securitypaper
securitypaper

交互式应用安全测试(IAST)学习笔记

啥叫IAST?

交互式应用程序安全测试（IAST）是 2012 年 Gartner 公司提出的一种新的应用程序安全测试方案，通过代理和在服务端部署的Agent 程序，收集、监控 Web 应用程序运行时请求数据、函数执行，并与扫描器端进行实时交互，高效、准确的识别安全漏洞，同时可准确确定漏洞所在的代码文件、行数、函数及参数。- 来源信通院 研发运营安全白皮书-2020年

为啥需要它?

新技术的出现，是为了解决老技术历史遗留问题，IAST对应的老技术就是SAST和DAST
传统的应用安全测试主要包括SAST（静态应用安全测试）和DAST（动态应用安全测试）。
SAST对应用程序源代码进行白盒分析。分析是在代码的静态视图上运行的，这意味着代码在被检测时并没有运行，SAST的误报率无法得到有效控制，并且难以适用处于生产阶段的系统。
DAST对应用进行黑盒测试，无法访问代码细节。DAST产品不用关注底层的技术和平台，因此使用度更广泛，准确率也有不错的保障。但DAST的技术特性决定了其高漏报率的结果，且无法应用于应用的研发阶段。

而如今，作为入选Gartner十大信息安全技术的IAST（交互式安全测试），结合了SAST和DAST的优点，低误报率和高检出率同时得到了保证。灰盒测试的特性使IAST可以有效地应用于从开发到生产的全流程当中，让安全测试与SDLC无缝结合。

看到上面这段描述没? 老的技术有问题，需要新的技术来顶，此段内容来源悬镜灵脉IAST介绍

IAST原理及优缺点?

IAST检测原理

基于开发语言自身的插桩技术，在软件运行过程中采用污点传播技术跟踪用户输入数据(污点)执行流程，来检查安全漏洞。

程序插桩

程序插桩?到底啥是插桩?
插桩是一种测试程序性能、检测错误、获取程序执行信息的技术(来源IBM，及维基百科)
插桩技术(Program Instrumentation)最早由J.C. Huang 在1978年发表到IEEE的《Program Instrumentation
and Software Testing》提出的。在保证被测程序原有逻辑完整性的基础上在程序中插入一些探针(probe),即添加一些代码，获得程序的控制流和数据流信息。例如通过自动工具或手动，在函数执行前后插入读取计时器的代码，获取函数执行时间。

可见，程序插桩是一项有着悠久历史的技术，主要应用在软件测试中，其实就是我们比较熟悉的测试方法，比如我们在源代码的函数执行前打印当前时间，在函数之后再次打印时间，进而计算函数的执行时间，找出影响软件性能的函数，就是源代码级别的程序插桩的一种应用。
在安全领域最早使用程序插桩技术的，目前没有一个统一说法，2012年鸟哥编写的检测php代码安全漏洞PHP taint 0.0.1，是我知道的第一个基于程序插桩技术检测安全漏洞的工具。

都这里就没有办法继续展开了，因为每种语言的插桩都不一样，与语言自身实现关系太强，比较底层，已经大大超出笔者的认知了，逃逃逃

IAST优点

  • 零成本对接功能测试流程
    号称几乎零成本接入到功能测试流程，就是将IAST的agent内置到功能测试机的装机镜像中，这样搭建一个测试环境就有IAST检测能力。这是产品宣传的介绍，但实际使用时，还需要考虑
    怎样保证装机覆盖度?
    怎样无缝覆盖新创建的镜像，怎样检测非镜像安装的环境，怎样保证IAST运行正常
    怎样保证每个测试环境所有的功能模块都是最新的?
    报警处理怎么找到对应的修复人？
    这些问题都是与具体的使用场景有关系，需要在实施前进行仔细思考，否则IAST对接后，无法达到理想效果，需要返工处理

  • 能够覆盖全业务场景
    传统动态应用安全测试(DAST)很难覆盖使用一次Token，或者有人机校验的场景，而IAST基于测试的流量，可以覆盖所有场景

  • 报警误报率极低
    IAST的实际检测方式与人工代码审计的流程基本一致，可以说IAST是将安全专家审计代码的流程进行了自动化，基于获得的软件内部数据流和控制流多种数据综合判定是否存在安全漏洞，误报率是比较低。

  • 代码级漏洞详情
    这个比较好理解，在具体检测到漏洞的代码处，可以记录问题代码的文件、行号、用户输入、函数调用栈等详细信息

  • 赋能研发和测试
    是最好的赋能研发、测试工程师的工具，使其具有安全专家的能力

  • 降低漏洞修复成本
    在研发和测试阶段检测的漏洞，研发可以及时修复，对于成本降低显而易见。

  • 安全适度左移的最佳方案
    安全左移被Gartner提出后，受到热捧，是符合企业软件开发的诉求，但安全怎样左移却没有一个统一标准，有些企业把安全左移的怨声载道，成倍的增加了研发的负担，将研发部和安全部搞的水火不容，是一种典型性的步子跨的太大了。而IAST的出现应该可以说，安全左移的最佳实践，

