要不要买菜啊
要不要买菜啊

前端安全 — XSS攻击的分类、XSS攻击的预防

目录

什么是XSS

XSS分类

存储型XSS

存储型XSS的攻击步骤:

反射型XSS

反射型XSS的攻击步骤:

DOM型XSS

DOM型XSS的攻击步骤:

XSS攻击的预防

输入过滤

预防存储型和反射型XSS攻击

纯前端渲染

转义HTML

XSS攻击的总结

以下原则减少漏洞的产生:

利用模板引擎: 

避色内联重件

避免拼接HTML

时刻保持警惕

主动检测和发现

什么是XSS

Cross-Site Scripting (跨站脚本攻击)简称XSS,是-种代码注入攻击。攻击者通过在目标网站上注入恶意脚本，使之在用户的浏览器上运行。利用这些恶意脚本，攻击者可获取用户的敏感信息如Cookie、SessionID 等，进而危害数据安全。
为了和CSS区分，遥里把攻击的第一个字母改成了X,于是叫做XSS。
XSS的本质是:恶意代码未经过滤，与网站正常的代码混在一起;浏览器无法分辨哪些脚本是可信的，导致恶意脚本被执行。
而由于直接在用户的终端执行，恶意代码能够直接获取用户的信息，或者利用这些信息冒充用户向网站发起攻击者定义的请求。
在部分情况下，由于输入的限制，注入的恶意脚本比较短。但可以通过引入外部的脚本，并由浏览器执行，来完成比较复杂的攻击策略。
这里有一个问题:用户是通过哪种方法“注入”恶意脚本的呢?
不仅仅是业务.上的”用户的UGC内容”可以进行注入，包括URL上的参数等都可以是攻击的来源。在处理输入时,
以下内容都不可信:

  • 来自用户的UGC信息
  • 来自第三方的链接
  • URL参数
  • POST 参数
  • Referer (可能来 自不可信的来源)
  • Cookie （可能来自其他子域注入）

XSS分类

根据攻击的来源，XSS攻击可分为存储型、反射型和DOM型三种。

前端安全 — XSS攻击的分类、XSS攻击的预防_第1张图片

  • 存储区：恶意代码存放的位置
  • 插入点：由谁取得恶意代码，并插入网页上

存储型XSS

存储型XSS的攻击步骤:

  1. 攻击者将恶意代码提交到目标网站的数据库中。
  2. 用户打开目标网站时，网站服务端将恶意代码从数据库取出，拼接在HTML中返回给浏览器。
  3. 用户浏览器接收到响应后解析执行，混在其中的恶意代码也被执行。
  4. 恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作

这种攻击常见于带有用户保存数据的网站功能，如论坛发帖、商品评论、用户私信等。

反射型XSS

反射型XSS的攻击步骤:

  1. 攻击者构造出特殊的URL，其中包含恶意代码。
  2. 用户打开带有恶意代码的URL时，网站服务端将恶意代码从URL中取出，拼接在HTML中返回给浏览器。
  3. 用户浏览器接收到响应后解析执行，混在其中的恶意代码也被执行。
  4. 恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作。

反射型XSS跟存储型XSS的区别是:存储型XSS的恶意代码存在数据库里，反射型XSS的恶意代码存在URL.
反射型XSS漏洞常见于通过URL传递参数的功能，如网站搜索、跳转等。
由于需要用户主动打开恶意的URL才能生效，攻击者往往会结合多种手段诱导用户点击。
POST的内容也可以触发反射型XSS,只不过其触发条件比较苛刻(需 要构造表单提交页面，并引导用户点击),所以非常少见。

DOM型XSS

DOM型XSS的攻击步骤:

  1. 攻击者构造出特殊的URL,其中包含恶意代码。
  2. 用户打开带有恶意代码的URL。
  3. 用户浏览器接收到响应后解析执行，前端JavaScript取出URL中的恶意代码并执行。
  4. 恶意代码窃取用户数据并发送到攻击者的网站，或者冒充用户的行为，调用目标网站接口执行攻击者指定的操作。

DOM型XSS跟前两种XSS的区别: DOM型XSS攻击中，取出和执行恶意代码由浏览器端完成，属于前端JavaScript自身的安全漏洞，而其他两种XSS都属于服务端的安全漏洞。

XSS攻击的预防

通过前面的介绍可以得知，XSS 攻击有两大要素:
1.攻击者提交恶意代码。
2.浏览器执行恶意代码。
针对第一个要素 :我们是否能够在用户输入的过程，过滤掉用户输入的恶意代码呢?

