第3章 高频面试问题与回答框架（基础篇）
本章帮你建立Electron面试的结构化表达习惯——不仅知道答案，更要让面试官听到“拆解思路+具体经验”。先掌握通用回答框架，再通过三个高频问题演练，最后结合追问路径深化理解。
📊 Electron面试高频考点速览
| 知识点 | 考察频率 | 典型问题 |
|---|---|---|
| 主进程 vs 渲染进程 | ⭐⭐⭐⭐⭐ | 解释区别与通信方式 |
| IPC通信机制 | ⭐⭐⭐⭐ | ipcMain / ipcRenderer / invoke |
| 性能优化 | ⭐⭐⭐⭐ | 启动速度、内存、渲染优化 |
| 安全防护 | ⭐⭐⭐⭐ | XSS、Node集成、CSP |
| 打包与部署 | ⭐⭐⭐ | electron-builder / asar |
| 原生模块（Native Addon） | ⭐⭐ | node_gyp / 编译问题 |
❓ 问题1：请解释Electron中主进程和渲染进程的区别，以及它们之间的通信方式。
面试官考察点：
- 对Electron架构基础的理解是否扎实
- 是否清楚进程隔离与通信的最佳实践
- 是否了解contextBridge、remote模块的演进
回答框架：
- 先定义主进程（Node.js环境，管理窗口、系统交互）和渲染进程（Chromium环境，显示UI）
- 说明通信方式：通过IPC（ipcMain/ipcRenderer）双向通信，推荐使用invoke/handle模式
- 强调安全隔离：使用preload脚本暴露API，而非直接开放Node能力
- 举例说明（如主进程读取文件后传给渲染进程）
简短示例回答：
“主进程运行在Node环境，负责窗口创建、系统API调用；渲染进程运行在Chromium沙箱，负责UI。两者通过IPC通信：主进程用ipcMain.on监听，渲染进程用ipcRenderer.send发送。我通常在preload中用contextBridge.exposeInMainWorld暴露安全方法，如'saveFile'，这样渲染进程只能调用指定接口，避免安全风险。”
可能追问：
- 👉 remote模块为什么被废弃？替代方案是什么？
- 👉 contextBridge的工作原理？与直接require有何区别？
- 👉 如果两个渲染进程需要通信，如何设计？
避坑提醒：
- ❌ 不要在渲染进程中直接使用require('electron')或任何Node API
- ✅ 始终使用contextIsolation: true + preload脚本
- ❌ 不要混用ipcRenderer.send和ipcMain.handle，保持请求-响应模式清晰
❓ 问题2：你在Electron项目中做过哪些性能优化？请举例说明。
面试官考察点：
- 是否有真实的性能调优经验
- 是否了解渲染进程、主进程、构建产物的优化手段
- 能否说出量化指标（如首屏时间、内存占用）
回答框架：
- 分维度：启动速度、内存、渲染性能、文件体积
- 每个维度给出1-2个具体动作（如懒加载、窗口池）
- 提到测试工具（Chrome DevTools Performance、Spectron）
- 用数据说明效果（如首屏从3s降到1.2s）
简短示例回答：
“我主要从三方面优化：1）启动速度：使用webpack拆分vendor和业务代码，开启懒加载；2）内存：在窗口关闭时手动销毁所有监听器和定时器；3）渲染性能：用requestIdleCallback处理次要任务，避免阻塞UI。最终首屏加载时间从2.8s降至1.3s，内存峰值降低约30%。”
可能追问：
- 👉 如何检测内存泄漏？具体用的什么工具？
- 👉 图片加载方面做过优化吗？
- 👉 对于大量数据的表格渲染，你如何优化？
避坑提醒：
- ❌ 不要在回答中只说“用了懒加载”而不解释具体实现
- ✅ 一定要带上量化指标，体现数据驱动思维
- ❌ 不要忽略主进程的瓶颈，过度关注渲染进程
❓ 问题3：Electron应用如何保证安全性？请列举常见风险及应对措施。
面试官考察点：
- 是否掌握Electron安全配置项（contextIsolation、nodeIntegration等）
- 能否识别XSS、原型污染等Web安全风险在Electron中的影响
- 是否了解CSP（内容安全策略）的作用和配置
回答框架：
- 先指出安全基本原则：最小权限、默认禁止、显式允许
- 列举3-4个关键配置：contextIsolation、nodeIntegration、enableRemoteModule、sandbox
- 说明CSP的配置方式
- 举例：通过preload暴露受限API，而非直接打开所有权限
简短示例回答：
“核心措施：1）开启contextIsolation: true和nodeIntegration: false；2）在preload中用contextBridge只暴露必要的接口，如文件选取；3）设置CSP头，限制script-src和connect-src；4）禁用remote模块，使用ipc通信。这样即使渲染进程被XSS攻击，也无法访问Node API或系统资源。”
可能追问：
- 👉 如何实现渲染进程的沙箱化（sandbox: true）？会影响哪些功能？
- 👉 Electron 5.0之后的安全模型有哪些变化？
- 👉 webview标签存在哪些安全风险？如何缓解？
避坑提醒：
- ❌ 不要以为设置了nodeIntegration: false就安全了，必须配合contextIsolation
- ✅ 记得更新Electron版本，新版本自动包含安全改进
- ❌ 不要忽略webview的权限控制，尽量使用BrowserView
💡 讲师提示： 上述三个问题覆盖了Electron面试80%的通用考点。建议在练习时，先用自己的语言说一遍“回答框架”再填入“示例回答”，最后模拟追问环节。将追问路径图打印出来，每次回答后自检是否漏掉了深层追问的要点。