冲浪中台
冲浪中台

前端如何安全的渲染HTML字符串?

在现代的Web 应用中，动态生成和渲染 HTML 字符串是很常见的需求。然而，不正确地渲染HTML字符串可能会导致安全漏洞，例如跨站脚本攻击（XSS）。为了确保应用的安全性，我们需要采取一些措施来在安全的环境下渲染HTML字符串。本文将介绍一些安全渲染 HTML 字符串的最佳实践，以帮助你有效地避免潜在的安全风险。

一、常见渲染方式

首先来看一下如何在 HTML、React、Vue、Angular 中渲染HTML字符串。

HTML

在HTML中渲染HTML字符串，可以使用原生JavaScript的innerHTML属性或者创建元素节点并使用appendChild()方法来实现。

（1）使用innerHTML属性：可以通过获取要渲染HTML的目标元素，并将HTML字符串赋值给其innerHTML属性来渲染HTML字符串。例如：

这将在

内部渲染出

Hello, World!

。

（2）创建元素节点和appendChild()方法：可以使用document.createElement()方法创建元素节点，并使用appendChild()方法将该节点添加到父元素中。例如：

这将在

内部渲染出

Hello, World!

。

React

可以通过使用dangerouslySetInnerHTML属性在 React 中渲染HTML字符串。但是，正如这个属性的名字所言，它存在安全风险，HTML 不会被转义，可能会导致XSS问题，因此请慎重使用。

import React from 'react';

const MyComponent = () => {
  const htmlString = '
Hello, React!
';

  return (
    

);
}

export default MyComponent;

这里将要渲染的HTML字符串存储在htmlString变量中，并将其传递给dangerouslySetInnerHTML属性的__html属性。React会将该字符串作为HTML内容插入到被渲染的组件中。

Vue

可以使用v-html指令在Vue中渲染HTML字符串。与在React中使用dangerouslySetInnerHTML类似，使用v-html时需要格外小心。

这里将要渲染的HTML字符串存储在htmlString中，并通过v-html指令将其绑定到需要渲染的元素上（这里是

）。Vue会将htmlString中的字符串解析为HTML，并将其插入到被渲染的元素中。

Angular

可以使用[innerHTML]属性在Angular中渲染 HTML 字符串。

这里将要渲染的HTML字符串存储在名为htmlString的变量中，并将其绑定到[innerHTML]属性上。Angular会将htmlString中的字符串解析为HTML，并将其插入到相应的DOM节点中。

与其他框架相似，使用[innerHTML]属性绑定时要特别小心。确保渲染的HTML字符串是可靠和安全的，避免直接从用户输入或不受信任的来源获取HTML字符串，以防止XSS攻击等安全问题。

另外，Angular也提供了一些内置的安全机制来帮助保护应用免受安全威胁。例如，通过使用Angular的内置管道（如DomSanitizer）对HTML字符串进行转义和验证，可以提高应用的安全性。

import { Component } from '@angular/core';
import { DomSanitizer, SafeHtml } from '@angular/platform-browser';

@Component({
  selector: 'app-example',
  template: `
    

  `,
})
export class ExampleComponent {
  htmlString: string = '
Hello, Angular!
';

  constructor(private sanitizer: DomSanitizer) {}

  getSafeHtml(): SafeHtml {
    return this.sanitizer.bypassSecurityTrustHtml(this.htmlString);
  }
}

这里首先导入DomSanitizer和SafeHtml，这是Angular的内置服务和类型。然后，在组件中使用DomSanitizer通过调用bypassSecurityTrustHtml()方法对HTML字符串进行转义和验证。最后，将返回的SafeHtml对象绑定到[innerHTML]属性上，以进行安全的HTML渲染。

通过使用DomSanitizer服务，Angular会对HTML字符串进行安全检查，并只允许受信任的内容进行渲染，从而减少潜在的安全风险。

注意，在使用DomSanitizer时，确保只对受信任和经过验证的HTML字符串进行操作，并避免直接从用户输入或不受信任的来源获取HTML字符串。这样可以确保应用的安全性，并防止潜在的XSS攻击等安全问题。

二、HTML Sanitizer API

从上面的例子中可以看到，在常见的框架以及在HTML中渲染HTML字符串都存在一定的安全风险。当将用户提供的或不受信任的HTML字符串直接渲染到应用中时，可能会导致跨站脚本攻击（XSS）等安全漏洞。因此，在处理和渲染HTML字符串时，需要采取适当的安全措施来防止潜在的安全问题。

那 HTML 中有没有方法可以让我们安全的渲染 HTML 字符串呢？有，它就是 HTML Sanitizer API。不过这个 API 目前仍然是实验性的，在主流浏览器都支持之前，尽量不要在生产环境使用。下面先来看看这个 API 是怎么用的，为未来该 API 普遍可用做准备。

是什么？

HTML Sanitizer API 在 2021 年初的草案规范中首次被宣布。它为网站上动态更新的HTML提供原生浏览器支持，可以从中删除恶意代码。可以使用 HTML Sanitizer API 在将不安全的 HTML 字符串和 Document 或 DocumentFragment 对象插入到 DOM 中之前对其进行清理和净化。

构建独立的 API 来进行清理的主要目标是：

  • 减少 Web 应用中跨站脚本攻击的攻击面。
  • 保证 HTML 输出在当前用户代理中的安全性。
  • 提高清理器的可用性并使其更方便使用。

HTML Sanitizer API 的出现旨在提供一种方便且安全的方式来处理和净化 HTML，以减少潜在的安全风险，并提高用户代理的安全性。

Sanitizer API 带来了一系列新功能，用于字符串的净化过程：

  • 用户输入的净化：该 API 的主要功能是接受并将字符串转换为更安全的形式。这些转换后的字符串不会意外执行 JavaScript，并确保您的应用程序受到跨站脚本攻击的保护。
  • 浏览器维护：此库已预先安装在浏览器中，并将在发现错误或新的攻击向量时进行更新。因此，现在拥有了一个内置的净化器，无需导入任何外部库。
  • 安全且简单易用：将净化操作转移到浏览器中使其更加便捷、安全和快速。由于浏览器已经具有强大而安全的解析器，它知道如何处理 DOM 中的每个活动元素。与浏览器相比，用 JavaScript 开发的外部解析器可能成本较高，并且很快就会过时。