IAST缺点

  • IAST语言强相关的
    IAST是基于开发语言自身提供的插桩技术进行漏洞检测，语言对插桩的支持成为IAST先决条件，并非所有开发语言都对该技术有很好的支持 ，可以确认 Java、Python、PHP、Go 应该是有插桩技术

  • IAST覆盖度依赖测试覆盖度
    IAST一般是基于功能测试人员的测试流量，因此IAST漏洞检测覆盖度依赖于功能测试的覆盖度

  • 对系统性能有影响
    IAST的实现需要在不改变原有代码逻辑的基础上，则原代码特定位置添加检测探针，整体上增加了代码量，在系统运行时，增加额外的开销，进而影响整体性能 ，基于洞态在java语言的性能测试Java Agent | 洞态文档 (dongtai.io)，100并发下，性能损耗39%(供参考，具体的性能影响，与环境依赖比较大）

  • 不适合乙方工程师
    IAST需要在软件环境中部署额外的agent，因此不适用乙方工程师给甲方企业做黑盒测试的场景，这种场景下，工程师无法接触到源代码或部署环境。

怎么用IAST?

IAST未来?

个人感觉IAST是比较有未来的在甲方安全测试中，如前所述，IAST有这种低误报的特性。
同时，看到有些厂商如
默认雳鉴IAST 已经能够检测逻辑漏洞了，原文"可对常见风险进行检测，且可利用专利级的检测方式，对水平越权、垂直越权等逻辑漏洞进行自动化测试"
开源网安灰盒安全测试平台- DevSecOps|IAST灰盒|灰盒测试|应用安全 (seczone.cn)也介绍"支持业务逻辑漏洞检测"
虽然目前我还没有理解他们具体怎样检测的逻辑漏洞，但相信IAST针对可以在逻辑漏洞检测方向有所突破，成为超越SAST和DAST绝对优势。

IAST相关产品

IAST是依赖于语言自身的插桩技术，因此与开发语言强相关，但看了大部分IAST产品，除开源的洞态外，基本上没有说支持啥语言，这也许就是中国网络安全产品的特色，不管用户啥环境啥场景，我的产品都行，是在不行也有0.1%能够覆盖，最终结果可想而知。在不就是我也不写清楚，想要详情请联系商务，商务左转右转，了解了到在反馈给你，然后就是每天/周跟进你是否有需求，是否需要测试，是否有计划(预算), 是否采购,让你最后买买买，你不得不删删删(联系方式)。
因此对于IAST产品的分类应该从厂商产品和语言两个方面进行比较。

最后对IAST做个总结

一句话(总结): IAST将手动安全测试变成了自动化
两句话(二层展开):
对于管理者:更加关心投入与产出，最终预期，所以可以从整个角度展开
对于技术迷:可以从实现原理角度展开
最终两种结合，形成二层介绍
IAST是利用语言自身的插桩技术，在语言内部跟踪数据执行流程，实时发现安全漏洞，具有高检出、低误报的优势，是安全适度左移最佳实践
三句话(三层扩展):
这个更加泛的角度，如插桩的产生背景，用途。IAST产品对比，优势，未来等
IAST是利用语言自身的插桩技术，在语言内部跟踪数据执行流程，实时发现安全漏洞，集成了SAST和DAST工具的优点，具有高检出、低误报的优势，是安全适度左移最佳实践, 在互联网、银行等行业得到了普遍应用，目前除检测传统安全漏洞外，能够检测权限等逻辑漏洞

参考文档

(Program Instrumentation and Software Testing (程序插桩和软件测试) 英文版 在线下载,免费下载 github5安全文库
instrumentation （插桩）技术 比较好的介绍
(IBM Source code instrumentation overview -IBM 源代码插桩技术概述-主要讲插桩的额外开销
J.C. Huang’s 程序插桩之父的网站
J.C. Huang’s 程序插桩之父的介绍
信通院 研发运营安全白皮书-2020年 http://www.github5.com/view/266

你可能感兴趣的:(软件开发,学习,网络,大数据)

