两部分，各分入门 / 中等 / 高难三档，每档 20 题以上，★ 是高频题。 SQL 部分的例子按 PostgreSQL 写，和 MySQL 写法不同的地方会标出来；高难手写题都在本地 PG 里跑通过（文末附测试数据）。 MySQL 是你的老本行，重点是讲出原理 + 准备你自己的真实案例；每题尽量顺带说一句 PG 的不同（见 07 文档）。
DDL（CREATE / ALTER / DROP / TRUNCATE）、DML（INSERT / UPDATE / DELETE）、DQL（SELECT）、DCL（GRANT / REVOKE）、TCL（BEGIN / COMMIT / ROLLBACK / SAVEPOINT）。
按学习顺序展开：SQLAlchemy 会话与事务。
两部分，各分入门 / 中等 / 高难三档，每档 20 题以上，★ 是高频题。02 和 05 文档里已有的题，这里收进来做成完整版（简写），并补上新题。 项目代码核对日期：2026-10-21。标「项目」的是当前源码能支持的实现；故障原因按代码注释和既有复盘归纳，不把复盘里每个案例都当成已复现。 代码块中省略了导入、模型或业务函数的是写法片段，不是可直接复制的整段程序。可运行自检见文末。
★ 认证和授权有什么区别？ 认证确定你是谁，授权决定你能对哪个资源做什么。登录成功不能证明有权读取任意项目，服务端每个入口都要检查。
最小权限是什么？ 账号、工具和进程只获得完成职责所需能力，默认拒绝未明确授权的操作。管理员旁路需显式且可审计，不能靠隐藏按钮实现。
★ 哈希、签名、加密区别？ 哈希是摘要，签名/消息认证验证完整性和来源，加密保护机密。签名 cookie 内容仍可能可读，别把 base64 说成加密。
盐和密钥是什么？ 盐一般不需保密，用来让同密码哈希不同；密钥必须受控保护。密码存储用合适慢哈希及参数，不用自创算法。
★ HTTPS 解决哪些问题？ 保护传输的机密、完整性和对端认证；不防已授权用户滥用、服务端漏洞或错误权限。证书链与主机名校验不能随便关闭。
HttpOnly cookie 防什么？ 阻止普通脚本直接读取 cookie，但恶意脚本仍可代表用户发同源请求。需与输出转义、CSP 和权限检查配合。
Secure cookie 有什么作用？ 要求按浏览器规则通过安全连接传送，减少明文泄露；它不等于 cookie 已加密，也不能替代服务端会话撤销。
★ SameSite 有什么作用？ 控制跨站请求携带 cookie 的条件，帮助降低 CSRF；站点与来源不同概念，不能把它当全部跨域和 CSRF 问题的唯一解。
CORS 是权限系统吗？ 不是，主要约束浏览器跨源读取响应；脚本外客户端不受同样限制，服务端仍需认证和资源授权。
★ 输入校验和输出转义区别？ 前者限制数据符合业务格式，后者按 HTML/URL/JS 等使用上下文安全输出。合法字符串也可能含应被转义的字符。
为什么错误信息要控制？ 内部栈、SQL、路径和密钥可能帮助信息收集；客户端给稳定错误与关联 ID，详情只进受控日志。
★ 为什么日志也可能泄密？ 请求头、cookie、prompt、附件与 SQL 参数可能含私密信息；字段白名单、脱敏、访问权限与保留期限一起设计。
会话过期有哪些方式？ 空闲超时、绝对期限、主动撤销与凭证轮换。只让浏览器删 cookie 不会使已泄露令牌自动失效。
★ ID 难猜能替代授权吗？ 不能，UUID 也可能从分享链接、日志或其他接口泄露。按操作者与目标资源关系检查权限，不能只验证 ID 格式。
上传文件先检查什么？ 大小、类型、数量、用途和目标路径；扩展名与 MIME 都可伪造，解析器也需隔离和资源限制。
下载链接怎样保护？ 读取时重新授权或签发短期限定资源的凭证，避免永久公开地址暴露内部文件；签名 URL 仍可能在有效期内被转发。
★ API key 放哪里？ 留服务端或受控密钥存储，不进浏览器包、源码和日志。限制用途与额度，支持轮换和撤销。
依赖更新为什么与安全有关？ 漏洞可能来自传递依赖；锁版本保证可追溯，定期评估补丁并回归。扫描结果不等于已可利用，也不能一概忽略。
★ 安全测试要覆盖什么？ 未登录、本人、同组织、他人、被移除成员与管理员等身份，覆盖读写和缓存。只测正常登录成功远远不够。
权限检查出错应该怎么办？ 通常拒绝敏感操作并记录原因，不能异常时默认放行；业务恢复/通知投递的失败与明确拒绝要区分，避免误丢任务。
★ 系统设计先问什么？ 先明确用户、核心功能、规模、延迟、可用性和数据约束，再画最小闭环。条件不足时把假设说出来，不直接堆技术名。
QPS 和并发是什么关系？ 稳态下并发约等于吞吐量乘平均处理时长，注意单位。长连接数、模型运行数和数据库并发应分别估算。
★ 平均延迟和 P99 区别？ 平均值会掩盖长尾，P99 表示约 99% 的请求不超过该值。按接口和版本观察，还要关注超时被统计口径漏掉。
吞吐量怎么估算？ 从日活、每人操作数、时间分布估平均与峰值请求，再拆各下游放大量。场景数字应明确是假设，不当已有业务数据。
可用性指标怎么定义？ 按成功请求比例或可用时间定义 SLI，并约定哪些错误算失败；SLO 是目标，不能只用进程存活代表业务可用。
★ 同步和异步如何选择？ 用户需要立即结果的短操作可同步；耗时工作可先持久化意图返回 ID，再异步执行。异步会引入状态查询、重试与一致性成本。
