allway2
allway2

面向 JAVA 开发人员的 XSS（跨站点脚本）入门

跨站点脚本 (XSS) 攻击是针对受害者浏览器的恶意攻击。它注入攻击者创建的恶意脚本以窃取凭据、劫持用户会话或尝试在受害者的计算机上下载和安装其他恶意软件。它是网络上最常见的攻击之一。 来自浏览器的任何输入机制（包括表单和 URL 参数）都可用于插入有效负载，然后可以将其传输回浏览器。来自浏览器的任何输入都必须被视为潜在恶意。您可以使用 Reshift 免费扫描您的项目，以查找任何可能的跨站点脚本漏洞。 

XSS 影响

成功的跨站点脚本 (XSS) 攻击对基于 Web 的应用程序造成的若干影响。

这些包括：

  • 帐户劫持
  • 凭证收集
  • 远程命令执行
  • 敏感数据的暴露
  • 安装恶意软件

帐户劫持

这是 XSS 攻击的最坏结果。在这种情况下，XSS 攻击可以捕获用户会话 cookie，从而允许攻击者接管用户会话。一旦攻击者拥有会话，他们就可以更改有效用户可以做的任何事情，包括更改用户的帐户凭据以阻止所有者获得访问权限。或者，攻击者可以在用户不知情的情况下窃取甚至更改用户的数据。6

远程命令执行 (RCE)

远程命令执行 (RCE) 或命令注入是一种攻击，远程攻击者可以调用系统级命令。在这种情况下，代表用户执行的脚本的 XSS 交付然后可以根据支持框架（例如，将 PHP Backdoor 注入 WordPress）注入后门代码。13

凭证收集

另一种常用的 XSS 攻击机制会安装一个脚本，将毫无戒心的用户重定向到另一个站点，该站点似乎是他们所在站点的登录页面。只有经过仔细检查，用户才能确定他们正在查看的页面托管在攻击托管的站点上，并且看起来像他们所在的站点。进入恶意副本后，系统会提示用户输入其凭据。一旦受害者的凭据被获取，攻击者就可以登录用户的帐户、更改密码以及更改或公开敏感数据。12

敏感数据的暴露

一旦帐户被入侵，攻击者就拥有普通用户拥有的所有权限，包括访问他们的所有数据。根据敏感度，数据可能会出售给竞争对手、用于影响市场价格或在所有者不知情的情况下进行修改。

安装恶意软件

一旦攻击者控制了受害者的浏览器，安装恶意软件可能会出现多种情况。这些包括将受害者的计算机变成僵尸网络的奴隶，扫描受害者的网络，安装一个键盘记录器来记录每个键入的键，或者使计算机被用作进一步攻击的启动点

在 Java 中测试 XSS

开发人员对 XSS 的测试可以在开发期间执行，并且可以从黑盒（使用该功能）和白盒（审查代码）的角度进行。开发人员更加关注白盒。

开发人员测试可以包括：

  • 代码审查
  • 使用自动和手动辅助静态代码分析工具（查看reshift）
  • 识别不受信任的输入源
  • 识别从不受信任的来源到消费端点（接收器）的数据流
  • 确保从源到汇进行验证
  • 确保在传输到浏览器之前对来自不受信任来源的任何数据进行编码/转义

识别不受信任的输入

来自浏览器/客户端的任何内容都必须被视为不受信任，包括参数值、参数名称和 HTTP 标头。

输入参数值

经典的 XSS 攻击案例是输入的 HTTP 参数值由服务器处理、存储，然后在没有输入验证或输出编码/转义的情况下反射回浏览器客户端。

Java 特定的 XSS 示例

  • 服务器接收参数并返回 HTTP 请求的参数，并在响应的 HTML 中呈现。输入未验证，输出未编码或转义。

  • 预期的有效请求：

http://mysite.com?username=johnsmith
  • 恶意攻击： 
http://mysite.com?username=
  • 如果服务器直接在页面中渲染请求：


 欢迎使用我们的 Web 应用程序


欢迎 <%= request.getParameter("username")%>
  • 如果服务器直接在页面中渲染请求：


 欢迎使用我们的 Web 应用程序


欢迎 <%= request.getParameter("username")%>

  • 结果显示会话 cookie，表明该站点易受攻击。

  • 真正的攻击可以提供备用有效负载，通过将请求作为参数包含到另一台服务器来泄露会话 cookie，例如：

document.write('')