  • 机器学习Pandas_learn4 XW-ABAP 机器学习机器学习pandas人工智能
    importpandasaspddefcalculate_goods_covariance():#定义商品销售数据字典goods_sales_data={"时期":["一期","二期","三期","四期"],"苹果":[15,16,3,2],"橘子":[12,14,16,18],"石榴":[11,8,7,1]}#将字典转换为DataFrame对象goods_dataframe=pd.DataFra
  • DBA（数据库管理员）常用的 Linux 命令 笑远 dbalinux数据库
    DBA（数据库管理员）常用的Linux命令作为数据库管理员（DBA），熟练掌握Linux命令对于日常的数据库管理、维护和故障排除至关重要。以下是分类整理的一些常用Linux命令，涵盖文件管理、进程管理、性能监控、网络管理等多个方面，帮助DBAs高效地完成工作。1.文件和目录管理列出文件和目录ls：列出目录内容。ls-l：以长格式显示详细信息。ls-a：显示所有文件，包括隐藏文件。ls-la/hom
  • oracle 01476,GoldenGate 常见错误分析（一） 来来来看看 oracle01476
    (1)解决GoldenGate错误的一个关键点就是通过错误分析工具(包括report文件，ggserr.logdiscard文件logdump工具，GGSCI命令行)确定错误的根源是哪个组件引起的。系统或者网络？数据库报错或者应用报错？GoldenGate安装报错？GoldenGate的某个进程报错？GoldenGate的参数配置文件报错？SQL语句或者存储过程报错？然后再确定错误的原因，逐个排查
  • 用 AI 提高开发效率：自动生成代码、优化 SQL 查询、写测试用例 Js_x 人工智能sql测试用例
    引言人工智能（AI）正在深刻改变软件开发行业。从代码自动补全到SQL查询优化，再到自动化测试，AI工具已经成为开发者提高生产力的重要助手。本文将介绍ChatGPT、GitHubCopilot、Tabnine等AI编程工具的实际应用，帮助开发者更高效地编写代码、优化数据库查询，并自动生成测试用例。1.AI代码生成：提升开发效率1.1ChatGPT代码生成ChatGPT具备强大的自然语言处理能力，可以
  • 蓝桥杯Python赛道备赛——Day8：动态规划（基础）案例分析 SKY YEAM 蓝桥杯备赛蓝桥杯python动态规划
    本博客就上一期中讨论的蓝桥杯动态规划基础问题（包括：递推、记忆化搜索、最长公共子序列和最长上升子序列），给出了六个常见的案例问题。每一个问题都给出了其求解方法的示例代码，以供低年级师弟师妹们学习和练习。如有不懂，欢迎在评论区提问。前序知识：（1）Python基础语法（2）Day1：基础算法（3）Day7：动态规划（基础）动态规划（基础）案例分析一、递推应用：爬楼梯问题二、递推应用：零钱兑换三、记忆
  • 如何使用Python对Excel、CSV文件完成数据清洗与预处理？ Python 集中营 python数据分析应用pythonexcel开发语言
    在数据分析和机器学习项目中，数据清洗与预处理是不可或缺的重要环节。现实世界中的数据往往是不完整、不一致且含有噪声的，这些问题会严重影响数据分析的质量和机器学习模型的性能。Python作为一门强大的编程语言，提供了多种库和工具来帮助我们高效地完成数据清洗与预处理任务，其中最常用的库包括Pandas、NumPy、SciPy等。本文将详细介绍如何使用Python对Excel和CSV格式的数据文件进行清洗
  • AI：188-利用Python进行自然语言生成和文本摘要 一键难忘 python开发语言人工智能自然语言处理
    本文收录于专栏：精通AI实战千例专栏合集https://blog.csdn.net/weixin_52908342/category_11863492.html从基础到实践，深入学习。无论你是初学者还是经验丰富的老手，对于本专栏案例和项目实践都有参考学习意义。每一个案例都附带关键代码，详细讲解供大家学习，希望可以帮到大家。正在不断更新中~一.利用Python进行自然语言生成和文本摘要近年来，人工智
  • 网络高手，早就把ping命令玩得很6了！ 大侠之运维 网络
    网络高手，早就把ping命令玩得很6了！当谈到网络故障排除工具时，Ping（PacketInternetGroper）是其中最常用和最基本的之一。它是一个用于测试网络连接的命令行工具，可以帮助确定计算机是否能够与另一个计算机或网络设备进行通信。本文将深入介绍Ping命令，包括其基本用法、高级选项以及如何解释Ping的结果。第一部分：Ping命令的基本用法什么是Ping命令？Ping命令是一个网络工
  • 理解深度学习1-简介 shangjg3 PyTorch深度学习实战深度学习人工智能
    人工智能（AI）旨在打造模仿智能行为的系统。它覆盖了众多方法，涵盖了基于逻辑、搜索和概率推理的技术。机器学习是AI的一个分支，它通过对观测数据进行数学模型拟合来学习决策制定。这个领域近年来迅猛发展，现在几乎（虽不完全准确）与AI同义。深度神经网络是一类机器学习模型，将其应用到数据上的过程称为深度学习。目前，深度网络是最强大和最实用的机器学习模型之一，常见于日常生活中。我们常常用自然语言处理（Nat
  • web端口 myjzwsz djangoflask
