CORS 与 CSP:Web 安全的两道防线
CORS 和 CSP 名字像但完全不同:CORS 管跨域请求,CSP 管页面能加载什么。本文讲清 CORS 的预检/简单请求/凭证、CSP 的指令(restrict 来源/禁内联)、两者各自的坑,以及上生产必配的一套安全 header。
这里聚合 CodeNodeX AI 社区中与 React 相关的技术文章和讨论,覆盖概念解释、工具对比、工程实践、常见问题和独立开发经验。
如果你正在研究 React,建议先阅读高质量长文,再参与帖子讨论,形成从理解到实践的完整路径。
CORS 和 CSP 名字像但完全不同:CORS 管跨域请求,CSP 管页面能加载什么。本文讲清 CORS 的预检/简单请求/凭证、CSP 的指令(restrict 来源/禁内联)、两者各自的坑,以及上生产必配的一套安全 header。
表单是前端最繁琐的活——验证、错误提示、动态字段、提交。本文讲清 React 表单的完整实践:React Hook Form vs Formik、zod 校验、受控 vs 非受控、Server Actions 提交、以及复杂数据(数组/嵌套)怎么处理,让你的表单既简洁又健壮。
PWA 让 Web 应用拥有原生 app 的能力——离线、安装到桌面、Push 推送、后台同步。本文讲清 PWA 的三大核心(Service Worker/Manifest/Web Push)、实现步骤、以及 2026 年的平台支持现状(iOS 终于支持 Push 了)。
渲染 10000 条数据卡死?虚拟列表只渲染可视区域的几行,滚动时动态替换。本文讲清虚拟化的原理(窗口计算/DOM 复用)、react-window 和 TanStack Virtual 的用法、什么场景该虚拟化、以及它的代价(搜索/无障碍/动态高度)。
React/Vue 各自有组件,但换框架就白写。Web Components 是浏览器原生的组件标准——Custom Elements + Shadow DOM,跨框架复用。本文讲清 WC 的核心 API、和 React/Vue 组件的区别、什么时候值得用(组件库/微前端),什么时候别用。
useEffect+fetch 看着简单,坑极多(竞态/重复请求/无缓存/无重试)。本文讲清 React 数据获取的演进:useEffect(反模式)→ React Query/SWR(服务端状态库)→ Server Components(RSC 服务端获取),各自该用在哪,以及 RSC 和 RQ 不是替代是互补。
全打包成一个 JS,首屏加载几 MB?代码分割按路由/组件拆成小 chunk,用到才加载。本文讲清 React.lazy + Suspense 的用法、Next.js 自动分割、路由级 vs 组件级分割、预加载策略,以及分割的度(太多 chunk 反而慢)。
Lighthouse 跑分高但用户还觉得慢?实验室(模拟)和现场(真实用户)差距可能很大。本文讲清两种数据的区别、为什么以现场为准(真实设备/网络/行为)、怎么收集现场数据(CrUX/web-vitals 库/RUM),以及两种数据各自的用途。
在页面顶层添加 use client 会把静态会话、Markdown 依赖和工具面板一起带进客户端图。本文按 Next.js 16.2.6 建立边界清单、冷启动夹具和可回滚的水合门禁。
组件怎么拆、状态怎么管、逻辑怎么复用——这些是"设计模式"决定的。本文讲清 React 常用模式:容器/展示分离、自定义 Hook(逻辑复用)、Render Props、Compound Components、Provider 模式,以及每个模式解决什么问题。
AI 回答已输出一半后断开,简单重试可能重复文本、重复工具副作用或丢失上下文。本文建立事件日志、恢复游标、错误分类和安全重试边界。
AI 界面能逐字输出并不等于流式链路可靠。本文从浏览器到模型上游设计可传播的取消信号、真正的背压、资源清理和可验证的连接生命周期。