输入过滤

在用户提交时，由前端过滤输入，然后提交到后端。这样做是否可行呢?
答案是不可行。一旦攻击者绕过前端过滤，直接构造请求，就可以提交恶意代码了。
那么，换一个过滤时机:后端在写入数据库前，对输入进行过滤，然后把”安全的”内容， 返回给前端。这样是否可行呢?
我们举一个例子，一个正常的用户输入了5 < 7这个内容，在写入数据库前，被转义，变成了5 < 7。
问题是:在提交阶段，我们并不确定内容要输出到哪里。
这里的“并不确定内容要输出到哪里”有两层含义:
1. 用户的输入内容可能同时提供给前端和客户端，而一旦经过了escapeHTML(), 客户端显示的内容就变成了乱码(5<7)。
2. 在前端中，不同的位置所需的编码也不同。

  • 当5 <7作为HTML拼接页面时，可以正常显示:
5 < 7
  • 当5 < 7通过 Ajax 返回，然后赋值给JavaScript的变量时，前端得到的字符串就是转义后的字符。这个内容不能直接用于Vue等模板的展示，也不能直接用于内容长度计算。不能用于标题、alert 等。

所以，输入侧过滤能够在某些情况下解决特定的XSS问题，但会引入很大的不确定性和乱码问题。在防范XSS攻击时应避免此类方法。

当然，对于明确的输入类型，例如数字、URL、 电话号码、邮件地址等等内容，进行输入过滤还是必要的。
既然输入过滤并非完全可靠，我们就要通过"防止浏览器执行恶意代码”来防范XSS。这部分分为两类:

  • 防止HTML中出现注入。
  • 防止JavaScript执行时，执行恶意代码。

预防存储型和反射型XSS攻击

存储型和反射型XSS都是在服务端取出恶意代码后，插入到响应HTML里的，攻击者刻意编写的“数据’被内嵌到“代码”中，被浏览器所执行。
预防这两种漏洞，有两种常见做法:

  • 改成纯前端渲染，把代码和数据分隔开。
  • 对HTML做充分转义。

纯前端渲染

纯前端渲染的过程:

  1. 浏览器先加载一个静态HTML,此HTML中不包含任何跟业务相关的数据。
  2. 然后浏览器执行HTML中的JavaScript。
  3. JavaScript 通过Ajax加载业务数据，调用DOM API 更新到页面中

在纯前端渲染中，我们会明确的告诉浏览器:下面要设置的内容是文本(. innerText)， 还是属性
(.setAttribute)，还是样式(.style) 等等。浏览器不会被轻易的被欺骗，执行预期外的代码了。
但纯前端渲染还需注意避免DOM型XSS漏洞(例如onload事件和href 中的javascript:xxx等， 请参考下文"预防DOM型XSS攻击"部分)。
在很多内部、管理系统中，采用纯前端渲染是非常合适的。但对于性能要求高，或有SEO需求的页面，我们仍然要面对拼接HTML的问题。

转义HTML

如果拼接HTML是必要的，就需要采用合适的转义库，对HTML模板各处插入点进行充分的转义。
常用的模板引擎，如doT.js、ejs、 FreeMarker 等，对于HTML转义通常只有一个规则，就是把&<>  "  ' / 7这几个字符转义掉，确实能起到一定的XSS防护作用，但并不完善:

XSS安全漏洞                           简单转义是否有防护作用
HTML标签文字内容 有
HTML属性值 有
CSS内联样式 无
内联JavaScript 无
内联JSON 无
跳转链接 无

所以要完善 XSS 防护措施，我们要使用更完善更细致的转义策略。

例如Java工程里，常用的转义库为org.owasp .encoder。以下代码引用自org.owasp.encoder的官方说明。


<%= Encode . forHtml ( UNTRUSTED) 8>


">

你可能感兴趣的:(js,javascript,js)