    端口号是用来标识网络服务的，它们允许不同的应用程序在同一台机器上通过网络进行通信。端口号的范围是从0到65535，分为三类：熟知端口（Well-KnownPorts）：从0到1023，这些端口通常被系统或一些常见的服务所保留使用。例如，HTTP服务默认使用80端口，HTTPS使用443端口，FTP使用21端口等。非特权用户通常不能绑定这些端口。注册端口（RegisteredPorts）：从1024
  • 【实习经历Two:参与开源项目，学习并应用Git】 学前端的小乐子 开源社区实习记录学习git
    前端参与开源项目中使用过的git1.参与开源项目（必备技能——git)参与开源项目首先需要进入自己想参加的项目页面点击右边的Fork即可复制到自己的仓库像个人开发时常用的add、commit和push等命令就不过多介绍了，在这里主要是想记录一下自己作为从未参与过开源项目的初学者遇到的一些常用知识点，很感谢本人这次实习的mt老师很有耐心地帮助我解决使用Git过程中遇到的一些问题。a.如何在commi
  • [网络]https的概念及加密过程 姜西西_ javaEE初阶网络https网络协议
    文章目录一.HTTPS二.https加密过程一.HTTPShttps本质上就是http的基础上增加了一个加密层,抛开加密之后,剩下的就是个http是一样的s=>SSLHTTPS=HTTP+SSL这个过程,涉及到密码学的几个核心概念明文要传输的真正意思是啥2)密文加密之后得到的数据这个密文,即使被拿到了,也不知道真正的含义密钥用来加密和解密的重要的数据把明文通过密钥变成密文=>加密把密文通过密钥变成
  • 从入门到精通： C#100个关键技术关键词 _老码 从入门到精通c#开发语言
    C#是一种强大而灵活的面向对象编程语言，由Microsoft在2000年创建，主要用于.NET框架。通过掌握本指南中的100个关键技术关键词，你将逐步了解C#的核心概念、基本语法、面向对象编程、异常处理、文件操作、标准库等方面的知识。每个关键词都配有详细的注释，帮助你轻松理解和应用。让我们一起开始这段精彩的C#学习之旅吧！基础概念C#-一种面向对象的编程语言，由Microsoft在2000年创建，
  • C语言的软件工程 苏墨瀚 包罗万象golang开发语言后端
    C语言的软件工程引言C语言作为一种历史悠久、功能强大的编程语言，在软件工程领域有着广泛的应用。自1972年由DennisRitchie开发以来，C语言凭借其高效性能、灵活性以及可移植性，成为了操作系统、嵌入式系统及高性能应用程序开发的首选语言之一。在软件工程的过程中，成熟的软件开发模型、工具及方法论是保障软件质量的关键因素。本文将从软件工程的基本概念入手，探讨C语言在软件工程中的应用与实践，包括软
  • 防火墙配置错误导致的服务不可用问题排查 网硕互联的小客服 服务器网络apache
    当防火墙配置错误导致服务不可用时，以下是一些排查步骤和解决方法：1.确认防火墙配置错误：首先确认防火墙是否存在配置错误，可能是规则设置不当、端口未正确开放或关闭等。2.检查防火墙日志：查看防火墙日志，检查是否有任何异常或拦截的日志记录，以确定配置错误导致的服务不可用问题。3.暂时禁用防火墙：如果可能，暂时禁用防火墙以验证是否是防火墙配置错误导致的服务不可用问题。4.检查网络连接：确保防火墙规则允许
  • 每日一题--计算机网络 秋凉 づᐇ 计算机网络
    一、基础概念类问题1.TCP和UDP的区别是什么？回答示例：TCP：面向连接、可靠传输（通过三次握手建立连接，丢包重传）、保证数据顺序（如文件传输、网页访问）。UDP：无连接、不可靠传输（不保证数据到达或顺序）、低延迟（如视频通话、实时游戏）。加分点：补充实际应用场景（如HTTP/3基于UDP优化性能）。2.HTTP和HTTPS的区别？核心区别：HTTP：明文传输，端口80，无安全性。HTTPS：
  • 如何计算一个7B的模型训练需要的参数量以及训练时需要的计算资源 yxx122345 算法
    计算理论过程见：transformer中多头注意力机制的参数量是多少？1.模型参数量的计算7B参数模型的总参数量是70亿（7billion）。这些参数主要分布在以下几个部分：Transformer层：多头注意力机制（Multi-HeadAttention）前馈神经网络（Feed-ForwardNetwork）嵌入层（EmbeddingLayer）：词嵌入（TokenEmbeddings）位置编码（
  • 基于生成对抗网络（GAN）的图像超分辨率实战：从SRGAN到ESRGAN Evaporator Core #深度学习强化学习生成模型生成对抗网络人工智能神经网络
    图像超分辨率（ImageSuper-Resolution）是一种通过算法将低分辨率图像转换为高分辨率图像的技术，广泛应用于医学影像、卫星图像和视频增强等领域。生成对抗网络（GAN）是图像超分辨率的经典方法，而增强型超分辨率生成对抗网络（ESRGAN）则通过引入残差网络和感知损失进一步提升了图像质量。本文将通过一个完整的实战案例，展示如何使用SRGAN和ESRGAN进行图像超分辨率，并提供详细的代码
  • 25_3_17 python进阶学习 契合qht53_shine 学习python开发语言
    学习内容：1.1函数的定义在python中函数是指可以重复执行的语句块，可以重复调用，作用是为了封装语句块,提高代码的重用性，函数是面向过程编程的最小单位1.1.1def语句def语句的作用是用来定义（创建）函数的注意：1.函数代码块以def关键词开头，后接函数标识符名称和圆括号()2.函数名是一个变量，不要轻易对其赋值3.函数有自己的名字空间，在函数外部不可以访问函数内部的变量，在函数内部可以访