或者

  • 为了在 HTML 上下文中纠正这种反射型 XSS 攻击，我们的代码必须执行两件事。
    • 第一次输入验证（对于有效的用户名）和
    • 其次，在呈现它的上下文中显示之前，对这个不受信任的源进行编码。
  • 要执行输入验证，
    • 确定所有用户名必须遵守的预期字符。字符集，大写，小写，数字。确定强制格式并添加代码以确保提供的用户名与该格式匹配
      • 例如 /^[A-Za-z0-9]+(?:[ _-][A-Za-z0-9]+)*$/，假设用户名只能包含 ASCII 字母和数字，连字符、下划线和空格作为内部分隔符
    • 如果输入的格式有效，请确认系统中存在使用该用户名的用户？
  • 最后，在文档中呈现之前对输入进行编码，下面显示了 HTML 上下文的编码：


  Welcome to Our Web Application



Welcome <%= ESAPI.encoder().encodeForHTML(request.getParameter("username")) %>

存储型 XSS

  • 攻击载荷作为不受信任的输入提供，与反射 XSS 相同，但是服务器将攻击载荷存储在其后端数据库中
  • 例如，如果网站在 Web 表单中有评论部分怎么办。当用户单击提交时，HTML 可能如下所示：
POST /article/comment HTTP/1.1
Host: yourserver.com
Conent-length: 50

comment=I+like+your+website
  • 然后，每当访问者查看评论页面并构建呈现信息的页面时，服务器都会检索此评论。


  Welcome to Our Web Application


  
I like your website
  • 但是，如果攻击者提供此评论怎么办：
POST /article/comment HTTP/1.1
Host: yourserver.com
Conent-length: 50

comment=%3C%2Fdiv%3E%3Cscript%3Ealert(document.cookie)%3C%2Fscript%3E
  • 这将呈现为：


  Welcome to Our Web Application
  • 浏览此评论的任何用户都会在他们的浏览器中运行该脚本
  • 为了在 HTML 上下文中纠正这种存储型 XSS 攻击，我们的代码必须执行两件事。
    • 第一次输入验证（对于有效的用户名）和
    • 其次，在呈现它的上下文中显示之前，对这个不受信任的源进行编码。
  • 要执行输入验证，
    • 确定您的输入必须遵守的预期字符。字符集，大写，小写，数字。确定强制格式并添加代码以确保提供的用户名与该格式匹配
      • 例如 /^[A-Za-z0-9]+(?:[ _-][A-Za-z0-9]+)*$/ ，假设评论只能包含 ASCII 字母和数字，连字符、下划线和空格作为内部分隔符
  • 最后，在文档中呈现之前对输入进行编码，下面显示了 HTML 上下文的编码
protected void doGet(HttpServletRequest req, HttpServletResponse resp) {

  String comment = req.getParameter("comment");
  String encoded = ESAPI.encoder().encodeForHTML(comment);
   ..
}

DOM XSS

  • 在 DOM XSS 中，恶意内容通过修改浏览器的文档对象模型 (DOM) 环境中的内容来攻击受害者浏览器中的有效脚本。

  • 例如，也许有一个页面：

Choose your Region:
  • 普通用户可以输入预期值，例如：

http://www.thissite.com/page.html?default=APAC

  • 但是攻击者可以创建以下 URL 并将其发送给受害者并附上令人信服的消息：

http://www.thissite.com//page.html?default=

  • 与页面关联的脚本直接渲染攻击

  • 为了纠正 HTML 上下文中的 DOM XSS 攻击，我们的代码必须执行两件事。

    • 第一次输入验证（对于有效的用户名）和
    • 其次，在将其显示在渲染的上下文中之前，对这个不受信任的源进行编码。

  • 要执行输入验证，

    • 确定您的输入必须遵守的预期字符。字符集、大写、小写、数字等。确定强制格式并添加代码以确保提供的输入与该格式匹配
      • 例如，在这种情况下，期望是世界的特定区域，“EU”、“NA”、“SA”、“APAC”。在这种情况下，确保输入与有限列表匹配是微不足道的。

  • 最后，必须针对目标环境对不受信任的输入进行适当编码。由于这是一个影响 DOM 的目标，因此在插入 HTML 上下文之前，您必须 HTML Escape 和 JavaScript 转义不受信任的数据。29

在 Java 中预防和修复 XSS

修复和防止跨站脚本 (XSS) 攻击的通用最佳实践可以分为几类。类别不是非此即彼的解决方案，并且可以重叠以实现全面的深度防御。类别是：

  • 输入验证
  • 输出编码/转义
  • 内容安全政策
  • 安全标头
  • 使用现代 JS 前端
  • HTTPOnly Cookie 属性

输入验证

输入验证可用于防止多种不同的 Web 应用程序恶意攻击，包括 XSS。16 将所有外部输入视为不受信任，并验证接收到的数据是否已针对 已知良好语法和语义的白名单18进行测试。白名单优于黑名单。黑名单试图删除“已知的坏”字符（<、> 等），并且通常可以被顽固的有经验的攻击者破坏。正则表达式通常用于执行输入验证。