横向扩容和纵向扩容区别？ 前者加实例，后者给单实例加资源。横向扩容依赖状态与共享资源设计，数据库瓶颈不会因为多开 Web 自动消失。
有状态与无状态服务是什么？ 无状态通常指请求不依赖某台实例的本地业务状态，不是整个系统没有数据。会话、文件和任务仍需可靠存储。
★ 缓存为什么不能当唯一真相？ 可能过期、淘汰或丢失，应能从权威数据重建。严格计数/扣款不能只依赖普通缓存读改写。
读多写少如何优化？ 先优化查询和索引，再按允许的新鲜度缓存、复制或预聚合。每加一层都要说明更新延迟与失效方式。
★ 超时为什么要分层？ 连接、读取、总请求和业务执行是不同预算。给下游分配小于上游剩余时间的 deadline，避免上游已退出下游仍长期工作。
重试什么时候有害？ 下游过载时同步重试会放大流量；写操作结果未知时还会重复副作用。只对可恢复错误有限重试，加退避、抖动和幂等。
★ 分页有哪些方式？ offset 简单但深页成本大；游标按稳定排序键继续，适合连续浏览。两者都需唯一并列键与权限过滤。
消息顺序有什么范围？ 通常只能在某个队列/分区/业务键范围约定顺序，不能泛称全系统有序。消费并发和失败重试也可能改变处理顺序。
数据分区解决什么？ 按时间/租户等划分数据，改善维护或查询裁剪；不自动跨机器扩写，也不保证任意条件查询更快。
★ 主从复制等于备份吗？ 不是，误删也可能复制到从库。备份应有独立保留点并验证恢复，明确恢复时间和可接受丢失量。
一致性读指什么？ 要说明是线性一致、读己之写、单调读还是事务快照。不同需求对应不同代价，不能只回答「最终一致」。
★ 热点是什么？ 少数键、用户、分区或资源承受大部分流量。按业务键观测，再做隔离、拆分、缓存与限流，平均 QPS 会掩盖热点。
为什么需要容量余量？ 实例故障、发布重叠和突发流量会暂时增加负载。按最少可用实例承担峰值估算，不能把常态 CPU 用满当最高效率。
★ 如何评价设计的取舍？ 逐项说明满足的约束、增加的复杂度、故障行为与验证方法。没有规模证据时优先可演进的简单方案。
EventSource：浏览器原生，自动重连，但只支持 GET、不能自定义请求头。fetch + response.body.getReader() 逐块读，自己按 \n\n 切分事件：const res = await fetch('/api/chat', { method: 'POST', body: JSON.stringify({ query }) });
const reader = res.body.getReader();
const decoder = new TextDecoder();
let buf = '';
while (true) {
const { done, value } = await reader.read();
if (done) break;
buf += decoder.decode(value, { stream: true });
const events = buf.split('\n\n');
buf = events.pop(); // 最后一段可能不完整，留到下次
for (const e of events) handle(e);
}var、let、const 的区别？var：函数作用域，有变量提升（声明前访问是 undefined），可以重复声明。现在基本不用。let：块级作用域（{} 内有效），不能重复声明，声明前访问报错（暂时性死区）。const：同 let，但不能重新赋值。注意：const obj = {} 之后 obj.a = 1 是可以的，只是不能 obj = 别的。const，需要重新赋值才用 let。React、Next.js、Node.js 各分入门 / 中等 / 高难，每档 20 题，共 180 题，★ 是高频。06 用来快速入门，本篇用来系统复习。通用方案不代表项目已有实现。
React 是 UI 库，Next 是基于它的应用框架，提供路由、服务端渲染、构建与服务端能力。使用 Next 不等于所有页面都 SSR，也不表示业务后端必须迁进 Next。
React、Next.js、Node.js 各分入门 / 中等 / 高难，每档 20 题，共 180 题，★ 是高频。06 用来快速入门，本篇用来系统复习。通用方案不代表项目已有实现。
基于 V8 的 JavaScript 运行时，提供网络、文件、进程等服务端能力。Node 不是框架，Express 是其上的 Web 框架；浏览器 DOM API 不能直接当成 Node 内置能力。
React、Next.js、Node.js 各分入门 / 中等 / 高难，每档 20 题，共 180 题，★ 是高频。06 用来快速入门，本篇用来系统复习。通用方案不代表项目已有实现。
用组件和状态声明界面，让视图随数据变化。它主要负责 UI，不自带完整后端、路由或权限系统；项目再用 Next 做应用组织，用 Redux 等管理跨组件状态。
不是，是 JavaScript 语法扩展，编译成创建 React 元素的调用。可以在花括号里放表达式，组件名首字母大写；样式、className 和事件属性遵循 React/JS 的约定。