@no1xsyzy XSS 的前提是用户提交的 JS 代码会被执行，现在前端开发一般用框架所以就算提交了 JS 代码也不会被执行吧？
另外想双重保险的话可以再过滤下请求参数里的 scirpt 标签、js 代码等，所以目前还有什么攻击手段可以绕过吗?

戴眼镜鼻子会塌吧

赞同楼上的：活着的意义就是活着才能经历那些美好的事物

为别人而活会非常非常的累，何不尝试放下

死不承认没人能拿你怎么样，但是要想解决问题确实得承认，让房东或者物业调解

@Varobjs 理论上可以公安部提供统一实名接口，企业只能拿到类似微信一样的 openid，这样用户实名信息就不会泄露，但是实际上却很难实现。

@MaverickLee 无货状态

有没有人算了 买哪个划算？ 电费、时间、网速等综合成本加起来真的可以白嫖吗？

一般肯定建议去，楼主要是不死心可以现在请假去面下大厂，大厂可能有好几轮面试的。

@fansfans 是的，所以严格遵守 restful 几乎不太可能

另外看了下大家的回复，都是各执一词，如此来看好不好用只能自己去试试看再说了。

@nigelvon 我明白了，你的架构是低层服务访问数据库，api 走 restful，非常分散的那种，中间层做业务逻辑，负责接收前端请求然后调用低层服务，但是这样其实还是多次调用，只不过中间层把它封闭了而已，不知道我理解得对不对。

@forgottencoast 想问下查询参数很多的情况下你们是怎么解决的？ restful 规定查询使用 get，参数拼 url 后面，但是参数一多，那个参数栏惨不忍睹，取值、维护都很麻烦，所以我们是直接查询用 POST 、参数放 BODY 里

同意楼上，本质是没有高端产业，业务需求根本用不上火箭，即使你为了面试学习了，工作一段时间后因为用不上，然后就又忘了，当然卷也是原因之一

1 、楼主在那边过得开心不？
2 、个人感觉楼主的公司可能是个例
3 、另外，不额外买东西都只能存 1W 左右如此看来工资相比国内优势并不大
不过总体来说我觉得比国内肯定还是要好很多

楼主这种角色和权限是配置死的吗？没办法动态配置角色的权限吧？
另外 ResponseEntity 没有业务状态码，如果把业务状态码放自己包装的实体里那还不如直接用自定义实体，使用 @ResponseStatus(201) 也可以达到效果

用的哪个规则分享下？

何不及时行乐，把世界上所有能体验的事情都体验一遍，人生没有遗憾了再考虑死的事情？
你觉得已经没有特别想要的也许是因为你没有得到过

去流量大的网站放上你的链接，过几天搜索引擎就会收录了，亲测你自己提交链接百度死活不收录，在别的网站上一放链接，它马上就收录了