4. Web安全基础面试题：HTTP协议、Cookie/Session、同源策略、CSRF、XSS基础
本章覆盖 Web 安全面试 5 大核心知识点：HTTP 协议、Cookie/Session、同源策略、CSRF、XSS。面试频率 ★★★★★，是渗透测试岗位的必考基石。理解这些概念的关联与区别，并能清晰回答攻击原理与防御方案，是进入大厂的入场券。
学习提示：面试官常从「原理→攻击→防御」三个层次递进追问，本章内容按照此逻辑组织，建议搭配框架图反复演练。
核心知识点对比表
| 知识点 | 核心概念 | 安全作用 | 典型风险 | 防御要点 |
|---|---|---|---|---|
| HTTP 协议 | 无状态、请求-响应 | 通信基础 | 会话劫持 | HTTPS 加密 |
| Cookie/Session | 客户端/服务端状态 | 身份标识 | 会话固定 | HttpOnly + Secure 标志 |
| 同源策略 | 协议+域名+端口 | 隔离保障 | CSRF 绕过 | CORS 规范配置 |
| CSRF | 跨站请求伪造 | 利用信任关系 | 修改密码/转账 | + SameSite |
| XSS | 跨站脚本注入 | 数据窃取 | 窃取 Cookie | 过滤转义 + CSP |
Web 安全基础面试回答框架
📌 面试问答 1：HTTP 无状态与 Cookie/Session 机制
面试问题：请解释 HTTP 协议的无状态特性，以及 Cookie 和 Session 是如何解决这个问题的？
🎯 面试官考察点：
- 是否理解 HTTP 无状态的本质含义
- 能否清晰区分 Cookie 与 Session 的角色
- 是否知道 SessionID 的传递机制
📐 回答框架：概念定义 → 问题引出 → Cookie 职责 → Session 职责 → 协作流程
💬 简短示例回答：HTTP 无状态指每个请求独立，服务器无法识别用户。Cookie 在客户端存储标识，Session 在服务端保存用户数据。首次请求时服务器创建 Session 并返回 SessionID 写入 Cookie，后续请求携带 Cookie，服务器据此查找 Session，实现状态保持。
🔍 可能追问：
- SessionID 如果被截获会有什么风险？如何防护？
- 分布式系统中 Session 如何共享？
- Cookie 的 HttpOnly 和 Secure 标志分别有什么作用？
⚠️ 避坑提醒：不要混淆 Cookie 和 Session 的存储位置。Cookie 存储在客户端，Session 存储在服务端。SessionID 是关联两者的钥匙，而非 Session 本身。
CSRF vs XSS 面试追问路径
📌 面试问答 2：同源策略与 CSRF 攻击
面试问题：什么是同源策略？CSRF 攻击是如何利用同源策略的局限性？如何防御？
🎯 面试官考察点：
- 是否准确理解同源策略的「同源」定义
- 能否说清 CSRF 利用的是「发请求可跨域、读响应不可跨域」的差异
- 是否掌握多种 CSRF 防御手段的原理
📐 回答框架：同源定义 → 限制范围 → CSRF 绕过逻辑 → 攻击场景 → 防御方案