怎么用？

使用 Sanitizer API 非常简单，只需使用 Sanitizer() 构造函数实例化 Sanitizer 类，并配置实例即可。

对于数据的净化，该 API 提供了三个基本方法。让我们看看应该如何以及何时使用它们。

  • 使用隐含上下文对字符串进行净化 

Element.setHTML() 用于解析和净化字符串，并立即将其插入到 DOM 中。这适用于已知目标 DOM 元素并且 HTML 内容以字符串形式存在的情况。

const $div = document.querySelector('div');
const user_input = `Hello There`;
const sanitizer = new Sanitizer() // Our Sanitizer

$div.setHTML(user_input, sanitizer); // 
Hello There

这里想将 user_string 中的 HTML 插入到 id 为 target 的目标元素中。也就是说，希望实现得到与 target.innerHTML = value 相同的效果，但避免 XSS 风险。

  • 使用给定上下文对字符串进行净化

Sanitizer.sanitizeFor() 用于解析、净化和准备字符串，以便稍后添加到 DOM 中。当 HTML 内容以字符串形式存在，并且已知目标 DOM 元素类型（例如 div、span）时，此方法最适用。

const user_input = `Hello There`
const sanitizer = new Sanitizer()

sanitizer.sanitizeFor("div", user_input) // HTMLDivElement

Sanitizer.sanitizeFor()的第一个参数描述了此结果所用于的节点类型。

在使用 sanitizeFor() 方法时，解析 HTML 字符串的结果取决于其所在的上下文/元素。例如，如果将包含  元素的 HTML 字符串插入到 

 元素中，则是允许的。但如果将其插入到 
 元素中，它将被移除。因此，在使用 Sanitizer.sanitizeFor() 方法时，必须将目标元素的标签指定为参数。

sanitizeFor(element, input)

这里也可以使用 HTML 元素中的 .innerHTML 来获取字符串形式的清理结果。

sanitizer.sanitizeFor("div", user_input).innerHTML // Hello There
  • 使用节点进行净化

当已经有一个用户可控的 DocumentFragment 时，可以使用 Sanitizer.sanitize() 方法对 DOM 树节点进行净化。

const sanitizer = new Sanitizer()
const $userDiv = ...;
$div.replaceChildren(s.sanitize($userDiv));

除此之外，Sanitizer API 还通过删除和过滤属性和标签来修改 HTML 字符串。例如，Sanitizer API：

  • 删除某些标签（script、marquee、head、frame、menu、object 等），但保留内容标签。
  • 删除大多数属性。只会保留  标签上的 href 和 
、 标签上的 colspans，其他属性将被删除。
  • 过滤可能引起脚本执行的字符串。

    • 自定义

    默认情况下，Sanitizer 实例仅用于防止 XSS 攻击。但是，在某些情况下，可能需要自定义配置的清理器。接下来，下面来看看如何自定义 Sanitizer API。

    如果想创建自定义的清理器配置，只需要创建一个配置对象，并在初始化 Sanitizer API 时将其传递给构造函数即可。

    const config = {
  allowElements: [],
  blockElements: [],
  dropElements: [],
  allowAttributes: {},
  dropAttributes: {},
  allowCustomElements: true,
  allowComments: true
};
// 清理结果由配置定制
new Sanitizer(config)

    以下配置参数定义了清理器应如何处理给定元素的净化结果。

    • allowElements：指定清理器应保留在输入中的元素。
    • blockElements：指定清理器应从输入中删除但保留其子元素的元素。
    • dropElements：指定清理器应从输入中删除，包括其子元素在内的元素。
    const str = `hello there`

new Sanitizer().sanitizeFor("div", str)
// 
    hello there
    

new Sanitizer({allowElements: [ "b" ]}).sanitizeFor("div", str)
// 
    hello there
    

new Sanitizer({blockElements: [ "b" ]}).sanitizeFor("div", str)
// 
    hello there
    

new Sanitizer({allowElements: []}).sanitizeFor("div", str)
// 
    hello there

    使用 allowAttributes 和 dropAttributes 参数可以定义允许或删除哪个属性。

    const str = `hello there`

new Sanitizer().sanitizeFor("div", str)
// 
    hello there
    

new Sanitizer({allowAttributes: {"style": ["span"]}}).sanitizeFor("div", str)
// 
    hello there
    

new Sanitizer({dropAttributes: {"id": ["span"]}}).sanitizeFor("div", str)
// 
    hello there

    AllowCustomElements 参数允许或拒绝使用自定义元素。

    const str = `hello there`

new Sanitizer().sanitizeFor("div", str);
// 
    

new Sanitizer({ allowCustomElements: true,
                allowElements: ["div", "elem"]
              }).sanitizeFor("div", str);
// 
    hello there

    注意：如果创建的 Sanitizer 没有任何参数且没有明确定义的配置，则将应用默认配置值。

    浏览器支持

    目前，浏览器对 Sanitizer API 的支持有限，并且规范仍在制定中。该 API 仍处于实验阶段，因此在生产中使用之前应关注其变化进展。

    前端如何安全的渲染HTML字符串?_第1张图片

    三、第三方库

    到这里我们就知道了，原生 API 和常用的前端框架都没有提供可用的方式来安全的渲染HTML。在实际的开发中，我们可以借助已有的第三方库来安全的渲染 HTML，下面就来介绍几个常用给的库。

    DOMPurify

    DOMPurify 是一款流行的JavaScript库，用于在浏览器环境下进行HTML净化和防止跨站脚本攻击（XSS）。它通过移除恶意代码、过滤危险标签和属性等方式来保护网页免受XSS攻击的威胁。DOMPurify使用了严格的解析和验证策略，并提供了可配置的选项，以便开发人员根据自己的需求进行定制。它可以轻松地集成到现有的Web应用程序中，并且被广泛认为是一种安全可靠的HTML净化解决方案。