输出编码/转义

编码按照规则系统将数据从一种形式转换为另一种形式。 22 . 我们希望将 "dangerous characters" 可用于 XSS 攻击载荷的内容转换为安全的等价物。为了提供帮助，现有的安全编码项目专注于正确使用并避免与特定浏览器实现和晦涩的 javascript 规则相关的隐藏陷阱。

  • OWASP Java 编码器项目24
  • Microsoft 反跨站点脚本库23  ，它是 MS Web 保护库的一部分，
  • .NET 库 HTMLSanitizer 25 ](../References/Business-en.md)

应该避免创建自己的库，因为有许多与浏览器使用编码相关的复杂和深奥的规则，非专家可能会错过这些规则，这可能会导致漏洞。

请注意，根据数据插入响应页面的位置，正确的编码和转义是不同的。不同的上下文是：

  • HTML 上下文
    • 在普通 HTML 标记（例如 div）之间插入来自不受信任来源的数据
    • HTML 转义 &、<、>、“、' 和 /
  • HTML 简单属性上下文
    • 这种情况是指将来自不受信任的来源的数据插入到 HTML 标记的“简单”或“通用”属性中。这些不适用于下面列出的属性（如事件处理程序、src、href）
    • 确保所有属性都被引用（例如 name=”content”），因为没有引号的属性使攻击者更容易在页面中插入他们自己的 HTML（突破 HTML 上下文）
    • 对不受信任的数据进行编码，例如，使用 ESAPI encodeForHTMLAttribute 对给定的字符串进行编码，以便在 HTML 属性中使用安全输出28
  • HTML 事件处理程序上下文
    • 切勿将不受信任的数据放在事件处理程序中（例如，onmouseover）。尽管 HTML 编码可以防止 HTML 上下文中断，但 javascript 引擎仍将执行内容。

你可能感兴趣的:(java,xss,php)

