Что могут спросить на собеседовании по веб-безопасности?

Собрал популярные вопросы с собеседований по фронту — категория, со ссылками на официальную документацию (в основном MDN и OWASP) и подробные разборы по каждому пункту.

Основы
- Что такое веб-безопасность и почему она критична для фронтенда?
- Что такое модель угроз и зачем её составлять?
- Как объяснить основы веб-безопасности новичку?
- Какие типичные ошибки делают фронтенд-разработчики в безопасности?
- Какие типичные уязвимости встречаются в SPA?

Same-Origin Policy и CORS
- Что такое same-origin policy (SOP) и как она работает?
- В чём разница между SOP и CORS?
- Что такое CORS и как его корректно настраивать?
- Что такое Origin и Referer, как их используют в безопасности?

XSS
- Что такое XSS и какие его основные виды?
- Как защититься от XSS на фронтенде?
- Что такое инъекции в DOM (DOM-based XSS) и как их избегать?
- Почему опасно использовать `innerHTML` и как безопасно вставлять HTML?
- Как работает Trusted Types и когда их использовать?

CSRF и Clickjacking
- Что такое CSRF и когда он опасен?
- Как защититься от CSRF?
- Что такое Clickjacking и как от него защититься?

Content Security Policy
- Что такое Content Security Policy (CSP) и зачем она нужна?
- Какие директивы CSP самые важные и почему?

HTTPS, Cookies, заголовки
- Что такое HTTPS и какие угрозы он устраняет?
- Что такое Mixed Content и почему это проблема?
- Как работают Cookies и чем отличаются `HttpOnly`, `Secure`, `SameSite`?
- Как настроить безопасные заголовки на уровне приложения?
- Как работают Permissions Policy и Feature Policy?

Аутентификация и токены
- Где безопаснее хранить токены: cookies или localStorage?
- Что такое токены доступа и refresh-токены, как их безопасно использовать?
- Как безопасно работать с OAuth/OpenID Connect на фронте?
- Что такое Rate Limiting и как фронтенд может в этом помочь?

Сторонние ресурсы и изоляция
- Что такое Subresource Integrity (SRI) и когда он нужен?
- Как безопасно подключать сторонние скрипты?
- Что такое sandboxed iframe и когда он нужен?
- Что такое Service Worker с точки зрения безопасности?
- Что такое SSRF и есть ли риски на фронтенде?

Практики и процессы
- Как влияет роутинг на безопасность в SPA?
- Как организовать безопасную обработку ошибок и логов?
- Какие практики помогают защитить форму ввода данных?
- Что такое dependency security и как проверять уязвимости?
- Как подготовить фронтенд к pentest/аудиту?

Это 1/4 из "общих" вопросов по вебу, браузеру и безопасности, если вопросы встречались на собеседованиях и статьи были полезны — ставьте очкарика🤓, и мы продолжаем рубрику)

Кто я | Кейсы | Менторство

Идеального города не существу..

В SF можно заказать доставку через pip пакет?

Комментарий от разработчика:

When they opened a second location under Salesforce tower in SF, I thought it might be fun to have a CLI tool for ordering.

Вообще их культура удивляет, ведь много кодинговых задач делаются просто "по приколу" и за пару дней, как например автоматизировать себе заказ еды 😅

Думаю мы тоже должны больше веселиться в профессии, даже если стоит "сложная" задача

А когда вы в последний раз кодили не потому что "нужно", а для себя?)

Странные вопросы на собеседованиях

Прошёлся по своим заметкам с нескольких сотен IT-собесов и собрал вопросы, которые запомнились.

Что они на самом деле проверяют?

1. Что бы ты сделал, если тебе дать 1 млн долларов? (вопрос Сбера)
Как-то раз на интервью я прямо сказал, что пошел бы отдыхать 😄 И меня не взяли.

2. Как вы относитесь к переработкам?
Классика жанра. Если про овертаймы спрашивают на интервью, значит они будут.