    可以通过以下步骤来使用 DOMPurify：

    （1）首先，安装DOMPurify库。可以通过运行以下命令来安装它：2

    npm install dompurify

    （2）在需要使用的组件文件中，引入DOMPurify库：

    import DOMPurify from 'dompurify';

    （3）在组件的适当位置，使用 DOMPurify 来净化HTML字符串，下面以 React 为例：

    import React from 'react';

const MyComponent = () => {
  const userInput = '
    Hello, World!
    ';
  const cleanedHtml = DOMPurify.sanitize(userInput);

  return 
    ;
};

    这里通过在React组件的dangerouslySetInnerHTML属性中传递净化后的HTML内容来显示安全的HTML。

    DOMPurify提供了一些选项和配置，可以使用这些选项来自定义DOMPurify的行为：

    import DOMPurify from 'dompurify';

// 创建自定义的白名单（允许的标签和属性）
const myCustomWhiteList = DOMPurify.sanitize.defaults.allowedTags.concat(['custom-tag']);
const myCustomAttributes = ['data-custom-attr'];

// 创建自定义选项
const myOptions = {
  ALLOWED_TAGS: myCustomWhiteList,
  ATTRIBUTES: {
    ...DOMPurify.sanitize.defaults.ALLOWED_ATTR,
    'custom-tag': myCustomAttributes,
  },
};

const userInput = '
    Hello, World!
    Custom Content';

const cleanedHtml = DOMPurify.sanitize(userInput, myOptions);

console.log(cleanedHtml);
// 输出: 
    Hello, World!
    Custom Content

    这里定义了一个自定义的白名单myCustomWhiteList，包含了DOMPurify默认的允许标签，并添加了一个名为custom-tag的自定义标签。我们还定义了一个包含自定义属性data-custom-attr的对象myCustomAttributes。然后，创建了一个自定义选项myOptions，通过覆盖ALLOWED_TAGS和ATTRIBUTES来应用自定义的白名单和属性规则。最后，使用DOMPurify.sanitize()方法，并传入用户输入的HTML和自定义选项myOptions，DOMPurify 会根据自定义规则进行过滤和净化。

    可以根据需要定义自己的白名单（允许的标签）和属性，并在自定义选项中使用它们来自定义DOMPurify的行为。

    js-xss

    js-xss是一个JavaScript库，用于防御和过滤跨站脚本攻击（XSS）。它提供了一组方法和函数，可以净化和转义用户输入的HTML内容，以确保在浏览器环境中呈现的HTML是安全的。

    js-xss库使用白名单过滤器的概念来防御XSS攻击。它定义了一组允许的HTML标签和属性，同时还提供了一些选项和配置来定制过滤规则。使用js-xss，可以对用户提交的HTML内容进行净化，删除或转义所有潜在的危险代码，只保留安全的HTML标签和属性。

    可以通过以下步骤来使用 js-xss：

    （1）安装js-xss库：通过npm或yarn安装js-xss库。

    npm install xss

    （2）导入js-xss库：在React组件文件中导入js-xss库。

    import xss from 'xss';

    （3）使用js-xss过滤HTML内容：在需要过滤HTML的地方，调用js-xss的方法来净化HTML。

    import React from 'react';
import xss from 'xss';

const MyComponent = () => {
  const userInput = '
    Hello, World!
    ';
  const cleanedHtml = xss(userInput);

  return 
    ;
};

export default MyComponent;

    这里在MyComponent组件中使用了dangerouslySetInnerHTML属性来渲染HTML内容。通过调用xss()函数并传入用户输入的HTML，我们可以将其过滤和净化，并将结果设置为组件的内容。

    js-xss库提供了一些选项和配置，可以使用这些选项来定义自定义的过滤规则：

    import xss from 'xss';

// 创建自定义WhiteList过滤规则
const myCustomWhiteList = {
  a: ['href', 'title', 'target'], // 只允许'a'标签的'href', 'title', 'target'属性
  p: [], // 允许空白的'p'标签
  img: ['src', 'alt'], // 只允许'img'标签的'src', 'alt'属性
};

// 创建自定义选项
const myOptions = {
  whiteList: myCustomWhiteList, // 使用自定义的WhiteList过滤规则
};

const userInput = '
    Hello, World!
    Example';

const cleanedHtml = xss(userInput, myOptions);

console.log(cleanedHtml);
// 输出: 
    Hello, World!
    Example

    这里定义了一个自定义的WhiteList过滤规则myCustomWhiteList，并将其传递给定义的选项myOptions。然后，调用xss()函数时传入用户输入的HTML和自定义选项，js-xss库会根据自定义的规则进行过滤和净化。

    sanitize-html

    sanitize-html 是一个用于净化和过滤HTML代码的JavaScript库。它被设计用于去除潜在的恶意或不安全的内容，以及保护应用程序免受跨站脚本攻击（XSS）等安全漏洞的影响。它提供了一种简单而灵活的方式来清理用户输入的HTML代码，以确保只有安全的标签、属性和样式保留下来，并且不包含任何恶意代码或潜在的危险内容。

    sanitize-html使用一个白名单（配置选项）来定义允许的标签、属性和样式，并将所有不在白名单内的内容进行过滤和删除。它还可以处理不匹配的标签、标签嵌套问题和其他HTML相关的问题。

    可以通过以下步骤来使用 sanitize-html：

    （1）在项目中安装sanitize-html库：

    npm install sanitize-html

    （2）在组件中引入sanitize-html库：

    import sanitizeHtml from 'sanitize-html';

    （3）在组件中使用sanitizeHtml函数来净化和过滤HTML代码。例如，您以将用户输入的HTML存储在组件的状态或属性中，并在渲染时应用sanitizeHtml函数：

    import React from 'react';
import sanitizeHtml from 'sanitize-html';

function MyComponent() {
  const userInput = '
    Hello, World!
    ';
  const cleanedHtml = sanitizeHtml(userInput);

  return (
    
    
      
    
    
    
  );
}

    这里在组件内部定义了用户输入的HTML代码，并使用sanitizeHtml函数对其进行净化。然后，使用dangerouslySetInnerHTML属性将经过净化的HTML代码渲染到页面上。

