三大注入与盗用

XSS 的三种类型

XSS 不是一种攻击，是三种，根因都是「把不可信内容当 HTML 执行了」，但危害路径不同。存储型：恶意脚本存进了数据库（比如评论区），所有看这条评论的人都会中招，危害最大。反射型：脚本藏在 URL 参数里，服务器「反射」回页面，攻击者得骗你点一个特制链接才中招。DOM 型：脚本根本没到服务器，是前端 JS 自己把 URL 里的内容写进了页面，服务端日志都看不到，最隐蔽。

三种的统一解法是输出转义——Vue/React 默认就帮你把插值转义了，别用 v-html / dangerouslySetInnerHTML 瞎塞不可信内容。一个快速自查方法：全局搜代码里所有把后端数据直接塞进 innerHTML / v-html / dangerouslySetInnerHTML 的位置，那就是潜在的 DOM XSS 点。转义是第一道墙，下面的 CSP 是第二道。

CSP 实际怎么配

CSP（内容安全策略）是一个响应头，一句话告诉浏览器：「这个页面只准从这些来源加载脚本、样式、图片」。一个常见配法是：default-src 设 'self'（默认只信自己域名），script-src 额外放行你的 CDN，img-src 放行 data: 和图片 CDN。一旦页面里被注入了一个来自恶意域名的 <script>，浏览器直接拒绝执行。

上线小技巧：先加 Content-Security-Policy-Report-Only 头，只报告不拦截，观察一周收集哪些资源被拦，规则调准了再切成真拦。一上来就硬拦，很容易把自己的正常功能也拦挂。除了 CSP，还有几个配套头：给敏感 Cookie 加 HttpOnly 让 JS 读不到 token、加 Secure 只在 HTTPS 下传输，这几条合起来才是完整的 XSS 防线。

HTTPS 是全站必须：HTTP 明文传输，登录密码和 token 会被中间人窃听。HTTPS 原理与证书深挖归 s15-m6。

HTTPS 握手成本与 HTTP/2 多路复用

老说法是「HTTPS 比 HTTP 慢」，那是 HTTP/1.1 时代的事。HTTPS 首次连接确实多一次 TLS 握手（一来一回），但 HTTP/2 多路复用能在一条连接上并行塞多个请求，省去了 HTTP/1.1 每个请求都建连的开销。对现代网站，开了 HTTPS + HTTP/2 通常反而更快，所以现在没有理由不上 HTTPS。

性能与扩容一句话

强缓存 vs 协商缓存

浏览器缓存分两级。强缓存（Cache-Control: max-age=31536000）：一年内浏览器根本不找服务器，直接用本地缓存，最省。文件名带内容 hash（app.abc123.js）就是为这个设计的——内容变了 hash 变、文件名变，强制浏览器拉新的。协商缓存（ETag / Last-Modified）：强缓存到期后，浏览器带 ETag 问服务器「变了没」，没变返回 304 不传输 body。经验法则：频繁变的 HTML 用协商缓存，带 hash 的静态资源用长强缓存。最常见的配置失误就是给 index.html 也设一年强缓存，结果发版后用户还拿着旧 HTML 去引用已经不存在的旧 JS，页面直接白屏；正确做法是 HTML 设 no-cache 每次协商，带 hash 的 JS/CSS 才长缓存。

CDN 命中率与 Serverless 冷启动

扩容也有先后顺序，别一上来就加机器。正确顺序是：先加缓存挡读、再做垂直扩容（单机升配），顶不住了才水平扩容加多台机器。绝大多数小站点根本走不到水平扩容那一步——缓存做好、数据库索引加对，一台 2核2G 能扛很久。盲目加机器是最贵的优化。

防恶意流量（DDoS、刷接口）靠分层：Nginx/网关入口限流挡第一层，应用层对登录、验证码等敏感接口再限一次，上面成本课里的 RateLimiter 就是应用层那道闸。安全这块最后补一句心法：不要自己造加密、不要信前端传来的任何数据、默认所有用户输入都是恶意的——这三条做到，能挡掉绝大多数新手级漏洞。

CDN 命中率 = CDN 直接返回的请求数 ÷ 总请求数。命中率 95% 意味着只有 5% 的请求回源到你的服务器，源站带宽成本降到大约 1/20。命中率低通常是缓存没配好：HTML 被缓存导致更新不及时，或缓存时间太短频繁回源。读写分离也是同理——把读压力分摊到从库，主库只扛写，读多写少的场景能线性提速，但它引入了主从延迟这个新问题，不是免费的午餐。

Serverless 按量计费很诱人，但函数长时间没人调用后会被「冻结」，第一次请求要重新冷启动（几十到几百毫秒），对延迟敏感的接口（支付、搜索）首包会抖。解法是保持预热，或对延迟敏感的接口别用 Serverless。

成本估算方法论

云产品价格、版本随时在变，一律以官方最新为准。方法比数字重要：先估算月活用户，再算人均请求量，最后乘数据库、带宽、对象存储的单价。估算最容易漏两项：一是数据库/服务器是包月固定成本，不管有没有人用都得算钱；二是流量费常常比服务器本身贵——小站点服务器几十块一个月，CDN 流量可能几百块。所以先把流量和带宽算清楚，再回头谈机器规格，别本末倒置。下面用纯 Python 跑一个限流计数器，再把「请求→带宽→存储」三段成本一起粗算。