Interviewfragen zu Browser und Performance (Senior) mit Antworten

75 Fragen fürs Vorstellungsgespräch zu Browser und Performance (Senior) mit richtigen Antworten, Erklärungen und Links zur Dokumentation.

Diesen Test machen
  1. 1.Was garantiert Site Isolation in Chromium?
  2. 2.Warum haben Browser SharedArrayBuffer standardmäßig abgeschaltet und nur für cross-origin-isolierte Seiten wieder aktiviert?
  3. 3.Welches Header-Paar macht eine Seite cross-origin-isoliert (self.crossOriginIsolated === true)?
  4. 4.Nach dem Aktivieren von COEP: require-corp laden Bilder von Drittanbietern nicht mehr. Welche Optionen gibt es?
  5. 5.Wogegen schützt Cross-Origin-Opener-Policy: same-origin außer dem Ermöglichen der Isolation?
  6. 6.Wofür ist Cross-Origin-Resource-Policy: same-site da?
  7. 7.Wofür sind Fetch-Metadata-Header wie Sec-Fetch-Site auf dem Server nützlich?
  8. 8.Was sind XS-Leaks?
  9. 9.Warum kann eine transform-Animation flüssig bleiben, auch wenn ein Long Task den Main Thread blockiert?
  10. 10.Wie groß ist das Frame-Budget für Rendering mit 60 Hz, und warum ist es in der Praxis kleiner als 16,7 ms?
  11. 11.Warum kann eine einzige Klassenänderung an <body> in einer großen App teuer sein?
  12. 12.Was meint „Layer Explosion“?
  13. 13.Was macht content-visibility: hidden anders als display: none?
  14. 14.In welchem Fall kann content-visibility: auto CLS oder Scrollen verschlechtern?
  15. 15.Was macht „Paint Holding“ in Chromium bei Navigationen im selben Origin?
  16. 16.Was ergänzt die Long Animation Frames API (LoAF) gegenüber der Long Tasks API?
  17. 17.Warum kann Hydration auf serverseitig gerenderten Seiten INP schaden?
  18. 18.Was erlaubt scheduler.postTask(fn, { priority: "background" })?
  19. 19.INP ist schlecht, aber jeder Event-Handler braucht unter 20 ms. Worauf sollte man schauen?
  20. 20.Warum ist INP-Debugging im Labor im Vergleich zum Feld oft irreführend?
  21. 21.Wie kann Garbage Collection INP beeinflussen?
  22. 22.Warum sind Render-Updates in requestAnimationFrame manchmal eine versteckte Quelle schlechten INP?
  23. 23.Warum werden Core Web Vitals am 75. Perzentil bewertet?
  24. 24.Dein RUM zeigt, dass LCP p75 schlechter wurde, aber die Lighthouse-Werte sind unverändert. Was ist ein wahrscheinlicher Grund?
  25. 25.Wie sollte man Performance-Budgets in der CI für verlässliche Ergebnisse durchsetzen?
  26. 26.Was bringt es, mit dem LCP-Wert auch die Zuordnung (Element, Teilphasen) zu senden?
  27. 27.Welche Wirkung hat bfcache-Tauglichkeit auf Felddaten?
  28. 28.Welcher Header hat in Chrome historisch verhindert, dass eine Seite in den bfcache kommt?
  29. 29.Wie sollte eine Seite reagieren, wenn sie über Speculation Rules vorgerendert wird?
  30. 30.Was ist ein Kompromiss, wenn man kritisches CSS ins HTML einbettet?
  31. 31.Wie hilft Streaming von HTML vom Server dem LCP?
  32. 32.Warum ist es mit HTTP/2 oder HTTP/3 trotzdem nicht ideal, alles in eine JS-Datei zu bündeln?
  33. 33.Was ist die Hauptfalle eines Cache-Schlüssels mit unnötigen Anfragedaten, etwa allen Cookies?
  34. 34.Was ist Web Cache Poisoning?
  35. 35.Warum können aus Inode oder Änderungszeit erzeugte ETags hinter einem Load Balancer zu schlechter Revalidierung führen?
  36. 36.Welches Problem lösen gezielte Header wie CDN-Cache-Control?
  37. 37.Was ändert Cache-Control: immutable?