  • 了解Javascript中的异步等待 Brook_ JavaScriptjavascript异步
    在本文中，我们将探讨async/await对于每个Javascript开发人员来说，异步编程的首选工具。如果您不熟悉javascript，请不要担心，本文将帮助您async/await从头开始理解。介绍async/await是javascript中的一种模式，可使您的代码以同步方式执行，但又不影响javascript的异步行为。定义异步功能要定义一个异步函数，您所要做的只是在函数定义之前添加一个a
  • 玩转网页交互：用JavaScript打造灵动手风琴特效 skyksksksksks 综合个人杂记javascript交互jqueryhtml5css前端
    一、手风琴特效：网页中的魔法折叠术想象一下你在音乐厅看到的手风琴演奏——轻轻一拉，风箱便如波浪般起伏展开。在网页世界中，手风琴特效正是这种优雅互动的数字化身！当用户点击某个标题时，对应的内容就像被施了魔法般缓缓展开，其他内容则默契地折叠收起。这种设计不仅节省空间，更能让用户像探索藏宝图一样，逐步揭开内容的奥秘。在电商网站的商品详情页，在知识平台的问答专区，甚至在个人作品集网站，手风琴特效都扮演着重
  • nextjs中集成富文本编辑器wangEditor 不cong明的亚子 前端nodejsreact前端next.js富文本编辑器
    背景实现一个博客主站的文章生成系统，使用ssr去生成自己的文章，达到seo的效果。技术栈[email protected].[app-router]postgres@latest(本章不涉及)@wangeditor/[email protected]@wangeditor/[email protected]使用引入富文本编辑器npmi-S@wangeditor/editor@wangeditor/editor-f
  • Vue3CompositionAPI jpruby vue
    Vue3CompositionAPI第一章最终效果演示1.下载依赖npminstall2.启动前端npmrundev3.启动数据json-server--watchdata/db.json--port=3003第二章创建项目1.vite创建项目npminitvite@latestvite-blog----templatevue2.App.vueApp.vue3.Home.vue1.测试setup的
  • 解释一下this在异步函数中的行为 祈澈菇凉 前端javascript开发语言
    在JavaScript中，this关键字在异步函数中的行为可能会让人感到困惑。异步函数的执行方式与普通函数不同，这会影响this的指向。下面将详细阐述this在异步函数中的行为，以及如何正确管理this。一、this的基本行为回顾在JavaScript中，this的指向取决于函数的调用方式：全局上下文：在全局作用域中，this指向全局对象（在浏览器中是window）。对象方法：当函数作为对象的方法
  • PyWebIo 快速构建web应用 java全套学习资料 前端htmlnpmvue.js前端
    Part1什么是PyWebIoPyWebIO提供了一系列命令式的交互函数来在浏览器上获取用户输入和进行输出，将浏览器变成了一个“富文本终端”，可以用于构建简单的Web应用或基于浏览器的GUI应用。使用PyWebIO，开发者能像编写终端脚本一样(基于input和print进行交互)来编写应用，无需具备HTML和JS的相关知识；PyWebIO还可以方便地整合进现有的Web服务。非常适合快速构建对UI要
  • es6箭头函数和普通函数的区别 vvilkim es6前端ecmascript
    在JavaScript中，函数是执行特定任务的代码块。函数可以被定义并且随后被调用。JavaScript中有两种主要的函数定义方式：普通函数声明和箭头函数表达式。下面是这两种函数的定义方式及其区别和使用场景：普通函数声明普通函数可以通过函数声明或函数表达式的方式来定义。函数声明是最简单的方式，通常如下所示：function函数名(参数1,参数2,...){//函数体}示例：functiongree
  • 基于python sanic框架，使用Nacos进行微服务管理 一醉千秋 python+银河麒麟微服务java架构
    微服务软件系统构建方式，已经很普及了，通过开源的sanic进行微服务管理，便捷，技术也比较成熟，而在项目实际应用过程中，微服务类型不仅有java的，还有nodejs、python等，尤其是结合算法模型构建的python接口，需要在Nacos进行注册管理。本文内容耗时2天踏坑，亲测一切ok。参考资源Docker安装nacos（图文并茂，避免踩坑，一步到位）_docker创建nacos容器需要挂载哪些
  • js根据两个经纬度点计算文字显示角度 钱端工程师 javascript
    主要用到Turf.js库中的一个方法：rhumbBearing。用于计算两点之间的罗盘方位角（也称为恒向线角或罗盘角）。这种方法假设地球是一个球体，并且沿着最短路径（即大圆路径）测量两点之间的距离和方位角，但在计算方位角时采用了一种简化的方法，即假设沿恒向线（罗盘线）航行。1.安装Turf.js://在项目目录的命令行中输入：npminstall@turf/turf2.使用：import{rhum
  • vue 解决image-conversion图片处理插件压缩后图片底色变黑问题 qq_48354174 vue.jsjavascript