  • 聊聊artemis的SlowConsumerReaperRunnable go4it
    序本文主要研究一下artemis的SlowConsumerReaperRunnableSlowConsumerPolicyactivemq-artemis-2.11.0/artemis-server/src/main/java/org/apache/activemq/artemis/core/settings/impl/SlowConsumerPolicy.javapublicenumSlowCo
  • java开发安卓和kotlin对比 哈哈皮皮虾的皮 javaandroidkotlin
    Java和Kotlin都是用于Android开发的编程语言，它们各自具有独特的特点和优势。以下是对Java和Kotlin在Android开发中的对比：一、语法与简洁性Java：Java的语法相对繁琐，需要编写较多的样板代码。例如，在Java中，每一行代码的末尾都需要一个分号来表示语句的结束。Kotlin：Kotlin的语法更为简洁，支持更多的语法糖，可以减少冗余的代码。在Kotlin中，换行符通常
  • Android Room使用方法与底层原理详解 你过来啊你 androidroom
    Room是一个强大的SQLite对象映射库，旨在提供更健壮、更简洁、更符合现代开发模式的数据库访问方式。核心价值：消除大量样板代码，提供编译时SQL验证，强制结构化数据访问，并流畅集成LiveData、Flow和RxJava以实现响应式UI。一、使用流程(Step-by-StepWorkflow)Room的使用遵循一个清晰的结构化流程：添加依赖：//build.gradle(Module)depe
  • Java中HashMap的实现原理详解
    HashMap是Java集合框架中的核心类，基于哈希表实现键值对（Key-Value）存储，提供O(1)时间复杂度的快速查找。以下从数据结构、哈希机制、冲突解决、扩容策略等角度详细解析其实现原理（基于Java8）。一、核心数据结构：数组+链表+红黑树transientNode[]table;//哈希桶数组staticclassNode{//链表节点finalinthash;finalKkey;Vv
  • JAVA学习-行为抽象和Lambda.Lambda表达式 守护者170 java学习java学习开发语言
    行为抽象和Lambda表达式是Java8引入的新特性，用于简化代码和提高代码的可读性。一、概述、特点、使用方法以及与其他比较和高级应用的说明：1.行为抽象：它是指将一段代码抽象为一种功能或行为，以便在需要时可以传递给其他方法或对象。行为抽象通常通过接口来定义，其中接口包含一个或多个抽象方法来表示不同的功能。2.Lambda表达式：Lambda表达式是一种简洁的语法，用于实现行为抽象。它可以替代匿名
  • CodeBuild构建文件复制到特定目录处理 亚林瓜子 linux运维服务器
    version:0.2phases:install:runtime-versions:java:corretto17pre_build:commands:-mvn--versionbuild:commands:-mvnclean&&mvnpackage-Dmaven.test.skip=truepost_build:commands:-mkdir-ppackaged-artifact/.ebext
  • 牛客 - 倒置字符串(java)
    题目解题思路解题代码题链接题目解题思路解题代码importjava.util.*;publicclassMain{//定义翻转字符数组的方法publicstaticvoidreverse(char[]arr,intstart,intend){while(start
  • Gson、Fastjson 和 Jackson 对比解析 小张0.0 JavaWebjson
    目录1.Gson(Google)基本介绍：核心功能：特点：使用场景：2.Fastjson(Alibaba)基本介绍：核心功能：特点：使用场景：3.Jackson基本介绍：核心功能：特点：使用场景：4.对比总结5.选择建议Gson、Fastjson和Jackson这三种都是Java生态中广泛使用的JSON处理库，用于实现Java对象与JSON数据之间的相互转换。在项目中使用不同的方法即可调用不同的J
  • 牛客-倒置字符串 小张0.0 OJ算法题题目心得算法leetcode动态规划
    1.题目描述2.题目链接倒置字符串_牛客题霸_牛客网3.代码解答importjava.util.Scanner;publicclassMain{publicstaticvoidmain(String[]args){Scannerscanner=newScanner(System.in);Strings=scanner.nextLine();//按空格分割单词（处理多个连续空格的情况，split("
  • 使用Meteor构建实时仪表板的完整指南 杏花朵朵 Meteor实时仪表板Vue组件路由设置集合集成
    背景简介随着现代Web应用对实时性和响应性的要求不断提高，开发人员需要使用强大的框架来构建能够满足这些需求的应用程序。Meteor作为一个全栈JavaScript框架，提供了一种快速开发实时Web应用的方法。本文将通过构建一个实时仪表板项目，详细探讨Meteor的特点和使用方法。Meteor简介Meteor是一个全栈JavaScript框架，用于构建Web应用程序。它的主要元素包括Web客户端、基
  • 完善Meteor应用的NPM集成——meteorhacks/npm项目推荐 尤峻淳Whitney
    完善Meteor应用的NPM集成——meteorhacks/npm项目推荐1.项目基础介绍及编程语言meteorhacks/npm是一个开源项目，旨在为Meteor应用提供完整的NPM模块集成。该项目通过允许在Meteor应用内部使用NPM模块，极大地扩展了Meteor应用的功能性和灵活性。该项目的主要编程语言是JavaScript。2.项目核心功能项目的核心功能是提供一个桥接器，让开发者可以在M
  • node.js详解 思静鱼 node.jsnode.js
    文章目录一、什么是Node.js？二、Node.js的核心组成三、Node.js的运行机制（事件循环）四、常见内置模块（无需安装）五、应用场景六、npm包生态七、Node.js适合哪些人？八、优缺点总结一、什么是Node.js？Node.js是一个基于ChromeV8引擎的JavaScript运行时，用于构建高性能网络应用。由RyanDahl于2009年发布。允许你在服务器端使用JavaScrip