    可以使用sanitize-html提供的sanitize函数并传递一个配置对象作为参数来自定义sanitize-html的配置，配置对象可以包含一系列选项，用于定义过滤规则和允许的HTML标签和属性等。

    import sanitizeHtml from 'sanitize-html';

const customConfig = {
  allowedTags: ['b', 'i', 'u'], // 允许的标签
  allowedAttributes: {
    a: ['href'] // 允许的a标签属性
  },
  allowedSchemes: ['http', 'https'], // 允许的URL协议
  allowedClasses: {
    b: ['bold', 'highlight'], // 允许的b标签的class
    i: ['italic'] // 允许的i标签的class
  },
  transformTags: {
    b: 'strong', // 将b标签转换为strong标签
    i: 'em' // 将i标签转换为em标签
  },
  nonTextTags: ['style', 'script', 'textarea', 'noscript'] // 不允许解析的标签
};

const userInput = 'Hello World Link';

const cleanedHtml = sanitizeHtml(userInput, customConfig);

    这里创建了一个名为customConfig的配置对象，其中包含了一些自定义的过滤规则和选项。这个配置对象定义了允许的标签、允许的属性、允许的URL协议、允许的CSS类名、标签的转换规则以及不允许解析的标签等。

    然后，将用户输入的HTML代码作为第一个参数传递给sanitizeHtml函数，并将customConfig作为第二个参数传递。sanitizeHtml函数将根据配置对象中定义的规则对HTML代码进行过滤和净化，并返回经过净化后的HTML代码。

    相关拓展：前端开发利器

    扯个嗓子！关于目前低代码在技术领域很活跃！

    低代码是什么？一组数字技术工具平台，能基于图形化拖拽、参数化配置等更为高效的方式，实现快速构建、数据编排、连接生态、中台服务等。通过少量代码或不用代码实现数字化转型中的场景应用创新。它能缓解甚至解决庞大的市场需求与传统的开发生产力引发的供需关系矛盾问题，是数字化转型过程中降本增效趋势下的产物。

    这边介绍一款好用的低代码平台——JNPF快速开发平台。近年在市场表现和产品竞争力方面表现较为突出，采用的是最新主流前后分离框架（SpringBoot+Mybatis-plus+Ant-Design+Vue3）。代码生成器依赖性低，灵活的扩展能力，可灵活实现二次开发。

    以JNPF为代表的企业级低代码平台为了支撑更高技术要求的应用开发，从数据库建模、Web API构建到页面设计，与传统软件开发几乎没有差异，只是通过低代码可视化模式，减少了构建“增删改查”功能的重复劳动，还没有了解过低代码的伙伴可以尝试了解一下。

    应用：https://www.jnpfsoft.com/?csdn

    有了它，开发人员在开发过程中就可以轻松上手，充分利用传统开发模式下积累的经验。所以低代码平台对于程序员来说，有着很大帮助。

    你可能感兴趣的:(前端,安全,html)

