分层
框架推荐 Controller 层主要对用户的请求参数进行处理（校验、转换），然后调用对应的 service 方法处理业务，得到业务结果后封装并返回。
数据的读取是放在哪里？model还是service，分层的理由是什么？model层是？
统一 tracer 日志是什么？
session和cookie的区别
Cookie 在 Web 应用中经常承担标识请求方身份的功能，所以 Web 应用在 Cookie 的基础上封装了 Session 的概念，专门用做用户身份识别。
每次请求都会校验请求携带的cookie，校验用户吗？
是的，统一在切面中做。
有哪些信息会存储到redis里，现在用户session有哪些数据，都是存在内存中吗？
session_id
单元测试是否包含网络异常情况分支测试？
是的，mock，但是大部分公司不做。
为什么默认关闭dns缓存？
句柄是什么意思
如何实现多核共同监听同一个端口，并且实现负载均衡。cluster源码解析
多核负载均衡时，数据是否共享？
如何部署？
打成tar包，在服务器机子上解压，启动服务。
curl的翻译是卷发，为什么是发起请求的意思
为什么Service 是懒加载的？
Service 不是单例，是 请求级别 的对象，框架在每次请求中首次访问 ctx.service.xx 时延迟实例化，所以 Service 中可以通过 this.ctx 获取到当前请求的上下文。
是如何解决日志过多导致io问题的？
将日志同步存在内存中，每隔1秒存到硬盘中。
注意点
一个常见的错误是把 ctx.request.body 和 ctx.body 混淆，后者其实是 ctx.response.body 的简写。
jsonp安全攻防技术
jsonp安全攻防技术
为什么要对jsonp的函数名也进行过滤。
什么是csp
网页安全政策(Content Security Policy)，CSP 的实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单。它的实现和执行全部由浏览器完成，开发者只需提供配置。
知乎讨论
什么是csrf
reffer
Cross-Site Tracing
客户端发 TRACE 请求至服务器，如果服务器按照标准实现了 TRACE 响应，则在 response body 里会返回此次请求的完整头信息。通过这种方式，客户端可以获取某些敏感的头字段，例如 httpOnly 的 Cookie。
公司业务会校验reffer吗？reffer为空时，如何处理的？
什么情况下前端会传url，让服务端做302重定向？
java中错误处理是怎样的？
分为try catch和spring全局捕获
nginx是如何拿到客户端ip的？
x-forward-for，不一定准.
大部分应用是否禁止直接访问，都是通过nginx转发。
是的。
mvc在后台是如何区分的？
m：DAO层，操作数据库
v：无，前后端分离
c：controller，操作业务逻辑