    官方文档https://www.npmjs.com/package/image-conversion将el-upload封装为一个组件，并将图片上传到对象存储引用方式importSingleUploadfrom"@/components/upload/singleUpload"//isWatermark是否需要水印changeFile方法判断是否是透明图片，如果是透明图片将底部改为透明色impor
  • 介绍一下常用的代码规范工具，如ESLint和Prettier 祈澈菇凉 代码规范
    代码规范工具是现代软件开发中不可或缺的一部分，它们帮助开发者维持代码质量、提高可读性并确保一致性。以下是两种常用的代码规范工具：ESLint和Prettier的详细介绍。ESLint1.概述ESLint是一个用于JavaScript代码的静态代码分析工具，主要用于识别和报告代码中的问题。它可以帮助开发者发现潜在的错误、提高代码质量并保持代码风格的一致性。2.主要功能代码检查：ESLint可以检测语
  • async/await与Generator函数相比有什么区别？ 编程微刊 前端javascript开发语言
    async/await和Generator函数都是JavaScript中处理异步编程的重要工具，但它们在语法、使用方式和背后的机制上存在显著差异。以下是它们之间的主要区别：一、基本概念1.Generator函数Generator函数是通过function*关键字定义的特殊函数，可以暂停和恢复执行。它们返回一个迭代器对象，通过调用.next()方法逐步执行函数中的代码。示例function*gene
  • 华为OD机试 - Excel 单元格数值统计（Python） | 机试题算法思路 【2023】 梦想橡皮擦 excel华为python算法华为od
    最近更新的博客华为OD机试题-最短耗时（JavaScript）华为OD机试题-机器人走迷宫（JavaScript）华为OD机试-新员工座位安排系统（Python）|机试题算法思路华为OD机试-能力组队（Python）|机试题算法思路华为OD机试-内存池（Python）|机试题算法思路使用说明参加华为od机试，一定要注意不要完全背诵代码，需要理解之后模仿写出，通过率才会高。华为OD清单查看地址：bl
  • 软件测试技术之跨平台的移动端UI自动化测试（上） 学掌门 软件测试ITui软件测试
    摘要：本文提出一种跨平台的UI自动化测试方案，一方面使用像素级的截图对比技术，解决传统UI自动化测试难以验证页面样式的问题；另一方面用统一部署在服务器端的JavaScript测试代码代替Android和iOS测试代码，大大提高编写测试代码的效率。该方案经过实际验证，具有效率高、质量好、便于维护等多方面优点，文中将阐述具体设计思路以及各关键步骤的实现方法，为同类测试提供借鉴。一、背景当前金融服务数字
  • Yarn 常见问题及排查指南 艳艳子呀 javascript前端yarn
    介绍Yarn是一个高效、可靠的JavaScript依赖管理工具，但在使用过程中，可能会遇到各种问题。本文总结了一些常见的Yarn错误及其排查方法，帮助你快速定位并解决问题。1.网络相关问题❌错误1：网络超时errorAnunexpectederroroccurred:"https://registry.yarnpkg.com/...:ETIMEDOUT".可能原因✅网络不稳定，导致请求超时✅公司或
  • deepseek本地部署后做微调训练实现智能对话的一些建议 慧香一格 AI学习deepseek服务器AI
    在本地部署大模型后，进行微调和训练以实现智能对话，通常需要按照以下步骤操作。以下是详细的指导内容：1.准备数据集在微调大模型之前，需要准备适合的训练数据集。数据集应满足以下要求：格式：通常使用JSONL（JSONLines）格式，每行包含一个训练样本。内容：数据应包含对话的上下文和目标输出，例如：{"context":"你好！今天天气不错。","response":"是的，天气很好，适合出去走走。
  • Docker下使用llama.cpp部署带Function calling和Json Mode功能的Mistral 7B模型 shizidushu dockerllama语言模型llama.cppmistral-7b
    Docker下使用llama.cpp部署带Functioncalling和JsonMode功能的Mistral7B模型说明：首次发表日期：2024-08-27参考：https://www.markhneedham.com/blog/2024/06/23/mistral-7b-function-calling-llama-cpp/https://github.com/abetlen/llama-cp
  • vercel.json中redirects与rewrites的区别 rock——you jsonvercel
    在Vercel中，redirects和rewrites都是用于处理URL请求的功能，它们提供了对请求的不同操作方式。虽然它们的工作原理相似，但它们有不同的行为和用途。下面是它们的区别：1.Redirects功能：redirects用于将用户的请求从一个URL重定向到另一个URL。这意味着浏览器会收到一个HTTP响应（通常是3xx状态码），并且会告诉浏览器去访问新的URL地址。行为：当一个请求被重定
  • 腾讯云点播Web端上传视频+SDK使用
