在2015年 开发一个 Web App 必须了解的那些事

在过去的一年里，我在从头开始开发我的第一个重要的Web应用。经验教会了很多以前不知道的东西，特别是在安全性和用户体验方面。

值得一提的是，我上一次尝试构建的任何合理复杂性是在2005年。所以，在安全防御方面，我还有很多东西需要去补充。

即使在那些我已经知道或已经遇到过的东西之外，下面这个清单的细节在开发Web应用时也非常容易忘记，尤其是你才刚刚起步的时候。

这个清单可能在某些方面不尽详细，如果你是一位经验丰富的开发者，我怀疑这里将不会有什么东西会让你感到惊奇。但是，我希望它对那些可能遗落了一些东西的人有帮助。

安全性

确认电子邮件：当用户注册时，你应该发一个带有确认链接的电子邮寄给他们，然后用户必须点击链接来确认。如果用户在某个时候改变他们的电子邮箱地址，应该触发同样的操作流程。

身份管理：在存储密码时，先用广泛使用的加密库将密码加密。如果你能不管理密码，那么身份管理转由Facebook/Github/Twitter来管理，只要使用一个认证接口。

加密:对Web的所有证书问题，没有比SSL更好的技术了，使用它吧，或者使用HSTS也可以。

证书：永远不要Check任何形式的服务器证书（API密钥、数据块密码）到源码控制库中。

工程：动画

对于这一切是圣洁的爱，别将你的app上所有的元素都做成动画，因为大部分CSS动画都会触发布局重绘。你最好限制一下，尽可能用变换和 opacity。

避免懒过渡计算，如果你一定要使用它，必须确保使用特定的属性（如:”transition: opacity 250ms ease-in” 而不是 “transition: all 250ms ease-in”）。

用户体验

表单：当提交表单时，用户应该得到一些有关提交的反馈信息。如果提交后页面没跳转到其它页面，那么就应该有一个弹出类型的提醒来让用户知道他们是提交成功了还是失败了。

登陆重定向：如果一个用户正想访问你网址上的某个页面，但是他并未登陆，那么用户应该首先被导向登陆页面，用户登陆之后又会跳转到他之前试着去访问的页面。 如果他们在登陆时输入了错误的密码，应该给以提示，提示他们如果忘记密码了可以选择重新设置新密。

电子邮件