  • 【资料分享】标准规范汇总(2025.3.13更新) 交换机路由器测试之路 网络协议网络协议国标行标ITUTR069802.11IEEE
    引言学习标准规范不仅是测试人员的基本职责，也是确保测试质量、提升产品竞争力和降低风险的关键。通过掌握和应用标准规范，测试工作可以更加规范、高效和权威，为产品和项目的成功提供有力保障。本文分享交换机路由器测试中涉及到标准规范。国标行标国家标准由国家市场监督管理总局和国家标准化管理委员会负责管理，代号为GB（国标拼音首字母），分GB（强制性标准）和GB/T（推荐性标准）。通信行业标准是针对通信技术和设
  • 【Java】已解决：`java.sql.SQLSyntaxErrorException: SQL` 屿小夏 javasql开发语言
    个人简介：某不知名博主，致力于全栈领域的优质博客分享|用最优质的内容带来最舒适的阅读体验！文末获取免费IT学习资料！文末获取更多信息精彩专栏推荐订阅收藏专栏系列直达链接相关介绍书籍分享点我跳转书籍作为获取知识的重要途径，对于IT从业者来说更是不可或缺的资源。不定期更新IT图书，并在评论区抽取随机粉丝，书籍免费包邮到家AI前沿点我跳转探讨人工智能技术领域的最新发展和创新，涵盖机器学习、深度学习、自然
  • springboot一课一得 POlse springboot
    SpringBoot学习之路：从基础到进阶SpringBoot是基于Spring框架的一个开源项目，它通过简化配置、自动化功能以及集成多种开箱即用的技术，使开发者能够更快地开发、测试和部署Java应用程序。它不仅减少了开发者的配置工作量，还为开发者提供了很多与生产环境相关的功能，使得SpringBoot成为现代Web开发、微服务架构和企业级应用开发的首选框架。本文将基于“SpringBoot一课一
  • MongoDB数据库使用及常见问题 微笑的曙光（StevenLi） 数据库数据库mongodb
    MongoDB数据库之所以备受青睐，关键在于其独特的优势满足了现代应用的需求。它采用文档型存储，数据结构灵活，无需事先定义表结构，非常适合处理复杂且多变的数据。MongoDB具备高性能和可扩展性，能够轻松应对大数据量和高并发的访问，通过分片技术实现水平扩展，确保系统稳定运行。同时，它提供了强大的数据一致性和可靠性保障，支持多种复制和故障转移机制，确保数据的高可用性和持久性。此外，MongoDB拥有
  • 智慧社区2.0 陈陈爱java java
    项目亮点1.技术架构层面✅多数据源整合（MySQL+Redis+HDFS+OSS）核心亮点：不仅仅是单一数据库，而是根据数据特性使用MySQL（结构化数据）+Redis（缓存）+HDFS（大数据存储）+OSS（对象存储），提高了系统的数据存储效率和查询速度。面试时可以强调：Redis作为缓存，加速社区热点数据访问，减少MySQL压力。HDFS存储海量日志和AI任务数据，支持后续分析。OSS解决图片
  • AIGC带来数据革命：R语言如何成为数据科学家的秘密武器？ 程序边界 AIGCr语言开发语言
    文章目录一、R语言的基础特性1.1R语言的起源与发展1.2R语言的核心优势二、R语言在AIGC中的应用场景2.1数据预处理与清洗2.2文本分析与生成2.3机器学习与模型构建2.4数据可视化与报告生成三、R语言在AIGC中的具体案例3.1金融数据分析与预测3.2医疗数据分析与建模3.3社交媒体数据分析与情感分析四、R语言在AIGC中的未来展望4.1与深度学习框架的集成4.2与云计算平台的集成4.3与
  • Pandas与PySpark混合计算实战：突破单机极限的智能数据处理方案 Eqwaak00 Pandaspandas学习python科技开发语言
    引言：大数据时代的混合计算革命当数据规模突破十亿级时，传统单机Pandas面临内存溢出、计算缓慢等瓶颈。PySpark虽能处理PB级数据，但在开发效率和局部计算灵活性上存在不足。本文将揭示如何构建Pandas+PySpark混合计算管道，在保留Pandas便捷性的同时，借助Spark分布式引擎实现百倍性能提升，并通过真实电商用户画像案例演示全流程实现。一、混合架构设计原理1.1技术栈优势分析维度P
  • 5大陷阱+实战：C#日志分析，从‘日志迷宫’到‘监控神殿’的逆袭全攻略！ 墨瑾轩 C#乐园c#网络开发语言
    关注墨瑾轩，带你探索编程的奥秘！超萌技术攻略，轻松晋级编程高手技术宝库已备好，就等你来挖掘订阅墨瑾轩，智趣学习不孤单即刻启航，编程之旅更有趣你的日志还在‘打哑谜’吗？“错误日志像‘天书’读不懂？监控告警像‘哑巴’不发声？”——别慌！今天用C#日志分析，让你的系统像“福尔摩斯”一样精准破案，从实时监控到根因定位，从此告别“黑盒运维”！权威背书：日志分析≠‘抄作业’！“90%的故障因‘日志解析缺失’导
  • 关于xshell和todesk两种远程控制电脑的区别以及核心原理 白雪落青衣 运维
    Xshell和ToDesk都是远程控制工具，但它们在功能、应用场景以及核心原理上存在显著差异。一、核心原理Xshell原理概述：Xshell是一款终端仿真器，主要凭借SecureShell（SSH）协议来实施远程控制和管理。SSH是一种加密的网络协议，用于在不太安全的网络环境中安全地开展系统管理以及数据传输。具体步骤：构建加密连接：用户启动Xshell并输入远程服务器的地址以及登录凭据后，Xshe
  • Spring Boot + Spring-Security实现前后端分离双重身份认证初学者指南（手机号密码JWT + 短信验证码） Iceroki SpringBootspringspringbootjava