    官方链接：Web端上传SDK腾讯云控制台客户端上传签名签名生成示例1、Web端嵌入云点播SDK//安装稳定版本npminstallvod-js-sdk-v6在对应的页面引入importTcVodfrom'vod-js-sdk-v6'入完成后，需要生成签名，签名需要通过SecretId、SecretKey来生成SecretId、SecretKey生成：腾讯云控制台进入云控制台后，点击新建密钥：获取到
  • 博客搭建之路：hexo增加搜索功能 后端
    hexo增加搜索功能hexo版本5.0.2npm版本6.14.7next版本7.8.0作为一个博客，没有搜索功能，如何在大批文章中找到自己想要的，那在hexo中如何增加搜索功能呢？search:path:search.jsonfield:post在博客目录下安装npminstallhexo-generator-search--save，此时使用hexocl&&hexog就会在博客public目录下
  • Jackson ObjectMapper
    背景在最近写邓白氏项目的时候遇到一个需求，就是JSON字符串和Java对象之间相互转换，这就是涉及到数据反序列化。概述JacksonObjectMapper是Java中处理JSON数据的强大工具，具有以下主要功能：JSON与Java对象的相互转换：ObjectMapper可以将JSON数据转换为Java对象，以及将Java对象转换为JSON格式。这种转换过程称为序列化和反序列化。通过ObjectM
  • 静态NodeList 和 动态NodeList的区别 javascript
    ps：了解这个知识点的原因前两天我在重温jsdom编程的时候，看到了获取dom元素这一章，然后看到了getElementsByTagName()和getElementsByClassName()，之后又了解到了现代浏览器新出的一个DOMAPI--querySelectorAll().以我的性格，看到这些方法之后我肯定是想了解一下它们的不同点啦，所以我就翻阅资料，就看到了stackoverflow上
  • 【Three.js】JS 3D library（一个月进化史） Tiffany_Ho 前端Three.js
    #春节过完了，该继续投入学习了~作为一个平面开发者，想要增进更多的技能，掌握web3D开发#前置知识与技能1.JavaScript基础-掌握ES6+语法（类、模块、箭头函数、解构等）-熟悉异步编程（Promise、async/await）-了解事件循环和DOM操作2.HTML5和CSS3-熟悉Canvas和WebGL的基础概念-了解CSS3动画和变换（transform、transition）3.
  • Go核心开发学习笔记(廿九) —— 反射 已开挂的24K Golang开发编程
    反射使用的地方序列化和反序列化时，如果希望序列时将结构体字段名称大写转换成小写，json："xxx"这里就用到了反射。两个匿名函数变量，定义一个适配器函数用作统一处理接口：适配器函数：假设匿名函数名字为,匿名函数中参数为a,b…则适配器函数为func(,a,b…)就是说建立一个模板，匿名函数函数名称和匿名函数中的参数都作为适配器函数的参数传递。反射价值在于自己可以开发go框架。反射原理反射可以在运
  • ASP.NET MVC5配置百度富文本编辑器 plcc123 ASP.NETMVCc#
    简单说一下，.netMVC5如何配置百度富文本编辑器吧。1、首先去下载百度富文本编辑器2、解压放到项目文件夹Content/ueditor3、在视图里面添加@Scripts.Render("~/bundles/jqueryval","~/Content/ueditor/ueditor.config.js","~/Content/ueditor/editor_api.js","~/Content/u
  • video 标签实现进度条不可拖动，并监听观看状态、超时触发挂机验证 牡丹城沉静的萝卜 html5前端javascript
    需求：用户观看视频时，实时监听观看状态，超过一定时长后，触发挂机验证，并禁止拖动滚动条快进查看。技术：主要是用html5的vidoe标签做的，用到了自带的暂停（pause）、播放（play）、监听（timeupdate）等事件html：javascript：data(){return{videoUrl:'',video:{currTime:'',maxTime:'',tipsTime:0,//出现
  • Vue.js 组件开发：构建高效、可重用的用户界面 m1chiru vue.js
    Vue.js组件开发：构建高效、可重用的用户界面Vue.js是一个流行的JavaScript框架，它致力于通过简单的API和高度响应的设计，帮助开发者构建高效、动态的前端应用。在Vue.js中，组件是构建用户界面的核心单元。它们使得应用的结构更加模块化、可维护且易于重用。在这篇博客中，我们将深入探讨Vue.js组件的开发方法，包括组件的基本概念、创建、传递数据、事件处理以及组件之间的通信等关键内容
  • uniapp 小程序 语音录制 你的眼睛會笑 uni-app小程序
    uniapp小程序语音录制微信小程序管理平台添加同声编译微信公共平台登陆添加微信同声传译使用manifest.json"mp-weixin":{"appid":"xxxxxxxxxxxx","plugins":{"WechatSI":{"version":"0.3.6","provider":"xxxxxxxxxx"//插件的AppID，插件内有说明}},},直接使用上代码你说了-----{{ms