  • 48Days-Day03 | 删除公共字符，两个链表的第一个公共结点，mari和shiny TinaAmber 笔试训练48Days链表java算法
    删除公共字符删除公共字符_牛客题霸_牛客网算法思路直接哈希，把第二个字符塞集合里面，遍历第一个，只要在集合里面有的就跳过代码importjava.util.HashSet;importjava.util.Scanner;publicclassMain{publicstaticvoidmain(String[]args){Scannerscan=newScanner(System.in);Strin
  • 面试实战，问题一，讲一下Springboot的作用
    SpringBoot框架的主要作用和功能SpringBoot是由Pivotal团队开发的一个开源Java框架，旨在显著简化基于Spring框架的应用程序开发过程。它通过提供一系列自动化工具和约定，帮助开发者快速构建独立、生产就绪的应用程序。下面我将逐步介绍其主要作用和核心功能，确保回答清晰易懂。主要作用简化Spring应用程序开发：SpringBoot的核心目标是降低Spring框架的入门门槛和配
  • 面试挂在阿里，庆幸拿到网易offer，一位三年Java岗面试总，细节如下 小迁不秃头
    前言15年毕业到现在有三年多了，最近去面试了阿里集团（菜鸟网络，蚂蚁金服），网易，滴滴，点我达，最终收到点我达，网易offer，蚂蚁金服二面挂掉，菜鸟网络一个月了还在流程中...最终有幸去了网易。但是要特别感谢点我达的领导及HR，真的非常非常好，很感谢他们一直的关照和指导。面试整体事项1.简历要准备好，联系方式一定要正确清晰醒目，项目经历按照时间倒序阐述，注意描述自己在项目中承担的职责，简历的模板
  • tp5 model 使用
    在thinkphp3.X的时候我们经常使用M，D方法实例化一个model，然后通过model对数据进行增删改查操作。在tp5的时候，如果再想用上面的方法，必须先定义model，刚开始的时候怎么定义都说找不到类，后来不知道怎么回事就好了，例如数据库中有表user，在application\index\model目录下建立文件User.php,然后里面这样写几个关键点：一定要写usethink\Mod
  • Selenium+Java 自动化测试入门到实践：从环境搭建到元素操作 yy鹈鹕灌顶 seleniumjava测试工具
    在自动化测试领域，Selenium凭借其强大的跨浏览器兼容性和灵活的API，成为Web应用测试的首选工具。而Java作为一门稳定且广泛应用的编程语言，与Selenium结合能构建出高效、可维护的自动化测试框架。本文将从环境搭建开始，逐步介绍Selenium+Java的核心用法，帮助新手快速上手。一、环境搭建：让工具跑起来1.安装Java开发环境Selenium的Java客户端需要依赖JDK，建议安
  • android单个页面切换_Android实现界面切换的两种方式 weixin_39939918 android单个页面切换
    在初学Android开发过程中，一定会遇到实现两个界面互相切换的问题，有两种方法来实现这个功能，小编带大家一起学习一下；这种方法严格意义上不算是界面切换(纯属小编愚见)，因为它只是重新设置了一下界面的布局文件；比如我们在eclipse中新创建一个项目工程，会默认给我们两个文件，一个为MainActivity.java，另一个就是activity_main.xml，大家可以这样理解，MainActi
  • springboot 不加载mybatiesPlus的mapper.xml文件 的解决方法 奇纳尼 mapper.xmlmybatiesPlusspringboot
    1:在pom.xml中加入src/main/java**/*.xmlfalse2:在application.properties中加入#配置mapperxml文件的路径,这个配置以后mybaties的xml文件就能被编译加载，还需要在pom.xml中配置，这个项目是父工程service#的pom.xml加的配置，，两个配置缺一不可mybatis-plus.mapper-locations=clas
  • Kafka单条消息长度限制详解及Java实战指南
    在分布式消息系统中，Kafka以其高吞吐、低延迟的特性成为主流选择。但很多开发者在使用时会遇到一个常见问题：单条消息长度限制。本文将深入剖析Kafka的消息大小限制机制，并提供Java解决方案。一、Kafka消息长度限制核心参数Kafka通过多级配置控制消息大小，关键参数如下：配置项作用范围默认值说明message.max.bytesBroker1MB(1048588)Broker允许的最大消息尺
  • Kafka 如何优雅实现 Varint 和 ZigZag 编码
    ByteUtils是Kafka中一个非常基础且核心的工具类。从包名common.utils就可以看出，它被广泛用于Kafka的各个模块中。它的主要职责是提供一套高效、底层的静态方法，用于在字节缓冲区(ByteBuffer)、字节数组(byte[])以及输入/输出流(InputStream/OutputStream)中读写Java的基本数据类型。ZigZag编解码过程的数学原理详解康托尔对角线映射。
  • Java IO流
    目录一、IO流的分类（一）字节流1、InputStreamInputStream类中的成员方法FileInputStream的构造方法read()和read(byte[]b)代码示例：2、利用Scanner进行字符读取代码示例：3、OutputStreamOutputStream中的成员方法FileOutputStream代码示例示例一：示例二：示例三：示例四：示例五：追加写：（二）字符流1、Re
  • 学习Java对象的使用 颵麏
    一、学习目的对象是整个面向对象程序设计的理论基础，由于面向对象程序中使用类来创建对象,所以可以将对象理解为一种新型的变量，它保存着一些比较有用的数据,但可以要求它对自身进行操作。对象之间靠互相传递消息而相互作用。消息传递的结果是启动了方法,完成一-些行为或者修改接收消息的对象的属性。学会如何使用对象对面向对象编程思想的培养有很大帮助二、学习内容1，对象创建后就可以访问对象成员访问方法是对象名.对象