  38. 38.Warum ist es gefährlich, eine authentifizierte API-Antwort in einem geteilten CDN-Cache zu cachen, selbst mit kurzer TTL?
  39. 39.Was stimmt mit dieser CORS-Prüfung nicht?
  40. 40.Warum ist es riskant, in CORS Origin: null zu erlauben?
  41. 41.Schützt eine korrekte CORS-Konfiguration eine API vor CSRF?
  42. 42.Ein interner Dienst unter http://192.168.0.10 soll für Skripte öffentlicher Websites nicht erreichbar sein. Welcher Browsermechanismus adressiert das?
  43. 43.Warum kosten Preflights in einer API-lastigen SPA Performance, und wie verringert man sie?
  44. 44.Was macht 'strict-dynamic' in einer CSP?
  45. 45.Warum lassen sich CSPs mit Host-Allowlist wie script-src 'self' https://cdn.example.com oft umgehen?
  46. 46.Warum sollte eine strikte CSP base-uri 'none' (oder 'self') enthalten?
  47. 47.Wie führt man eine neue CSP ein, ohne die Produktion zu zerstören?
  48. 48.Was erzwingen Trusted Types?
  49. 49.Was ist Mutation XSS (mXSS)?
  50. 50.Was ist DOM Clobbering?
  51. 51.Warum ist es besser, Ausgaben für ihren Kontext zu kodieren, als „schlechte“ Eingaben einmal beim Eintreffen zu filtern?
  52. 52.Wogegen schützt ein HttpOnly-Sitzungscookie bei XSS NICHT?
  53. 53.Was ist die Gefahr, Serverdaten so in ein Inline-Skript einzufügen?
  54. 54.Wo sollte HTML von Nutzern bereinigt werden, wenn ein System es in einer Web-App und einer Mobile-App rendert?
  55. 55.Was garantiert das Cookie-Namenspräfix __Host-?
  56. 56.Warum schützt SameSite nicht vor Angriffen von einer kompromittierten Subdomain wie blog.example.com?
  57. 57.Was ändert CHIPS (Partitioned-Cookies) für ein eingebettetes Widget?
  58. 58.Was passiert, wenn der Speicher eines Origins das Browser-Kontingent überschreitet oder dem Gerät der Platz ausgeht?
  59. 59.Was ist Storage Partitioning in modernen Browsern?
  60. 60.Warum kann ein einzelnes großes HTML-Dokument trotz HTTP/3 und CDN einen langsamen TTFB haben?
  61. 61.Was erlaubt HTTP/2 Connection Coalescing?
  62. 62.Warum ist „Domain Sharding“ mit HTTP/2 ein Anti-Pattern?
  63. 63.Was verbessert TLS 1.3 beim Seitenladen gegenüber TLS 1.2?
  64. 64.Was bringt Link: <...>; rel=preload als HTTP-Header statt im HTML?
  65. 65.Warum ist ein gesandboxtes iframe auf einem eigenen Origin ein üblicher Weg, nicht vertrauenswürdiges HTML zu rendern (etwa von Nutzern erstellte Widgets)?
  66. 66.Warum ist allow-scripts allow-same-origin an einem gesandboxten iframe mit Inhalten desselben Origins gefährlich?
  67. 67.Wozu dient HSTS Preloading?
  68. 68.Welcher Umgang mit Drittanbieter-Skripten begrenzt Performance- und Sicherheitsrisiko am stärksten?
  69. 69.Warum sollte die CSP nach Möglichkeit als HTTP-Header statt als <meta>-Tag gesendet werden?
  70. 70.Was bedeutet ein Service Worker für die Auswirkung von XSS?
  71. 71.Was ist die wichtigste Grenze einer Web Application Firewall (WAF) gegen XSS?
  72. 72.Was ist die Grundidee des RAIL-Performancemodells?
  73. 73.Die Hero-Überschrift wird per Animation von opacity: 0 eingeblendet. Wie kann das LCP beeinflussen?
  74. 74.Warum schaden „Anti-Flicker“-Snippets clientseitiger A/B-Test-Werkzeuge oft dem LCP?
  75. 75.Warum profitiert das Laden einer beliebten Schrift von einem öffentlichen Font-CDN nicht mehr vom Cache anderer Seiten?