  • 一些流行的拖拽化和低代码平台(汇总) 视频砖家 文章存档低代码低代码平台
    一些流行的拖拽化和低代码平台，这些工具可以帮助用户快速构建应用程序，无需深入的编程知识：1.开源拖拽库dragula：一款强大且兼容性极好的拖拽排序库，支持多种框架，如vanillaJavaScript、Angular、React等。Interact.js：提供拖拽、调整尺寸和多点触摸手势功能，适用于现代浏览器。react-dnd：React组件库，用于实现拖拽功能。Sortable：适用于多种框
  • Vue.js 组件开发：构建可重用且高效的 UI 块 沉浮yu大海 vue.jsui前端
    在现代前端开发中，Vue.js凭借其简洁的语法、强大的数据绑定能力和灵活的组件系统，成为许多开发者的首选框架。组件化开发是Vue.js的核心特性之一，它允许我们将大型应用拆分成多个独立、可复用的部分，从而提高代码的可维护性和扩展性。本文将带你深入了解Vue.js组件开发的基本概念和最佳实践，帮助你构建高效且可重用的UI组件。一、Vue.js组件基础在Vue.js中，组件是可复用的Vue实例，它们封
  • Java序列化进阶篇 g21121 java序列化
            1.transient         类一旦实现了Serializable 接口即被声明为可序列化，然而某些情况下并不是所有的属性都需要序列化，想要人为的去阻止这些属性被序列化，就需要用到transient 关键字。
  • escape()、encodeURI()、encodeURIComponent()区别详解 aigo JavaScriptWeb
    原文：http://blog.sina.com.cn/s/blog_4586764e0101khi0.html   JavaScript中有三个可以对字符串编码的函数，分别是： escape,encodeURI,encodeURIComponent，相应3个解码函数：,decodeURI,decodeURIComponent 。 下面简单介绍一下它们的区别 1 escape()函
  • ArcgisEngine实现对地图的放大、缩小和平移 Cb123456 添加矢量数据对地图的放大、缩小和平移Engine
    ArcgisEngine实现对地图的放大、缩小和平移:  个人觉得是平移，不过网上的都是漫游，通俗的说就是把一个地图对象从一边拉到另一边而已。就看人说话吧.  具体实现: 一、引入命名空间    using ESRI.ArcGIS.Geometry;    using ESRI.ArcGIS.Controls; 二、代码实现.
  • Java集合框架概述 天子之骄 Java集合框架概述
       集合框架 集合框架可以理解为一个容器，该容器主要指映射(map)、集合(set)、数组(array)和列表(list)等抽象数据结构。 从本质上来说，Java集合框架的主要组成是用来操作对象的接口。不同接口描述不同的数据类型。   简单介绍：   Collection接口是最基本的接口，它定义了List和Set，List又定义了LinkLi
  • 旗正4.0页面跳转传值问题 何必如此 javajsp
    跳转和成功提示 a)        成功字段非空forward 成功字段非空forward，不会弹出成功字段，为jsp转发，页面能超链接传值,传输变量时需要拼接。接拼接方式list.jsp?test="+strweightUnit+"或list.jsp?test="+weightUnit+&qu
  • 全网唯一:移动互联网服务器端开发课程 cocos2d-x小菜 web开发移动开发移动端开发移动互联程序员
        移动互联网时代来了！     App市场爆发式增长为Web开发程序员带来新一轮机遇，近两年新增创业者，几乎全部选择了移动互联网项目！传统互联网企业中超过98%的门户网站已经或者正在从单一的网站入口转向PC、手机、Pad、智能电视等多端全平台兼容体系。据统计，AppStore中超过85%的App项目都选择了PHP作为后端程
  • Log4J通用配置|注意问题 笔记 7454103 DAOapachetomcatlog4jWeb
    关于日志的等级 那些去 百度就知道了！ 这几天 要搭个新框架  配置了 日志 记下来 ！做个备忘！ #这里定义能显示到的最低级别,若定义到INFO级别,则看不到DEBUG级别的信息了~! log4j.rootLogger=INFO,allLog # DAO层 log记录到dao.log 控制台 和 总日志文件 log4j.logger.DAO=INFO,dao,C
  • SQLServer TCP/IP 连接失败问题 ---SQL Server Configuration Manager darkranger sqlcwindowsSQL ServerXP
    当你安装完之后,连接数据库的时候可能会发现你的TCP/IP 没有启动.. 发现需要启动客户端协议 : TCP/IP  需要打开 SQL Server Configuration Manager... 却发现无法打开 SQL Server Configuration Manager..?? 解决方法:  C:\WINDOWS\system32目录搜索framedyn.
  • [置顶] 做有中国特色的程序员 aijuans 程序员