    折（mo）腾（yu）了好几天，终于把双重身份认证实现了。（账号密码jwt+短信验证码）看了很多视频，照葫芦画瓢敲了两三次，遇到各种各样的bug，比如循环依赖（通过@PostConstructor+setter解决）、框架报错等，翻了上百次csdn才逐渐摸清。总算对spring-security有了一个大概的认识，写一点学习心得，希望能帮到初学者，同时以备自己未来复习。spring-security
  • PyTorch 深度学习实战（12）：Actor-Critic 算法与策略优化 进取星辰 PyTorch深度学习实战深度学习pytorch算法
    在上一篇文章中，我们介绍了强化学习的基本概念，并使用深度Q网络（DQN）解决了CartPole问题。本文将深入探讨Actor-Critic算法，这是一种结合了策略梯度（PolicyGradient）和值函数（ValueFunction）的强化学习方法。我们将使用PyTorch实现Actor-Critic算法，并应用于经典的CartPole问题。一、Actor-Critic算法基础Actor-Cri
  • Spring4.1新特性——综述 jinnianshilongnian spring 4.1
    目录 Spring4.1新特性——综述 Spring4.1新特性——Spring核心部分及其他 Spring4.1新特性——Spring缓存框架增强 Spring4.1新特性——异步调用和事件机制的异常处理 Spring4.1新特性——数据库集成测试脚本初始化 Spring4.1新特性——Spring MVC增强 Spring4.1新特性——页面自动化测试框架Spring MVC T
  • Schema与数据类型优化 annan211 数据结构mysql
    目前商城的数据库设计真是一塌糊涂，表堆叠让人不忍直视，无脑的架构师，说了也不听。 在数据库设计之初，就应该仔细揣摩可能会有哪些查询，有没有更复杂的查询，而不是仅仅突出 很表面的业务需求，这样做会让你的数据库性能成倍提高，当然，丑陋的架构师是不会这样去考虑问题的。 选择优化的数据类型 1 更小的通常更好 更小的数据类型通常更快，因为他们占用更少的磁盘、内存和cpu缓存，
  • 第一节 HTML概要学习 chenke htmlWebcss
    第一节 HTML概要学习 1. 什么是HTML HTML是英文Hyper Text Mark-up Language(超文本标记语言)的缩写，它规定了自己的语法规则，用来表示比“文本”更丰富的意义，比如图片，表格，链接等。浏览器（IE,FireFox等）软件知道HTML语言的语法，可以用来查看HTML文档。目前互联网上的绝大部分网页都是使用HTML编写的。 打开记事本 输入一下内
  • MyEclipse里部分习惯的更改 Array_06 eclipse
    继续补充中---------------------- 1.更改自己合适快捷键windows-->prefences-->java-->editor-->Content Assist-->      Activation triggers for java的右侧“.”就可以改变常用的快捷键 选中 Text
  • 近一个月的面试总结 cugfy 面试
    本文是在学习中的总结，欢迎转载但请注明出处：http://blog.csdn.net/pistolove/article/details/46753275 前言       打算换个工作，近一个月面试了不少的公司，下面将一些面试经验和思考分享给大家。另外校招也快要开始了，为在校的学生提供一些经验供参考，希望都能找到满意的工作。 
  • HTML5一个小迷宫游戏 357029540 html5
         通过《HTML5游戏开发》摘抄了一个小迷宫游戏，感觉还不错，可以画画，写字，把摘抄的代码放上来分享下，喜欢的同学可以拿来玩玩！ <html> <head> <title>创建运行迷宫</title> <script type="text/javascript"
  • 10步教你上传githib数据 张亚雄 git
    官方的教学还有其他博客里教的都是给懂的人说得，对已我们这样对我大菜鸟只能这么来锻炼，下面先不玩什么深奥的，先暂时用着10步干净利索。等玩顺溜了再用其他的方法。 操作过程（查看本目录下有哪些文件NO.1）ls （跳转到子目录NO.2）cd+空格+目录 （继续NO.3）ls （匹配到子目录NO.4）cd+ 目录首写字母+tab键+（首写字母“直到你所用文件根就不再按TAB键了”） （查看文件
  • MongoDB常用操作命令大全 adminjun mongodb操作命令
    成功启动MongoDB后，再打开一个命令行窗口输入mongo，就可以进行数据库的一些操作。输入help可以看到基本操作命令，只是MongoDB没有创建数据库的命令，但有类似的命令 如：如果你想创建一个“myTest”的数据库，先运行use myTest命令，之后就做一些操作（如：db.createCollection('user')）,这样就可以创建一个名叫“myTest”的数据库。 一
  • bat调用jar包并传入多个参数 aijuans
    下面的主程序是通过eclipse写的： 1.在Main函数接收bat文件传递的参数（String[] args）  如：   String ip =args[0];          String user=args[1];       &nbs