  • LeetCode 25. K 个一组翻转链表 java题解
    反转链表进阶版题目https://leetcode-cn.com/problems/reverse-nodes-in-k-group/代码/***Definitionforsingly-linkedlist.*publicclassListNode{*intval;*ListNodenext;*ListNode(){}*ListNode(intval){this.val=val;}*ListNod
  • PHP continue与break区别 苏康申
    Modelwhile($foo){<--------------------┐continue;---goesbackhere--┘break;-----jumpshere----┐}|<--------------------┘Example$i=10;while(--$i){if($i==8){continue;}if($i==5){break;}echo$i."\n";}输出976
  • Java 正则表达式详解 BigData_Hubert java基础正则表达式regexjava
    正则表达式乍一看上去是一堆繁琐的、无规律的、令人头大的字符串，但是其简单易学，适用于各种语言；当你了解他之后，你就会知道它的强大。很多程序设计语言都支持用正则表达式来进行字符串的操作。正则表达式简介初识正则表达式正则表达式是使用单个字符串来描述、匹配一系列规则的字符串。正则表达式并不仅限于某一种语言（几乎所有的语言都有字符串），在每种语言中有细微的差别。一个正则表达式字符串：^p[a-zA-Z_]
  • JAVA API (三)：从基础爬虫构建到带条件数据提取 —— 详解 URL、正则与爬取策略 钮祜禄.爱因斯晨 JAVA学习笔记java爬虫开发语言
    个人主页-爱因斯晨文章专栏-Java学习相关文章：API(一)相关文章：API（二）持续努力中，感谢支持一、爬虫基础（一）爬虫的基本概念定义：爬虫是按照一定规则自动抓取网络信息的程序，在Java环境下，可借助URL、HttpURLConnection等API来实现。应用场景：广泛应用于数据采集，如电商平台的价格监控、各类新闻的聚合；还可用于信息分析，如舆情监测等。（二）Java实现简单爬虫的步骤建
  • 【Redis】StringRedisTemplate 和 RedisTemplate 的区别 星星点点洲 redis缓存
    StringRedisTemplate和RedisTemplate是SpringDataRedis提供的两种用于操作Redis的模板类，它们的核心区别在于序列化方式和操作的数据类型。以下是两者的主要区别和使用建议：✅1.数据类型支持类名支持的数据类型说明RedisTemplate支持所有Redis数据结构（如String、Hash、List、Set、ZSet）可以操作任意Java对象，但需要手动配
  • 从Java到大模型应用：10天拿下5个Offer，我的转型逆袭之路 sky丶Mamba 感悟java开发语言
    前言：本来准备5月发的，感觉现在的行情没有前几个月那么好了，培训机构出来了很多相关的人，然后就是有很多人也发现了这个方向不错，希望看到这篇文章的你能得到一些启发，个人真实经历。记住AI大模型是锦上添花，之前的那些架构能力，软件开发能力，编程思维才是内核。背景：Java开发的困境作为一名2年经验的Java程序员，我深刻感受到传统Java开发市场的“内卷”和瓶颈。根据2024年行业数据：Java岗位竞
  • 49、Jython 类、实例与继承深度解析 皮肤PHP Jython类实例
    Jython类、实例与继承深度解析1.封装、抽象与信息隐藏1.1基本概念封装是将多个实体组合成一个新的、通常为更高级的实体，如类。类将数据和相关功能封装到一个对象中，同时通过组织功能简化接口并隐藏实现细节，提供抽象。信息隐藏则是为了简化，只向用户展示他们需要看到的内容。Java使用如private和protected等属性权限修饰符来加强抽象，就像设置了“电子围栏”。而Jython的隐私机制则较为
  • TOMCAT在POST方法提交参数丢失问题 357029540 javatomcatjsp
    摘自http://my.oschina.net/luckyi/blog/213209 昨天在解决一个BUG时发现一个奇怪的问题，一个AJAX提交数据在之前都是木有问题的，突然提交出错影响其他处理流程。 检查时发现页面处理数据较多，起初以为是提交顺序不正确修改后发现不是由此问题引起。于是删除掉一部分数据进行提交，较少数据能够提交成功。 恢复较多数据后跟踪提交FORM DATA ，发现数
  • 在MyEclipse中增加JSP模板 删除-2008-08-18 ljy325 jspxmlMyEclipse
    在D:\Program Files\MyEclipse 6.0\myeclipse\eclipse\plugins\com.genuitec.eclipse.wizards_6.0.1.zmyeclipse601200710\templates\jsp  目录下找到Jsp.vtl，复制一份，重命名为jsp2.vtl,然后把里面的内容修改为自己想要的格式，保存。 然后在 D:\Progr
  • JavaScript常用验证脚本总结 eksliang JavaScriptjavaScript表单验证
         转载请出自出处：http://eksliang.iteye.com/blog/2098985        下面这些验证脚本，是我在这几年开发中的总结，今天把他放出来，也算是一种分享吧，现在在我的项目中也在用！包括日期验证、比较，非空验证、身份证验证、数值验证、Email验证、电话验证等等...! &nb
  • 微软BI（4） 18289753290 微软BI SSIS
    1） Q:查看ssis里面某个控件输出的结果：  A MessageBox.Show(Dts.Variables["v_lastTimestamp"].Value.ToString()); 这是我们在包里面定义的变量 2):在关联目的端表的时候如果是一对多的关系，一定要选择唯一的那个键作为关联字段。 3) Q：ssis里面如果将多个数据源的数据插入目的端一
  • 定时对大数据量的表进行分表对数据备份 酷的飞上天空 大数据量
