面试真题与回答讲解 第 13 页，共 52 页
浏览 OfferCC 面试真题与回答讲解第 13 页，查看解题思路、实现细节、追问和公开来源。
编程面试：实现 HMAC Webhook 签名校验
使用精确原始负载、时间戳、恒定时间比较和有界重放窗口安全验证请求。
系统设计面试：设计 CloudEvents 事件接入网关
处理 HTTP 事件规范化、租户隔离、去重、重试、模式演进和可观测的投递语义。
行为面试：如何在交付压力下守住隐私边界？
用 STAR 讲清你如何识别过度收集、提出可执行替代方案、协调交付与隐私风险，并用结果和复盘证明判断。
前端面试：如何用 CSS Custom Highlight API 实现搜索高亮？
围绕 Range、HighlightRegistry 与 ::highlight()，设计不改 DOM 结构的高亮、更新和无障碍回退。
后端面试：如何设计 OAuth 2.0 Step-Up Authentication Challenge？
基于 RFC 9470 设计资源服务器返回的认证挑战、细粒度 acr_values、重试闭环和令牌验证，区分产品策略与协议实现。
数据工程面试：如何用 t-digest 估算分位数并控制误差？
从流式数据约束推导 t-digest，解释尾部精度、合并策略、压缩参数与验证方法，避免把近似分位数当成精确排序。
产品经理面试：B2B SaaS 是否应该提供审计日志实时流？
从客户安全运营、事件模型、交付可靠性、隐私和成本出发，评估把审计日志推送到 SIEM 的产品边界与发布策略。
通用面试：HTTP 421 Misdirected Request 如何定位与安全重试？
从 authority、SNI、连接复用和代理路由解释 421，并设计不会重复副作用的重试与观测方案。
编程面试：把字符串变成回文的最少相邻交换
用双指针贪心证明、判断不可行输入，并安全实现 O(n²) 原地模拟。
系统设计面试：如何设计可安全重放的 Webhook 投递？
设计至少一次投递、持久化事件、签名、去重、重试和租户隔离的 Webhook 平台。
行为面试：如何回答“讲一次你不同意主管决定的经历”？
用可核验的 STAR 事实、影响分析和承诺执行，回答与主管意见不一致的行为面试题。文章给出不攻击个人的叙事结构、虚构示例与追问练习。
前端面试：如何评估 CSS if() 条件值函数？
从 MDN 与 CSS 规范出发，设计 if() 的条件顺序、else 回退、渐进增强与浏览器兼容方案。
后端面试：如何防御多授权服务器 OAuth Mix-Up？
基于 RFC 9207 的 iss 响应参数，设计多授权服务器场景下的 issuer 绑定、元数据校验、回调处理与迁移策略。
数据工程面试：如何设计可审计的数据质量隔离通道？
设计一条把无效记录隔离、计量、修复并安全重放的数据管道，区分丢弃、强制落库和 quarantine，并说明幂等、版本与发布门禁。
产品面试：是否应强制所有构建产物提供 Artifact Attestation？
用用户分层、风险模型、验证闭环和渐进迁移评估软件供应链证明功能的产品发布。
通用面试：HTTP 429 与 Retry-After 如何指导客户端重试？
从限流语义、Retry-After 解析、幂等性和退避抖动解释 429，避免重试放大过载。
算法面试：如何用区间 DP 求切割木棍的最小成本？
从最后一次切割推导区间动态规划，处理端点、切割顺序、复杂度和可证明的边界测试。
系统设计面试：如何把 Kafka 消费组迁移到协作式再平衡？
设计 Kafka 消费组从 eager 到 cooperative 再平衡的滚动迁移，覆盖兼容矩阵、分区所有权、提交和故障恢复。
如何用 STAR 讲清个人影响，又不夸大团队成果？
把结构化行为题回答从故事复述升级为证据链：明确个人决策、团队边界、结果指标与反思。
前端面试：WebAuthn largeBlob 能否替代服务端用户状态？
基于 WebAuthn Level 3 规范，分析 largeBlob 的读写流程、容量限制、兼容性与安全边界。
后端面试：如何设计 OAuth 2.0 的 JWT-Secured Authorization Request？
围绕 RFC 9101 的 Request Object，回答签名、加密、请求参数一致性、重放防护，以及 JAR 与 PAR、PKCE 的边界。
数据科学面试：如何用双重差分评估一次产品改动？
从处理组、对照组、平行趋势和分期上线条件出发，判断双重差分能否支持产品因果结论，并设计稳健性检查。
产品经理面试：SaaS 应把订阅权益与 Feature Flag 分开管理吗？
从客户承诺、实验效率、权限一致性和运营成本，判断订阅权益模型与 Feature Flag 的边界。
通用面试：如何向非技术利益相关者解释 SLI、SLO 与 SLA？
用用户体验、承诺边界和错误预算，把 SLI、SLO、SLA 讲成可执行的业务决策工具。