  • Java中对类的主动引用和被动引用 ayaoxinchao java主动引用对类的引用被动引用类初始化
      在Java代码中，有些类看上去初始化了，但其实没有。例如定义一定长度某一类型的数组，看上去数组中所有的元素已经被初始化，实际上一个都没有。对于类的初始化，虚拟机规范严格规定了只有对该类进行主动引用时，才会触发。而除此之外的所有引用方式称之为对类的被动引用，不会触发类的初始化。虚拟机规范严格地规定了有且仅有四种情况是对类的主动引用，即必须立即对类进行初始化。四种情况如下：1.遇到ne
  • 导出数据库 提示 outfile disabled BigBird2012 mysql
    在windows控制台下，登陆mysql，备份数据库：   mysql>mysqldump -u root -p test test > D:\test.sql 使用命令 mysqldump 格式如下： mysqldump -u root -p *** DBNAME > E:\\test.sql。 注意：执行该命令的时候不要进入mysql的控制台再使用，这样会报
  • Javascript 中的 && 和 || bijian1013 JavaScript&&||
            准备两个对象用于下面的讨论 var alice = { name: "alice", toString: function () { return this.name; } } var smith = { name: "smith",
  • [Zookeeper学习笔记之四]Zookeeper Client Library会话重建 bit1129 zookeeper
    为了说明问题，先来看个简单的示例代码：   package com.tom.zookeeper.book; import com.tom.Host; import org.apache.zookeeper.WatchedEvent; import org.apache.zookeeper.ZooKeeper; import org.apache.zookeeper.Wat
  • 【Scala十一】Scala核心五：case模式匹配 bit1129 scala
    package spark.examples.scala.grammars.caseclasses object CaseClass_Test00 { def simpleMatch(arg: Any) = arg match { case v: Int => "This is an Int" case v: (Int, String)
  • 运维的一些面试题 yuxianhua linux
    1、Linux挂载Winodws共享文件夹   mount -t cifs //1.1.1.254/ok /var/tmp/share/ -o username=administrator,password=yourpass 或 mount -t cifs -o username=xxx,password=xxxx //1.1.1.1/a /win    
  • Java lang包-Boolean BrokenDreams boolean
             Boolean类是Java中基本类型boolean的包装类。这个类比较简单，直接看源代码吧。 public final class Boolean implements java.io.Serializable,
  • 读《研磨设计模式》-代码笔记-命令模式-Command bylijinnan java设计模式
    声明： 本文只为方便我个人查阅和理解，详细的分析以及源代码请移步 原作者的博客http://chjavach.iteye.com/ import java.util.ArrayList; import java.util.Collection; import java.util.List; /** * GOF 在《设计模式》一书中阐述命令模式的意图：“将一个请求封装
  • matlab下GPU编程笔记 cherishLC matlab
    不多说，直接上代码 gpuDevice % 查看系统中的gpu,,其中的DeviceSupported会给出matlab支持的GPU个数。 g=gpuDevice(1); %会清空 GPU 1中的所有数据,,将GPU1 设为当前GPU reset(g) %也可以清空GPU中数据。 a=1; a=gpuArray(a); %将a从CPU移到GPU中 onGP
  • SVN安装过程 crabdave SVN
    SVN安装过程   subversion-1.6.12   ./configure --prefix=/usr/local/subversion --with-apxs=/usr/local/apache2/bin/apxs --with-apr=/usr/local/apr --with-apr-util=/usr/local/apr --with-openssl=/
  • sql　行列转换 daizj sql行列转换行转列列转行
    行转列的思想是通过case when 来实现 列转行的思想是通过union all 来实现 下面具体例子： 假设有张学生成绩表(tb)如下: Name Subject Result 张三 语文　　74 张三 数学　　83 张三 物理　　93 李四 语文　　74 李四 数学　　84 李四 物理　　94 */ /* 想变成 姓名   &