    工作中遇到数据库中一个表的数据量比较大，属于日志表。正常情况下是不会有查询操作的，但如果不进行分表数据太多，执行一条简单sql语句要等好几分钟。。   分表工具：linux的shell + mysql自身提供的管理命令 原理：使用一个和原表数据结构一样的表，替换原表。   linux shell内容如下： =======================开始 
  • 本质的描述与因材施教 永夜-极光 感想随笔
             不管碰到什么事,我都下意识的想去探索本质,找寻一个最形象的描述方式。        我坚信,世界上对一件事物的描述和解释,肯定有一种最形象,最贴近本质,最容易让人理解        &
  • 很迷茫。。。 随便小屋 随笔
    小弟我今年研一，也是从事的咱们现在最流行的专业（计算机）。本科三流学校，为了能有个更好的跳板，进入了考研大军，非常有幸能进入研究生的行业（具体学校就不说了，怕把学校的名誉给损了）。   先说一下自身的条件，本科专业软件工程。主要学习就是软件开发，几乎和计算机没有什么区别。因为学校本身三流，也就是让老师带着学生学点东西，然后让学生毕业就行了。对专业性的东西了解的非常浅。就那学的语言来说
  • 23种设计模式的意图和适用范围 aijuans 设计模式
    Factory Method 意图 定义一个用于创建对象的接口，让子类决定实例化哪一个类。Factory Method 使一个类的实例化延迟到其子类。 　　适用性 当一个类不知道它所必须创建的对象的类的时候。 　　当一个类希望由它的子类来指定它所创建的对象的时候。 　　当类将创建对象的职责委托给多个帮助子类中的某一个，并且你希望将哪一个帮助子类是代理者这一信息局部化的时候。 Abstr
  • Java中的synchronized和volatile aoyouzi javavolatilesynchronized
    说到Java的线程同步问题肯定要说到两个关键字synchronized和volatile。说到这两个关键字，又要说道JVM的内存模型。JVM里内存分为main memory和working memory。 Main memory是所有线程共享的，working memory则是线程的工作内存，它保存有部分main memory变量的拷贝，对这些变量的更新直接发生在working memo
  • js数组的操作和this关键字 百合不是茶 js数组操作this关键字
    js数组的操作;   一:数组的创建: 1、数组的创建 var array = new Array();　//创建一个数组 var array = new Array([size]);　//创建一个数组并指定长度，注意不是上限，是长度 var arrayObj = new Array([element0[, element1[, ...[, elementN]]]
  • 别人的阿里面试感悟 bijian1013 面试分享工作感悟阿里面试
    原文如下：http://greemranqq.iteye.com/blog/2007170         一直做企业系统，虽然也自己一直学习技术，但是感觉还是有所欠缺，准备花几个月的时间，把互联网的东西，以及一些基础更加的深入透析，结果这次比较意外，有点突然，下面分享一下感受吧！    &nb
  • 淘宝的测试框架Itest Bill_chen springmaven框架单元测试JUnit
    Itest测试框架是TaoBao测试部门开发的一套单元测试框架，以Junit4为核心， 集合DbUnit、Unitils等主流测试框架，应该算是比较好用的了。 近期项目中用了下，有关itest的具体使用如下： 1.在Maven中引入itest框架： <dependency>   <groupId>com.taobao.test</groupId&g
  • 【Java多线程二】多路条件解决生产者消费者问题 bit1129 java多线程
    package com.tom; import java.util.LinkedList; import java.util.Queue; import java.util.concurrent.ThreadLocalRandom; import java.util.concurrent.locks.Condition; import java.util.concurrent.loc
  • 汉字转拼音pinyin4j 白糖_ pinyin4j
    以前在项目中遇到汉字转拼音的情况，于是在网上找到了pinyin4j这个工具包，非常有用，别的不说了，直接下代码：   import java.util.HashSet; import java.util.Set; import net.sourceforge.pinyin4j.PinyinHelper; import net.sourceforge.pinyin
  • org.hibernate.TransactionException: JDBC begin failed解决方案 bozch ssh数据库异常DBCP
    org.hibernate.TransactionException: JDBC begin failed:     at org.hibernate.transaction.JDBCTransaction.begin(JDBCTransaction.java:68)    at org.hibernate.impl.SessionImp
  • java-并查集（Disjoint-set）-将多个集合合并成没有交集的集合 bylijinnan java
    import java.util.ArrayList; import java.util.Arrays; import java.util.HashMap; import java.util.HashSet; import java.util.Iterator; import java.util.List; import java.util.Map; import java.ut
  • Java PrintWriter打印乱码 chenbowen00 java
    一个小程序读写文件，发现PrintWriter输出后文件存在乱码，解决办法主要统一输入输出流编码格式。 读文件： BufferedReader 从字符输入流中读取文本，缓冲各个字符，从而提供字符、数组和行的高效读取。 可以指定缓冲区的大小，或者可使用默认的大小。大多数情况下，默认值就足够大了。 通常，Reader 所作的每个读取请求都会导致对基础字符或字节流进行相应的读取请求。因
