阅读egg文档中遇到的问题

分层

框架推荐 Controller 层主要对用户的请求参数进行处理（校验、转换），然后调用对应的 service 方法处理业务，得到业务结果后封装并返回。

数据的读取是放在哪里？model还是service，分层的理由是什么？model层是？

统一 tracer 日志是什么？

session和cookie的区别

Cookie 在 Web 应用中经常承担标识请求方身份的功能，所以 Web 应用在 Cookie 的基础上封装了 Session 的概念，专门用做用户身份识别。

每次请求都会校验请求携带的cookie，校验用户吗？

是的，统一在切面中做。

有哪些信息会存储到redis里，现在用户session有哪些数据，都是存在内存中吗？

session_id

单元测试是否包含网络异常情况分支测试？

是的，mock，但是大部分公司不做。

为什么默认关闭dns缓存？

句柄是什么意思

如何实现多核共同监听同一个端口，并且实现负载均衡。cluster源码解析

多核负载均衡时，数据是否共享？

如何部署？

打成tar包，在服务器机子上解压，启动服务。

curl的翻译是卷发，为什么是发起请求的意思

为什么Service 是懒加载的？

Service 不是单例，是请求级别的对象，框架在每次请求中首次访问 ctx.service.xx 时延迟实例化，所以 Service 中可以通过 this.ctx 获取到当前请求的上下文。

是如何解决日志过多导致io问题的？

将日志同步存在内存中，每隔1秒存到硬盘中。

注意点

一个常见的错误是把 ctx.request.body 和 ctx.body 混淆，后者其实是 ctx.response.body 的简写。

jsonp安全攻防技术

jsonp安全攻防技术
为什么要对jsonp的函数名也进行过滤。

什么是csp

网页安全政策(Content Security Policy)，CSP 的实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单。它的实现和执行全部由浏览器完成，开发者只需提供配置。
知乎讨论

什么是csrf

跨站请求伪造

reffer

privoxy修改Referer

Cross-Site Tracing

客户端发 TRACE 请求至服务器，如果服务器按照标准实现了 TRACE 响应，则在 response body 里会返回此次请求的完整头信息。通过这种方式，客户端可以获取某些敏感的头字段，例如 httpOnly 的 Cookie。

公司业务会校验reffer吗？reffer为空时，如何处理的？

什么情况下前端会传url，让服务端做302重定向？

java中错误处理是怎样的？

分为try catch和spring全局捕获

nginx是如何拿到客户端ip的？

x-forward-for，不一定准.

大部分应用是否禁止直接访问，都是通过nginx转发。

是的。

mvc在后台是如何区分的？

m：DAO层，操作数据库
v：无，前后端分离
c：controller，操作业务逻辑