  • MySQL--主从配置 dcj3sjt126com mysql
    linux下的mysql主从配置： 说明：由于MySQL不同版本之间的(二进制日志)binlog格式可能会不一样，因此最好的搭配组合是Master的MySQL版本和Slave的版本相同或者更低， Master的版本肯定不能高于Slave版本。（版本向下兼容） mysql1  : 192.168.100.1    //master mysq
  • 关于yii 数据库添加新字段之后model类的修改 dcj3sjt126com Model
    rules: array('新字段','safe','on'=>'search') 1、array('新字段', 'safe')//这个如果是要用户输入的话，要加一下， 2、array('新字段', 'numerical'),//如果是数字的话 3、array('新字段', 'length', 'max'=>100),//如果是文本 1、2、3适当的最少要加一条，新字段才会被
  • sublime text3 中文乱码解决 dyy_gusi Sublime Text
    sublime text3中文乱码解决 原因：缺少转换为UTF-8的插件 目的：安装ConvertToUTF8插件包 第一步：安装能自动安装插件的插件，百度“Codecs33”，然后按照步骤可以得到以下一段代码： import urllib.request,os,hashlib; h = 'eb2297e1a458f27d836c04bb0cbaf282' + 'd0e7a30980927
  • 概念了解：CGI，FastCGI，PHP-CGI与PHP-FPM geeksun PHP
    CGI CGI全称是“公共网关接口”(Common Gateway Interface)，HTTP服务器与你的或其它机器上的程序进行“交谈”的一种工具，其程序须运行在网络服务器上。 CGI可以用任何一种语言编写，只要这种语言具有标准输入、输出和环境变量。如php,perl,tcl等。 FastCGI FastCGI像是一个常驻(long-live)型的CGI，它可以一直执行着，只要激活后，不
  • Git push 报错 "error: failed to push some refs to " 解决 hongtoushizi git
    Git push 报错 "error: failed to push some refs to " . 此问题出现的原因是：由于远程仓库中代码版本与本地不一致冲突导致的。 由于我在第一次git pull --rebase 代码后，准备push的时候，有别人往线上又提交了代码。所以出现此问题。 解决方案： 1： git pull    2：
  • 第四章 Lua模块开发 jinnianshilongnian nginxlua
    在实际开发中，不可能把所有代码写到一个大而全的lua文件中，需要进行分模块开发；而且模块化是高性能Lua应用的关键。使用require第一次导入模块后，所有Nginx 进程全局共享模块的数据和代码，每个Worker进程需要时会得到此模块的一个副本（Copy-On-Write），即模块可以认为是每Worker进程共享而不是每Nginx Server共享；另外注意之前我们使用init_by_lua中初
  • java.lang.reflect.Proxy liyonghui160com
      1.简介   Proxy 提供用于创建动态代理类和实例的静态方法 （1）动态代理类的属性 代理类是公共的、最终的，而不是抽象的 未指定代理类的非限定名称。但是，以字符串 "$Proxy" 开头的类名空间应该为代理类保留 代理类扩展 java.lang.reflect.Proxy 代理类会按同一顺序准确地实现其创建时指定的接口
  • Java中getResourceAsStream的用法 pda158 java
    1.Java中的getResourceAsStream有以下几种： 1. Class.getResourceAsStream(String path) ： path 不以’/'开头时默认是从此类所在的包下取资源，以’/'开头则是从ClassPath根下获取。其只是通过path构造一个绝对路径，最终还是由ClassLoader获取资源。 　　2. Class.getClassLoader.get
  • spring 包官方下载地址（非maven） sinnk spring
    SPRING官方网站改版后，建议都是通过 Maven和Gradle下载，对不使用Maven和Gradle开发项目的，下载就非常麻烦，下给出Spring Framework jar官方直接下载路径:   http://repo.springsource.org/libs-release-local/org/springframework/spring/   s
  • Oracle学习笔记(7) 开发PLSQL子程序和包 vipbooks oraclesql编程
        哈哈，清明节放假回去了一下，真是太好了，回家的感觉真好啊！现在又开始出差之旅了，又好久没有来了，今天继续Oracle的学习！      这是第七章的学习笔记，学习完第六章的动态SQL之后，开始要学习子程序和包的使用了……，希望大家能多给俺一些支持啊！     编程时使用的工具是PLSQL
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他