3. Если ты запушил правку, а у другой команды после этого упал баг — кто несёт ответственность? (Точка банк)
Вопрос-капкан ещё до оффера. По-хорошему ответ один: «команда и процессы — ревью, тесты, CI». Но сама постановка намекает на культуру поиска виноватых.

4. Назовите топ 3 положительных и отрицательных ваших качества
Talent-блог самого LinkedIn прямым текстом называет вопрос про слабые стороны худшим из существующих, потому что он фактически подталкивает кандидата врать

5. Умеешь решать алгоритмические задачи? А не боишься их решать? (Т-Банк)
Лёгкое психологическое давление до начала задачи)

6. А куда бы ты НЕ пошёл работать? (evrone)
Инвертированная ловушка. Любой конкретный ответ можно повернуть против тебя.

И вечная троица, которую задают всегда:
«Почему уходишь с текущего места?»
«Есть ли у тебя сейчас другие офферы?»
«Какие зарплатные ожидания?»

Не кринж, но встречаются буквально на каждом собесе. Думаю, в следующем посте разберем варианты хороших и плохих ответов на эти вопросы

А какой самый странный вопрос задавали вам?
Делитесь в комментариях 🌚👇

Полный список вопросов с недавнего собеседования в Evrone на Fullstack Developer.

На сколько вопросов ответили бы?

1. Расскажи, пожалуйста, про реляционные базы данных в целом.
2. Сталкивался ли ты с проблемами, когда нужно было сделать денормализацию или наоборот? (Habr, Clickhouse) У тебя третья нормальная форма, у тебя тяжелая нагрузка на СУБД. Тебе может помочь денормализация или нет? Как именно?
3. Ты раскатываешь новую фичу на тестовый стенд и от этого ложится тестовый стенд. Что будешь делать?
4. Что случилось с базой? Накатились миграции. База в изменённом состоянии — как понять что произошло и как реанимировать? (Habr)
5. Откатили миграцию, всё ожило. Фичу надо выкатить — что будешь делать дальше, если просто накатить снова, всё повторится?
6. Ты выяснил через EXPLAIN ANALYZE, что у тебя неоптимальные запросы. Какие наиболее частые причины неоптимальности запросов?
7. Чем JSON и JSONB отличаются в PostgreSQL?
8. JSONB имеет бинарный формат. Что это позволяет сделать конкретно по столбцу?
9. Агрегирующие функции (SUM, COUNT и т.д.) — где их можно использовать в SQL-запросе? В чём разница между WHERE и HAVING при использовании агрегирующих функций?
10. Деплоишь код, с базой всё в порядке, процессор не загружен, но запросы через REST API выполняются последовательно, как будто один за одним. Что может быть не так с конфигурацией подключения к БД?
11. Node.js однопоточная или нет? Сколько потоков может занять исполняемый файл Node.js и почему? Что такое libuv и как он связан с event loop?
12. Как ты понимаешь асинхронность в Node.js? Что такое microtask queue и macrotask queue?
13. Можно ли зависнуть Node.js со стороны JavaScript/V8, не используя бесконечный цикл while(true)? Как сделать так, чтобы очередь промисов никогда не опустела?
14. TypeScript: что такое Omit и Pick? В чём разница между union и intersection типами? Что произойдёт если передать intersection тип в Omit?
15. В чём разница между interface и type в TypeScript? Зачем нужны интерфейсы если есть типы и наоборот?
16. Для чего нужен абстрактный класс? Что произойдёт если разработчик напишет ts-ignore и не реализует методы абстрактного класса?
17. Микросервисы: как реализовывать распределённые транзакции через несколько микросервисов с возможностью отката? Что такое Saga и Outbox паттерны?

Мы сохранили точный порядок вопросов и формулировки, в которых они задавались.

Если нужно подготовиться к собеседованиям на фронт/фулстек, и быть готовым защитить теорию на сложных и незнакомых темах на собеседовании, пиши @codepunks_bro.

Мы не только подготовимся к теории и задачам, но и сопровождаем на каждом собеседовании вплоть до зафиксированного результата (оффер, прохождение сб).

Keep moving ✊