[译]Node.js Interview Questions and Answers (2017 Edition)
Node.js Interview Questions for 2017
- 什么是error-first callback?
- 如何避免无止境的callback?
- 什么是Promises?
- 用什么工具来保证代码的一致性风格? 为什么保持一致性风格很重要?
- When should you npm and when yarn?
- 什么是stub? 举个例子!
- 什么是test pyramid? 举个例子!
- 你喜欢哪个HTTP框架，为什么?
- 如何保护你的HTTP cookies 不遭受XSS攻击?
- 如何确保你的依赖是安全的?
什么是error-first callback
Error First callback用来传递error和data。 使用error作为第一个参数，要检查这个error参数看看是不是哪出错了。第二个参数用来传递data。
fs.readFile(filePath, function(err, data) {
if (err) {
// handle the error, the return is important here
// so execution stops here
return console.log(err)
}
// use the data object
console.log(data)
})
如何避免无止境的callback
有许多方法：
- modularization: break callbacks into independent functions
- 使用流控制库， 例如async
- 使用generators with Promises 详见
- 使用async/await（这个是v7才有的， 你可以看看我们关于async/await的实践）
什么是Promises
Promises帮助我们更好的处理异步操作。
下面的例子中100ms后打印一个result字符串。 注意到了catch没， 它用来处理错误。Promises是可链接式的。
new Promise((resolve, reject) => {
setTimeout(() => {
resolve('result')
}, 100)
})
.then(console.log)
.catch(console.error)
用什么工具来保证代码的一致性风格? 为什么保持一致性风格很重要
在一个团队中工作的时候，一致性风格尤为重要，这样团队成员可以更加简单的修改项目，不要每次都是用一个新的风格。
同时，借助于静态分析可以帮助消除issue。
可以使用以下工具：
什么是stub? 举个例子!
stub用来模拟函数的行为。
var fs = require('fs')
var writeFileStub = sinon.stub(fs, 'writeFile', function (path, data, cb) {
return cb(null)
})
expect(writeFileStub).to.be.called
writeFileStub.restore()
什么是test pyramid? 举个例子
test pyramind描述所需单元测试，集成测试，End-to-End的比率。
你喜欢哪个HTTP框架，为什么
没有正确答案。目的是考察对某个框架的了解程度。
background/worker在什么时候有用？ 你是如何处理worker task的
worker processes对于在后台进行数据处理非常有用，例如发送邮件或者处理图片。
如何保护你的HTTP cookies 不遭受XSS攻击
XSS是攻击者将可执行的js注入到你的系统中。
减少这种攻击，你应该设置HTTP请求头set-cookie:
- HttpOnly 用来阻止通过js来方位cookie
- secure 告诉浏览器只用在https的情况下才发送cookie
如果你用的是Express, 使用express-cookie session。
如何确保你的依赖是安全的
nodejs项目很容易就依赖上百上千个依赖包。 手工检查是不现实的。
我们可以自动更新、安全审查依赖。下面是一些免费和付费的方案：
npm outdated- Trace by RisingStack
- NSP
- GreenKeeper
- Snyk
面试题
下面的代码有什么问题？
new Promise((resolve, reject) => {
throw new Error('error')
}).then(console.log)
解决方案
then后面没有catch。
改为
new Promise((resolve, reject) => {
throw new Error('error')
}).then(console.log).catch(console.error)
如果你在debug一个大项目，你不知道哪个Promise可能会有这个issue， 你可以使用unhandleRejection钩子。它会打印所用unhandled Promise。
process.on('unhandledRejection', (err) => {
console.log(err)
})
下面的代码有什么问题？
function checkApiKey (apiKeyFromDb, apiKeyReceived) {
if (apiKeyFromDb === apiKeyReceived) {
return true
}
return false
}
解决方案
比较安全凭证的关键是不泄露任何信息，你应该确保你在一个固定的时间段比较他们。 如果你不这么做你很容易遭受时序攻击(timing attacks)。
时序攻击属于侧信道攻击/旁路攻击(Side Channel Attack)，侧信道攻击是指利用信道外的信息，比如加解密的速度/加解密时芯片引脚的电压/密文传输的流量和途径等进行攻击的方式，一个词形容就是“旁敲侧击”。
举一个最简单的计时攻击的例子，某个函数负责比较用户输入的密码和存放在系统内密码是否相同，如果该函数是从第一位开始比较，发现不同就立即返回，那么通过计算返回的速度就知道了大概是哪一位开始不同的，这样就实现了电影中经常出现的按位破解密码的场景。密码破解复杂度成千上万倍甚至百万千万倍的下降。
最简单的防御方法是：“发现错误的时候并不立即返回，而是设一个标志位，直到完全比较完两个字符串再返回”。
时序攻击并非是一种理论攻击方法，OpenSSL、OpenSSH等应用都曾经有时序攻击漏洞，举个实际的例子吧：
作者：shotgun
链接：https://www.zhihu.com/question/20156213/answer/43377769
来源：知乎
你可以使用cryptiles来解决这个问题。
function checkApiKey (apiKeyFromDb, apiKeyReceived) {
return cryptiles.fixedTimeComparison(apiKeyFromDb, apiKeyReceived)
}
下面的代码将输出什么
Promise.resolve(1)
.then((x) => x + 1)
.then((x) => { throw new Error('My Error') })
.catch(() => 1)
.then((x) => x + 1)
.then((x) => console.log(x))
.catch(console.error)
输出2，看看为什么输出2:
- 新的Promise创建， resolve 1
- resolve加1，变成2
- 抛出一个异常
- 返回1
- 加1，变成2
- 打印出2
- 这行不会执行，因为没有异常