  • [天气与气候]极端气候环境 comsci 环境
          如果空间环境出现异变...外星文明并未出现,而只是用某种气象武器对地球的气候系统进行攻击,并挑唆地球国家间的战争,经过一段时间的准备...最大限度的削弱地球文明的整体力量,然后再进行入侵......      那么地球上的国家应该做什么样的防备工作呢?  &n
  • oracle order by与union一起使用的用法 daizj UNIONoracleorder by
    当使用union操作时，排序语句必须放在最后面才正确，如下： 只能在union的最后一个子查询中使用order by，而这个order by是针对整个unioning后的结果集的。So： 如果unoin的几个子查询列名不同，如 Sql代码  select supplier_id, supplier_name  from suppliers  UNI
  • zeus持久层读写分离单元测试 deng520159 单元测试
    本文是zeus读写分离单元测试,距离分库分表,只有一步了.上代码: 1.ZeusMasterSlaveTest.java package com.dengliang.zeus.webdemo.test; import java.util.ArrayList; import java.util.List; import org.junit.Assert; import org.j
  • Yii 截取字符串(UTF-8) 使用组件 dcj3sjt126com yii
    1.将Helper.php放进protected\components文件夹下。 2.调用方法：   Helper::truncate_utf8_string($content,20,false);   //不显示省略号  Helper::truncate_utf8_string($content,20);  //显示省略号  &n
  • 安装memcache及php扩展 dcj3sjt126com PHP
    安装memcache    tar zxvf memcache-2.2.5.tgz     cd memcache-2.2.5/     /usr/local/php/bin/phpize (?)    ./configure --with-php-confi
  • JsonObject 处理日期 feifeilinlin521 javajsonJsonOjbectJsonArrayJSONException
        写这边文章的初衷就是遇到了json在转换日期格式出现了异常 net.sf.json.JSONException: java.lang.reflect.InvocationTargetException  原因是当你用Map接收数据库返回了java.sql.Date 日期的数据进行json转换出的问题话不多说  直接上代码  &n
  • Ehcache（06）——监听器 234390216 监听器listenerehcache
    监听器          Ehcache中监听器有两种，监听CacheManager的CacheManagerEventListener和监听Cache的CacheEventListener。在Ehcache中，Listener是通过对应的监听器工厂来生产和发生作用的。下面我们将来介绍一下这两种类型的监听器。  
  • activiti 自带设计器中chrome 34版本不能打开bug的解决 jackyrong Activiti
      在acitivti modeler中，如果是chrome 34，则不能打开该设计器，其他浏览器可以， 经证实为bug，参考 http://forums.activiti.org/content/activiti-modeler-doesnt-work-chrome-v34 修改为，找到 oryx.debug.js 在最头部增加 if (!Document.
  • 微信收货地址共享接口-终极解决 laotu5i0 微信开发
       最近要接入微信的收货地址共享接口，总是不成功，折腾了好几天，实在没办法网上搜到的帖子也是骂声一片。我把我碰到并解决问题的过程分享出来，希望能给微信的接口文档起到一个辅助作用，让后面进来的开发者能快速的接入，而不需要像我们一样苦逼的浪费好几天，甚至一周的青春。各种羞辱、谩骂的话就不说了，本人还算文明。    如果你能搜到本贴，说明你已经碰到了各种 ed
  • 关于人才 netkiller.github.com 工作面试招聘netkiller人才
    关于人才 每个月我都会接到许多猎头的电话，有些猎头比较专业，但绝大多数在我看来与猎头二字还是有很大差距的。 与猎头接触多了，自然也了解了他们的工作，包括操作手法，总体上国内的猎头行业还处在初级阶段。 总结就是“盲目推荐，以量取胜”。 目前现状 许多从事人力资源工作的人，根本不懂得怎么找人才。处在人才找不到企业，企业找不到人才的尴尬处境。 企业招聘，通常是需要用人的部门提出招聘条件，由人
  • 搭建 CentOS 6 服务器 - 目录 rensanning centos
    (1) 安装CentOS ISO（desktop/minimal）、Cloud（AWS/阿里云）、Virtualization（VMWare、VirtualBox） 详细内容 (2) Linux常用命令 cd、ls、rm、chmod...... 详细内容 (3) 初始环境设置 用户管理、网络设置、安全设置...... 详细内容 (4) 常驻服务Daemon
  • 【求助】mongoDB无法更新主键 toknowme mongodb
      Query query = new Query();          query.addCriteria(new Criteria("_id").is(o.getId()));                &n
  • jquery 页面滚动到底部自动加载插件集合 xp9802 jquery
    很多社交网站都使用无限滚动的翻页技术来提高用户体验，当你页面滑到列表底部时候无需点击就自动加载更多的内容。下面为你推荐 10 个 jQuery 的无限滚动的插件： 1. jQuery ScrollPagination jQuery ScrollPagination plugin 是一个 jQuery 实现的支持无限滚动加载数据的插件。 2. jQuery Screw S