    • AI应用服务 SUPER5266 人工智能
      AI大模型--AI应用，该如何和前端交互，呈现llm模型答复内容呢？向LLM大模型提问后，系统得先识别问题，再从数据网络找信息，接着推理出正确结果，还得防止模型“胡编乱造”（控制模型幻想）。有时多个智能体（agent）要一起处理，结果还得融合。这些步骤都是异步进行的，没法像传统应用接口那样实时出结果。为减少大模型结果延迟、提升用户体验，我们提供以下方案。方案1、轮询后端pedding结果到db或其
    • 如何抉择HTTPS&Proxy？ 彬彬醤 https网络协议http网络chatgpt服务器数据库
      HTTPS（超文本传输安全协议）通过TLS/SSL加密保护数据传输，而Proxy（也就是我们常说的网络代理）作为网络中间节点转发请求，二者结合形成“加密传输+灵活转发”的双重保障。这种协同机制的核心价值在于：安全增强：HTTPS加密避免数据被窃听或篡改，代理隐藏真实IP降低直接攻击风险；访问控制：通过代理实现跨地域访问，同时HTTPS确保代理节点与客户端/目标服务器的通信安全。无论是企业跨境数据传
    • 2.3 前端-ts的接口以及自定义类型 许昌第一深情 前端前端java开发语言
      接口接口定义：exportinterfacePerson{id:string,name:string,gender:number}接口引用：符号:意义是类型注解符号，声明变量类型，编译器可以进行类型检查。//导入的type前缀一定得加import{typePerson}from'...';letp:Person={id:'253465',name:'arfwf',gender:1};//或者复杂的
    • 如何将 iPhone 备份到笔记本电脑？
      将iPhone备份到电脑是一种明智的方式，可以在手机丢失、损坏或无法使用时保护数据安全。此外，它还可以方便您将数据转移到新的iPhone或安卓设备。无论您使用的是Windows还是Mac系统，都可以通过iTunes、Finder（Mac）、iCloud或可靠的第三方应用程序等工具将iPhone备份到笔记本电脑。在本指南中，我们将逐一介绍这些方法，并为您提供详细的iPhone备份到笔记本电脑的说明。
    • 云手机隐私保护指南：如何保障账号与数据的云端安全？ Clownseven 智能手机安全
      用云手机，担心账号被盗？数据泄露？其实，你不是一个人。只要是把设备和数据放在“云端”，很多人都会下意识问一句：“安全吗？”云手机虽方便，但毕竟是基于虚拟化的云服务，本地可控性差，安全隐患看似无处不在。那么，云手机到底安不安全？如何才能确保账号和数据的云端安全？这篇文章，我们不谈空洞理论，直接从实战角度帮你拆解云手机的隐私保护问题。云手机为什么会有隐私风险？很多人把云手机想得过于“透明安全”，但事实
    • 第一章 【vue】基础（超详细） ᝰ落念英 vue.js前端javascriptweb开发语言前端框架vue
      Vue基础Vue在HTML中的引入使用Vue渲染数据Vue可直接渲染定义在data里的数据,渲染动态数据使用“{{}}"包裹示例代码{{message}}{{arr}}{{arr.name}}{{arr.age}}{{obj[2]}}在js中挂载Vue实例Vue实列的作用范围：vue会管理el选项命中的元素及其后代元素是否可以使用其他选择器但是建议使用id选择器是否可以设置其他的dom元素可以使用
    • 全局 WAF 规则：构筑 Web 安全的坚固防线 2501_91022519 安全网络
      定义：全局WAF（Web应用防火墙）规则是指在WAF系统中对所有受保护的Web应用或整个网络环境生效的通用防护策略，旨在覆盖常见的Web攻击向量、合规要求及基础安全基线，减少重复配置并确保整体防护的一致性。配置原则：最小权限：仅允许必要的请求行为（如默认阻断所有不常见HTTP方法），减少攻击面。动态更新：定期根据新漏洞（如Log4j、Spring漏洞）、攻击趋势更新规则库（如新增对特定EXP的检测
    • 深入理解红锁 未来并未来 redis数据库缓存
      在构建高并发、高可用的分布式系统时，我们常常会遇到这样一个核心挑战：如何确保多个服务实例能够安全、有序地访问共享资源，避免竞态条件（RaceCondition）和数据不一致？传统单机环境下的锁机制（如Java的synchronized或ReentrantLock）在分布式场景下显得力不从心。于是，分布式锁应运而生，而基于Redis的分布式锁因其高性能和简单性而被广泛应用。然而，单节点Redis锁在
    • Java实现端到端加密终极指南：密钥管理与分发的深度解析 墨夶 Java学习资料4javapython开发语言
      一、为什么选择Java实现端到端加密？企业级可靠性：Java生态提供BouncyCastle等成熟加密库，支持国密SM2/SM4及国际标准算法。全栈可控：从密钥生成到存储、分发、销毁，全程代码可审计，符合GDPR等安全规范。扩展性强：可集成HSM硬件安全模块，支持密钥轮换策略与前向安全性设计。二、核心代码实战：密钥管理与分发全流程2.1密钥生成与存储（国密SM2算法）importorg.bounc
    • 【无标题】 Aczone28 单片机嵌入式硬件
      学习记录：初识Linux操作系统与基本命令今天我正式开始学习Linux操作系统，并对Ubuntu有了初步的了解。Ubuntu是基于GNU工程发布的Linux发行版之一，具有开源、自由、安全和高效的特点，是目前主流的Linux系统之一，广泛应用于服务器、开发环境以及日常桌面使用。在实践中，我接触并掌握了一些常用的Linux命令，包括但不限于以下几个方面：文件和目录操作：-ls：查看当前目录下的文件和
    • 禁止拖动视频进度条来保障视频安全？ 菜包eo 教育视频polyv视频安全音视频安全
      文章目录前言一、何为禁止拖动视频进度条？二、禁止拖动视频进度条的实现原理三、如何实现禁止拖动视频进度条总结前言在知识付费与企业培训场景中，视频内容安全是核心诉求。学员随意拖动进度条可能导致关键知识点遗漏，甚至助长盗录行为。本文深入解析HTML5播放器禁止拖拽进度条的技术方案，通过精准控制播放行为保障学习效果与内容安全。以企业培训、在线教育为例，探讨如何借助技术手段平衡用户体验与内容防护，为开发者提
    • LocalSend：比 AirDrop 更自由！这款神器让文件传输不再受限 开源项目精选 https
      LocalSend是一款免费、开源的跨平台文件传输工具，支持Windows、macOS、Linux、Android和iOS等主流操作系统。它通过HTTPS实现端到端加密传输，无需互联网或外部服务器，即可在局域网内高速、安全地传输文件和文本。其核心优势在于打破平台壁垒，提供高效安全的本地文件共享方案，让您的多设备互联互通变得前所未有的简单。Stars数64,423Forks数3,437主要特点跨平台
    • 第二篇 html5和css3开发基础与应用 ᝰ落念英 html5css3前端开发语言webhtmlcss
      第一章html5开发基础与应用第一节简介2014年10月28日，W3C组织公开发布HTML5标准规范。官方文档地址为：https://www.w3.org/TR/2014/REC-html5-20141028/HTML5.1文档地址：https://www.w3.org/TR/2015/WD-html51-20151008/HTML5.2文档地址：https://www.w3.org/TR/201
    • 【MySQL基础】MySQL事务详解：原理、特性与实战应用 GG Bond.ฺ MySQL学习mysql数据库
      MySQL学习：https://blog.csdn.net/2301_80220607/category_12971838.html?spm=1001.2014.3001.5482前言：事务是数据库管理系统的核心概念之一，它确保了数据库操作的可靠性和一致性。本文将深入探讨MySQL事务的各个方面，包括基本概念、ACID特性、隔离级别、锁机制以及实战应用。目录一、事务的基本概念1.1什么是事务？1.
