览器会默认携带http://a.com的Cookie。
• http://a.com接收到请求后，对请求进行验证，并确认是受害者的凭证，误以为是受害者自己发送的请求。
• http://a.com以受害者的名义执行了act=xx。
• 攻击完成，攻击者在受害者不知情的情况下，冒充受害者，让http://a.com执行了自己定义的操作。

• CSRF（通常）发生在第三方域名。
• CSRF攻击者不能获取到Cookie等信息，只是使用。

• 阻止不明外域的访问
  • 同源检测
  • Samesite Cookie
• 提交时要求附加本域才能获取的信息
  • CSRF Token
  • 双重Cookie验证

23.查找、添加、删除、移动DOM节点

 String.prototype.trim = function(){
       return this.replace(/^\s+/,'').replace(/\s+$/,'')
}

25.如何捕获JS中的异常

26.获取url参数