xss 是 盗用 用户 cookie
csrf 是 冒用 用户 cookie
xhr 和 fetch 不能随意跨站请求资源，需要通过 CORS 策略来支持其跨域，但是 页面中可以引用任意第三方资源，比如
1. <img src="https://www.example.com/deleteAccount"> ,
2. <form action="https://www.example.com/deleteAccount" method=POST>
   <input type="hidden" name="account" value="admin" />
   <input type="submit" value="抢红包" />
</form>
3. <a href="https://www.example.com/deleteAccount" taget="_blank">抢红包<a/>

用户只要登录过 example.com 网站，在第三方网站触发上面任意一种，都会被恶意删除账号

宁愿去一家没有电梯、没有零食和食堂的小公司，平等待遇

英文 JetBrains Mono, 中文 LXGWWenKai

@yankebupt #24 Puppeteer 可以控制本地 chrome

@libook 而且现在都是有人做好脚本，直接运行就好（比如抢票），只能防没有动手能力的小白

不行，后端并不知道接口是否经过前端认证之后发送的
建议直接接入第三方验证，有无感验证，触发风控才需要弹窗验证

1. import 命令是编译阶段执行的，在代码运行之前
2. import 语句是 Singleton 模式

参考 https://developer.mozilla.org/zh-CN/docs/Web/JavaScript/Reference/Statements/import

ES6 标准中，import 引入的模块是地址引用

@libasten 动态 import()

转换后的时间是没有时区，非 +8 时区用户会看到不正确的时间
应该前端接收 iso 、时间戳，js 转换时间