    • 为什么会出现“与此站点的连接不安全”警告？
      当浏览器弹出“与此站点的连接不安全”的红色警告时，不仅会让访客感到不安，还可能直接导致用户流失、品牌信誉受损，甚至引发数据泄露风险。作为网站运营者，如何快速解决这一问题？一、为什么会出现“与此站点的连接不安全”警告？浏览器提示“不安全连接”，本质上是检测到当前网站与用户之间的数据传输未经过加密保护。以下是触发警告的常见原因：1.未安装SSL证书SSL（SecureSocketsLayer）证书是网
    • 什么是证书吊销列表？CRL 解释 WoTrusSSL sslhttps
      数字证书是安全在线互动的支柱，用于验证身份和确保加密通信。但是，当这些证书被盗用或滥用时，必须立即撤销它们以维持信任。这就是证书撤销列表(CRL)的作用所在。CRL由证书颁发机构(CA)维护，对于识别和撤销已撤销的证书，防止其造成危害至关重要。在本指南中，我们将探讨什么是CRL、它们如何运作以及为什么它们对网络安全至关重要。什么是证书吊销列表(CRL)？证书吊销列表(CRL)是证书颁发机构(CA)
    • 驱动程序为什么要做 WHQL 认证? GDCA SSL证书 网络协议网络
      驱动程序进行WHQL（WindowsHardwareQualityLabs）认证的核心价值在于解决兼容性、安全性和市场准入三大关键问题，具体必要性如下：️‌一、规避系统拦截，保障驱动可用性‌消除安装警告‌未认证的驱动在安装时会触发Windows的‌红色安全警告‌（如“无法验证发布者”），甚至被系统强制拦截。通过WHQL认证的驱动获得微软数字签名，用户可无阻安装‌。满足系统强制要求‌Windows1
    • Guava LoadingCache sqyaa. java并发编程Java知识jvm缓存guava
      LoadingCache是GoogleGuava库提供的一个高级缓存实现，它通过自动加载机制简化了缓存使用模式。核心特性自动加载机制当缓存未命中时，自动调用指定的CacheLoader加载数据线程安全：并发请求下，相同key只会加载一次灵活的过期策略支持基于写入时间(expireAfterWrite)和访问时间(expireAfterAccess)的过期可设置最大缓存大小，基于LRU策略淘汰丰富的
    • JavaScript 树形菜单总结 Auscy microsoft
      树形菜单是前端开发中常见的交互组件，用于展示具有层级关系的数据（如文件目录、分类列表、组织架构等）。以下从核心概念、实现方式、常见功能及优化方向等方面进行总结。一、核心概念层级结构：数据以父子嵌套形式存在，如{id:1,children:[{id:2}]}。节点：树形结构的基本单元，包含自身信息及子节点（若有）。展开/折叠：子节点的显示与隐藏切换，是树形菜单的核心交互。递归渲染：因数据层级不固定，
    • 前端项目架构设计要领
      1.架构设计的核心目标在设计前端项目架构时，核心目标是模块化、可维护、可扩展、可测试，以及开发效率的最大化。这些目标可以通过以下几个方面来实现：组件化：将UI功能封装为可复用的组件。模块化：将业务逻辑分解为独立的模块或服务。自动化构建与部署：实现自动化构建、测试和部署流程，减少人为操作的错误。代码规范化与检查：确保团队协作时，代码风格和质量一致。2.项目目录结构设计一个清晰合理的目录结构对大型项目
    • 精通Canvas：15款时钟特效代码实现指南 烟幕缭绕
      本文还有配套的精品资源，点击获取简介：HTML5的Canvas是一个用于绘制矢量图形的API，通过JavaScript实现动态效果。本项目集合了15种不同的时钟特效代码，帮助开发者通过学习绘制圆形、线条、时间更新、旋转、颜色样式设置及动画效果等概念，深化对Canvas的理解和应用。项目中的CSS文件负责时钟的样式设定，而JS文件则包含实现各种特效的逻辑，通过不同的函数或类处理时间更新和动画绘制，提
    • Android ViewBinding 使用与封装教程 积跬步DEV Android开发实战大全android
      AndroidViewBinding使用与封装教程：一、ViewBinding是什么？核心功能：为每个XML布局文件自动生成一个绑定类（如ActivityMainBinding），直接暴露所有带ID的视图引用。优点：避免繁琐的findViewById()，类型安全且编译时检查。对比DataBinding：ViewBinding仅处理视图引用，无数据绑定功能。DataBinding支持双向数据绑定，
    • 基于链家网的二手房数据采集清洗与可视化分析 Mint_Datazzh 项目selenium网络爬虫
      个人学习内容笔记，仅供参考。项目链接：https://gitee.com/rongwu651/lianjia原文链接：基于链家网的二手房数据采集清洗与可视化分析–笔墨云烟研究内容该课题的主要目的是通过将二手房网站上的存量与已销售房源，构建一个二手房市场行情情况与房源特点的可视化平台。该平台通过HTML架构和Echarts完成可视化的搭建。因此，该课题的主要研究内容就是如何利用相关技术设计并实现这样
    • 【前端】jQuery数组合并去重方法总结
      在jQuery中合并多个数组并去重，推荐使用原生JavaScript的Set对象（高效简单）或$.unique()（仅适用于DOM元素，不适用于普通数组）。以下是完整解决方案：方法1：使用ES6Set（推荐）//定义多个数组constarr1=[1,2,3];constarr2=[2,3,4];constarr3=[3,4,5];//合并数组并用Set去重constmergedArray=[...
    • Vue3+Vite+TS+Axios整合详细教程 老马聊技术 VueViteTSvue.js
      1.Vite简介Vite是新一代的前端构建工具，在尤雨溪开发Vue3.0的时候诞生。类似于Webpack+Webpack-dev-server。其主要利用浏览器ESM特性导入组织代码，在服务器端按需编译返回，完全跳过了打包这个概念，服务器随起随用。生产中利用Rollup作为打包工具，号称下一代的前端构建工具。vite是一种新型的前端构建工具，能够显著的提升前端开发者的体验。它主要有俩部分组成：一个
    • 前端 NPM 包的依赖可视化分析工具推荐 前端视界 前端艺匠馆前端npmarcgisai
      前端NPM包的依赖可视化分析工具推荐关键词：NPM、依赖管理、可视化分析、前端工程、包管理、依赖冲突、性能优化摘要：本文将深入探讨前端开发中NPM包依赖可视化分析的重要性，介绍5款主流工具的使用方法和特点，并通过实际案例展示如何利用这些工具优化项目依赖结构、解决版本冲突问题以及提升构建性能。文章将帮助开发者更好地理解和掌控项目依赖关系，提高开发效率和项目可维护性。背景介绍目的和范围本文旨在为前端开
    • Python多版本管理与pip升级全攻略：解决冲突与高效实践 码界奇点 Pythonpythonpip开发语言python3.11源代码管理虚拟现实依赖倒置原则
      引言Python作为最流行的编程语言之一，其版本迭代速度与生态碎片化给开发者带来了巨大挑战。据统计，超过60%的Python开发者需要同时维护基于Python3.6+和Python2.7的项目。本文将系统解决以下核心痛点：如何安全地在同一台机器上管理多个Python版本pip依赖冲突的根治方案符合PEP标准的生产环境最佳实践第一部分：Python多版本管理核心方案1.1系统级多版本共存方案Wind
    • OpenWebUI(12)源码学习-后端constants.py常量定义文件 青苔猿猿 AI大模型openwebuiconstants常量定义