    从出版业说起 网络作品排到靠前的，都不会太难看，一般人不爱看某部作品也是因为不喜欢这个类型，而此人也不会全不喜欢这些网络作品。究其原因，是因为网络作品都是让人先白看的，看的好了才出了头。而纸质作品就不一定了，排行榜靠前的，有好作品，也有垃圾。 许多大牛都是写了博客，后来出了书。这些书也都不次，可能有人让为不好，是因为技术书不像小说，小说在读故事，技术书是在学知识或温习知识，有些技术书读得可
  • document.domain 跨域问题 avords document
    document.domain用来得到当前网页的域名。比如在地址栏里输入：javascript:alert(document.domain); //www.315ta.com我们也可以给document.domain属性赋值，不过是有限制的，你只能赋成当前的域名或者基础域名。比如：javascript:alert(document.domain = "315ta.com");
  • 关于管理软件的一些思考 houxinyou 管理
    工作好多看年了,一直在做管理软件,不知道是我最开始做的时候产生了一些惯性的思维,还是现在接触的管理软件水平有所下降.换过好多年公司,越来越感觉现在的管理软件做的越来越乱. 在我看来,管理软件不论是以前的结构化编程,还是现在的面向对象编程,不管是CS模式,还是BS模式.模块的划分是很重要的.当然,模块的划分有很多种方式.我只是以我自己的划分方式来说一下. 做为管理软件,就像现在讲究MVC这
  • NoSQL数据库之Redis数据库管理(String类型和hash类型) bijian1013 redis数据库NoSQL
    一.Redis的数据类型 1.String类型及操作         String是最简单的类型，一个key对应一个value，string类型是二进制安全的。Redis的string可以包含任何数据，比如jpg图片或者序列化的对象。         Set方法：设置key对应的值为string类型的value
  • Tomcat 一些技巧 征客丶 javatomcatdos
    以下操作都是在windows 环境下 一、Tomcat 启动时配置 JAVA_HOME 在 tomcat 安装目录，bin 文件夹下的 catalina.bat 或 setclasspath.bat 中添加 set JAVA_HOME=JAVA 安装目录 set JRE_HOME=JAVA 安装目录/jre 即可； 二、查看Tomcat 版本 在 tomcat 安装目
  • 【Spark七十二】Spark的日志配置 bit1129 spark
    在测试Spark Streaming时，大量的日志显示到控制台，影响了Spark Streaming程序代码的输出结果的查看(代码中通过println将输出打印到控制台上)，可以通过修改Spark的日志配置的方式，不让Spark Streaming把它的日志显示在console   在Spark的conf目录下，把log4j.properties.template修改为log4j.p
  • Haskell版冒泡排序 bookjovi 冒泡排序haskell
    面试的时候问的比较多的算法题要么是binary search，要么是冒泡排序，真的不想用写C写冒泡排序了，贴上个Haskell版的，思维简单，代码简单，下次谁要是再要我用C写冒泡排序，直接上个haskell版的，让他自己去理解吧。     sort [] = [] sort [x] = [x] sort (x:x1:xs) | x>x1 = x1:so
  • java 路径 配置文件读取 bro_feng java
    这几天做一个项目，关于路径做如下笔记，有需要供参考。 取工程内的文件，一般都要用相对路径，这个自然不用多说。 在src统计目录建配置文件目录res,在res中放入配置文件。 读取文件使用方式： 1. MyTest.class.getResourceAsStream("/res/xx.properties") 2. properties.load(MyTest.
  • 读《研磨设计模式》-代码笔记-简单工厂模式 bylijinnan java设计模式
    声明： 本文只为方便我个人查阅和理解，详细的分析以及源代码请移步 原作者的博客http://chjavach.iteye.com/ package design.pattern; /* * 个人理解：简单工厂模式就是IOC; * 客户端要用到某一对象，本来是由客户创建的，现在改成由工厂创建，客户直接取就好了 */ interface IProduct {
  • SVN与JIRA的关联 chenyu19891124 SVN
    SVN与JIRA的关联一直都没能装成功，今天凝聚心思花了一天时间整合好了。下面是自己整理的步骤： 一、搭建好SVN环境，尤其是要把SVN的服务注册成系统服务 二、装好JIRA，自己用是jira-4.3.4破解版 三、下载SVN与JIRA的插件并解压，然后拷贝插件包下lib包里的三个jar，放到Atlassian\JIRA 4.3.4\atlassian-jira\WEB-INF\lib下，再
  • JWFDv0.96 最新设计思路 comsci 数据结构算法工作企业应用公告
                       随着工作流技术的发展，工作流产品的应用范围也不断的在扩展，开始进入了像金融行业(我已经看到国有四大商业银行的工作流产品招标公告了)，实时生产控制和其它比较重要的工程领域，而
  • vi 保存复制内容格式粘贴 daizj vi粘贴复制保存原格式不变形
        vi是linux中非常好用的文本编辑工具，功能强大无比，但对于复制带有缩进格式的内容时，粘贴的时候内容错位很严重，不会按照复制时的格式排版，vi能不能在粘贴时，按复制进的格式进行粘贴呢？ 答案是肯定的，vi有一个很强大的命令可以实现此功能 。     在命令模式输入:set paste，则进入paste模式，这样再进行粘贴时
  • shell脚本运行时报错误：/bin/bash^M: bad interpreter 的解决办法 dongwei_6688 shell脚本
    出现原因：windows上写的脚本，直接拷贝到linux系统上运行由于格式不兼容导致 解决办法： 1. 比如文件名为myshell.sh，vim myshell.sh 2. 执行vim中的命令 : set ff?查看文件格式，如果显示fileformat=dos，证明文件格式有问题 3. 执行vim中的命令 :set fileformat=unix 将文件格式改过来就可以了，然后:w
  • 高一上学期难记忆单词 dcj3sjt126com wordenglish
    honest 诚实的；正直的 argue 争论 classical 古典的 hammer 锤子 share  分享；共有 sorrow 悲哀；悲痛 adventure 冒险 error 错误；差错 closet 壁橱；储藏室 pronounce 发音；宣告 repeat 重做；重复 majority 大多数；大半   native 本国的，本地的，本国
  • hibernate查询返回DTO对象，DTO封装了多个pojo对象的属性 frankco POJOhibernate查询DTO
          DTO-数据传输对象；pojo-最纯粹的java对象与数据库中的表一一对应。       简单讲：DTO起到业务数据的传递作用，pojo则与持久层数据库打交道。         有时候我们需要查询返回DTO对象，因为DTO
  • Partition List hcx2013 partition
    Given a linked list and a value x, partition it such that all nodes less than x come before nodes greater than or equal to x. You should preserve the original relative order of th
  • Spring MVC测试框架详解——客户端测试 jinnianshilongnian
    上一篇《Spring MVC测试框架详解——服务端测试》已经介绍了服务端测试，接下来再看看如果测试Rest客户端，对于客户端测试以前经常使用的方法是启动一个内嵌的jetty/tomcat容器，然后发送真实的请求到相应的控制器；这种方式的缺点就是速度慢；自Spring 3.2开始提供了对RestTemplate的模拟服务器测试方式，也就是说使用RestTemplate测试时无须启动服务器，而是模拟一
  • 关于推荐个人观点 liyonghui160com 推荐系统关于推荐个人观点
        回想起来，我也做推荐了3年多了，最近公司做了调整招聘了很多算法工程师，以为需要多么高大上的算法才能搭建起来的，从实践中走过来，我只想说【不是这样的】     第一次接触推荐系统是在四年前入职的时候，那时候，机器学习和大数据都是没有的概念，什么大数据处理开源软件根本不存在，我们用多台计算机web程序记录用户行为，用.net的w
  • 不间断旋转的动画 pangyulei 动画
    CABasicAnimation* rotationAnimation; rotationAnimation = [CABasicAnimation animationWithKeyPath:@"transform.rotation.z"]; rotationAnimation.toValue = [NSNumber numberWithFloat: M
  • 自定义annotation sha1064616837 javaenumannotationreflect
    对象有的属性在页面上可编辑，有的属性在页面只可读，以前都是我们在页面上写死的，时间一久有时候会混乱，此处通过自定义annotation在类属性中定义。越来越发现Java的Annotation真心很强大，可以帮我们省去很多代码，让代码看上去简洁。 下面这个例子 主要用到了 1.自定义annotation：@interface，以及几个配合着自定义注解使用的几个注解 2.简单的反射 3.枚举
  • Spring 源码 up2pu spring
    1.Spring源代码 https://github.com/SpringSource/spring-framework/branches/3.2.x 注：兼容svn检出 2.运行脚本 import-into-eclipse.bat 注：需要设置JAVA_HOME为jdk 1.7 build.gradle compileJava { sourceCompatibilit
  • 利用word分词来计算文本相似度 yangshangchuan wordword分词文本相似度余弦相似度简单共有词
    word分词提供了多种文本相似度计算方式： 方式一：余弦相似度，通过计算两个向量的夹角余弦值来评估他们的相似度 实现类：org.apdplat.word.analysis.CosineTextSimilarity 用法如下： String text1 = "我爱购物"; String text2 = "我爱读书"; String text3 =