      目录文件名：`constants.py`功能概述：主要功能点详解1.**MESSAGES枚举类**2.**WEBHOOK_MESSAGES枚举类**3.**ERROR_MESSAGES枚举类**✅默认错误模板✅认证与用户相关错误✅资源冲突与重复错误✅验证失败类错误✅权限限制类错误✅文件上传与格式错误✅模型与API错误✅请求频率与安全限制✅数据库与配置错误4.**TASKS枚举类**✅总结实际应用场
    • Kafka系列之：Dead Letter Queue死信队列DLQ 快乐骑行^_^ KafkaKafka系列DeadLetterQueue死信队列DLQ
      Kafka系列之：DeadLetterQueue死信队列DLQ一、死信队列二、参数errors.tolerance三、创建死信队列主题四、在启用安全性的情况下使用死信队列更多内容请阅读博主这篇博客：Kafka系列之：KafkaConnect深入探讨-错误处理和死信队列一、死信队列死信队列（DLQ）仅适用于接收器连接器。当一条记录以JSON格式到达接收器连接器时，但接收器连接器配置期望另一种格式，如
    • 入门html这篇文章就够了 ξ流ぁ星ぷ132 html前端
      HTML笔记文章目录HTML笔记html介绍什么是htmlhtml的作用HTML标签介绍常用标签标签and标签and标签u标签del删除线br标签用于换行pre标签，预处理标签span标签div标签sub标签andsup标签hr标签h1,h2...h6标签：HTML5中的语义标签：特殊字符img标签a标签第一种用法：超链接第二种用法：锚点video标签表格标签：form标签input标签selec
    • Algorithm 香水浓 javaAlgorithm
      冒泡排序 public static void sort(Integer[] param) { for (int i = param.length - 1; i > 0; i--) { for (int j = 0; j < i; j++) { int current = param[j]; int next = param[j + 1];
    • mongoDB 复杂查询表达式 开窍的石头 mongodb
      1:count    Pg: db.user.find().count();    统计多少条数据 2:不等于$ne    Pg: db.user.find({_id:{$ne:3}},{name:1,sex:1,_id:0});    查询id不等于3的数据。 3：大于$gt $gte(大于等于) &n
    • Jboss Java heap space异常解决方法, jboss OutOfMemoryError : PermGen space 0624chenhong jvmjboss
      转自 http://blog.csdn.net/zou274/article/details/5552630 解决办法： window->preferences->java->installed jres->edit jre 把default vm arguments 的参数设为-Xms64m -Xmx512m ----------------
    • 文件上传 下载 解析 相对路径 不懂事的小屁孩 文件上传
      有点坑吧，弄这么一个简单的东西弄了一天多，身边还有大神指导着，网上各种百度着。 下面总结一下遇到的问题： 文件上传，在页面上传的时候，不要想着去操作绝对路径，浏览器会对客户端的信息进行保护，避免用户信息收到攻击。 在上传图片，或者文件时，使用form表单来操作。 前台通过form表单传输一个流到后台，而不是ajax传递参数到后台，代码如下: <form action=&
    • 怎么实现qq空间批量点赞 换个号韩国红果果 qq
      纯粹为了好玩！！ 逻辑很简单 1 打开浏览器console；输入以下代码。 先上添加赞的代码 var tools={}; //添加所有赞 function init(){ document.body.scrollTop=10000; setTimeout(function(){document.body.scrollTop=0;},2000);//加
    • 判断是否为中文 灵静志远 中文
      方法一： public class Zhidao { public static void main(String args[]) { String s = "sdf灭礌 kjl d{';\fdsjlk是"; int n=0; for(int i=0; i<s.length(); i++) { n = (int)s.charAt(i); if((
    • 一个电话面试后总结 a-john 面试
      今天，接了一个电话面试，对于还是初学者的我来说，紧张了半天。 面试的问题分了层次，对于一类问题，由简到难。自己觉得回答不好的地方作了一下总结：   在谈到集合类的时候，举几个常用的集合类，想都没想，直接说了list,map。   然后对list和map分别举几个类型：   list方面：ArrayList,LinkedList。在谈到他们的区别时，愣住了
    • MSSQL中Escape转义的使用 aijuans MSSQL
      IF OBJECT_ID('tempdb..#ABC') is not null drop table tempdb..#ABC create table #ABC ( PATHNAME NVARCHAR(50) ) insert into #ABC SELECT N'/ABCDEFGHI' UNION ALL SELECT N'/ABCDGAFGASASSDFA' UNION ALL
    • 一个简单的存储过程 asialee mysql存储过程构造数据批量插入
                 今天要批量的生成一批测试数据，其中中间有部分数据是变化的，本来想写个程序来生成的，后来想到存储过程就可以搞定，所以随手写了一个，记录在此：            DELIMITER $$ DROP PROCEDURE IF EXISTS inse
    • annot convert from HomeFragment_1 to Fragment 百合不是茶 android导包错误
      创建了几个类继承Fragment, 需要将创建的类存储在ArrayList<Fragment>中; 出现不能将new 出来的对象放到队列中,原因很简单;     创建类时引入包是:import android.app.Fragment;      创建队列和对象时使用的包是:import android.support.v4.ap
    • Weblogic10两种修改端口的方法 bijian1013 weblogic端口号配置管理config.xml
      一.进入控制台进行修改    1.进入控制台:  http://127.0.0.1:7001/console     2.展开左边树菜单         域结构->环境->服务器-->点击AdminServer(管理) &
    • mysql 操作指令 征客丶 mysql
      一、连接mysql 进入 mysql 的安装目录； $ bin/mysql -p [host IP 如果是登录本地的mysql 可以不写 -p 直接 -u] -u [userName] -p 输入密码，回车，接连； 二、权限操作［如果你很了解mysql数据库后，你可以直接去修改系统表，然后用 mysql> flush privileges; 指令让权限生效］ 1、赋权 mys
    • 【Hive一】Hive入门 bit1129 hive
      Hive安装与配置 Hive的运行需要依赖于Hadoop，因此需要首先安装Hadoop2.5.2，并且Hive的启动前需要首先启动Hadoop。   Hive安装和配置的步骤   1. 从如下地址下载Hive0.14.0   http://mirror.bit.edu.cn/apache/hive/    2.解压hive，在系统变
    • ajax 三种提交请求的方法 BlueSkator Ajaxjqery
      1、ajax 提交请求 $.ajax({ type:"post", url : "${ctx}/front/Hotel/getAllHotelByAjax.do", dataType : "json", success : function(result) { try { for(v
    • mongodb开发环境下的搭建入门 braveCS 运维
        linux下安装mongodb 1）官网下载mongodb-linux-x86_64-rhel62-3.0.4.gz 2）linux 解压  gzip -d mongodb-linux-x86_64-rhel62-3.0.4.gz; mv mongodb-linux-x86_64-rhel62-3.0.4 mongodb-linux-x86_64-rhel62-
    • 编程之美-最短摘要的生成 bylijinnan java数据结构算法编程之美
      import java.util.HashMap; import java.util.Map; import java.util.Map.Entry; public class ShortestAbstract { /** * 编程之美 最短摘要的生成 * 扫描过程始终保持一个[pBegin,pEnd]的range,初始化确保[pBegin,pEnd]的ran
    • json数据解析及typeof chengxuyuancsdn jstypeofjson解析
      // json格式 var people='{"authors": [{"firstName": "AAA","lastName": "BBB"},' +' {"firstName": "CCC&
    • 流程系统设计的层次和目标 comsci 设计模式数据结构sql框架脚本
                                    流程系统设计的层次和目标  
    • RMAN List和report 命令 daizj oraclelistreportrman
      LIST 命令 使用RMAN LIST 命令显示有关资料档案库中记录的备份集、代理副本和映像副本的 信息。使用此命令可列出： • RMAN 资料档案库中状态不是AVAILABLE 的备份和副本 • 可用的且可以用于还原操作的数据文件备份和副本 • 备份集和副本，其中包含指定数据文件列表或指定表空间的备份 • 包含指定名称或范围的所有归档日志备份的备份集和副本 • 由标记、完成时间、可
    • 二叉树:红黑树 dieslrae 二叉树
          红黑树是一种自平衡的二叉树,它的查找,插入,删除操作时间复杂度皆为O(logN),不会出现普通二叉搜索树在最差情况时时间复杂度会变为O(N)的问题.     红黑树必须遵循红黑规则,规则如下     1、每个节点不是红就是黑。     2、根总是黑的  &
    • C语言homework3，7个小题目的代码 dcj3sjt126com c
      1、打印100以内的所有奇数。 # include <stdio.h> int main(void) { int i; for (i=1; i<=100; i++) { if (i%2 != 0) printf("%d ", i); } return 0; }  2、从键盘上输入10个整数，
    • 自定义按钮, 图片在上, 文字在下, 居中显示 dcj3sjt126com 自定义
      #import <UIKit/UIKit.h> @interface MyButton : UIButton -(void)setFrame:(CGRect)frame ImageName:(NSString*)imageName Target:(id)target Action:(SEL)action Title:(NSString*)title Font:(CGFloa
    • MySQL查询语句练习题，测试足够用了 flyvszhb sqlmysql
      http://blog.sina.com.cn/s/blog_767d65530101861c.html 1.创建student和score表 CREATE  TABLE  student ( id  INT(10)  NOT NULL  UNIQUE  PRIMARY KEY  , name  VARCHAR
    • 转：MyBatis Generator 详解 happyqing mybatis
        MyBatis Generator 详解 http://blog.csdn.net/isea533/article/details/42102297   MyBatis Generator详解 http://git.oschina.net/free/Mybatis_Utils/blob/master/MybatisGeneator/MybatisGeneator.
    • 让程序员少走弯路的14个忠告 jingjing0907 工作计划学习
        无论是谁，在刚进入某个领域之时，有再大的雄心壮志也敌不过眼前的迷茫：不知道应该怎么做，不知道应该做什么。下面是一名软件开发人员所学到的经验，希望能对大家有所帮助   1.不要害怕在工作中学习。 只要有电脑，就可以通过电子阅读器阅读报纸和大多数书籍。如果你只是做好自己的本职工作以及分配的任务，那是学不到很多东西的。如果你盲目地要求更多的工作，也是不可能提升自己的。放
    • nginx和NetScaler区别 流浪鱼 nginx
      NetScaler是一个完整的包含操作系统和应用交付功能的产品，Nginx并不包含操作系统，在处理连接方面，需要依赖于操作系统，所以在并发连接数方面和防DoS攻击方面，Nginx不具备优势。 2.易用性方面差别也比较大。Nginx对管理员的水平要求比较高，参数比较多，不确定性给运营带来隐患。在NetScaler常见的配置如健康检查，HA等，在Nginx上的配置的实现相对复杂。 3.策略灵活度方
    • 第11章 动画效果（下） onestopweb 动画
      index.html <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/
    • FAQ - SAP BW BO roadmap blueoxygen BOBW
      http://www.sdn.sap.com/irj/boc/business-objects-for-sap-faq   Besides, I care that how to integrate tightly.   By the way, for BW consultants, please just focus on Query Designer which i
    • 关于java堆内存溢出的几种情况 tomcat_oracle javajvmjdkthread
      【情况一】： 　　 java.lang.OutOfMemoryError: Java heap space：这种是java堆内存不够，一个原因是真不够，另一个原因是程序中有死循环； 　　如果是java堆内存不够的话，可以通过调整JVM下面的配置来解决： 　　<jvm-arg>-Xms3062m</jvm-arg> 　　<jvm-arg>-Xmx
    • Manifest.permission_group权限组 阿尔萨斯 Permission
      结构 继承关系 public static final class Manifest.permission_group extends Object java.lang.Object android. Manifest.permission_group 常量 ACCOUNTS 直接通过统计管理器访问管理的统计 COST_MONEY可以用来让用户花钱但不需要通过与他们直接牵涉的权限 D