NJR10byh
NJR10byh

前端常见安全问题

目录

  • 以下是对一些常见的前端安全问题的总结
  • 一、iframe
      • 1、防止自己的网站不被其他网站的 iframe 引用
      • 2、禁用被使用的 iframe 对当前网站某些操作
  • 二、opener
      • 1、target="_blank"
      • 2、window.open()
  • 三、CSRF / XSRF（跨站请求伪造）
      • 防御措施
  • 四、XSS/CSS（跨站脚本攻击）
      • XSS类型：
      • 防御措施（对用户输入内容和服务端返回内容进行过滤和转译）
  • 五、ClickJacking（点击劫持）
      • 防御措施
      • 测试网站是否设置了X-Frame-Options
  • 六、HSTS（HTTP Strict Transport Security）HTTP严格传输安全）
  • 七、CDN劫持

以下是对一些常见的前端安全问题的总结

一、iframe

1、防止自己的网站不被其他网站的 iframe 引用

// 检测当前网站是否被第三方iframe引用
// 若相等证明没有被第三方引用，若不等证明被第三方引用。当发现被引用时强制跳转百度。
if(top.location != self.location){
    top.location.href = 'http://www.baidu.com'
}

2、禁用被使用的 iframe 对当前网站某些操作

在HTML5中，iframe有了一个叫做sandbox的安全属性，通过它可以对iframe的行为进行各种限制，充分实现“最小权限“原则。使用sandbox的最简单的方式就是只在iframe元素中添加上这个关键词就好，就像下面这样：

<iframe sandbox="value" src="..."> ... iframe>

如果只是添加上这个属性而保持属性值为空，那么浏览器将会对iframe实施史上最严厉的调控限制，基本上来讲就是除了允许显示静态资源以外，其他什么都做不了。比如不准提交表单、不准弹窗、不准执行脚本等等，连Origin都会被强制重新分配一个唯一的值，换句话讲就是iframe中的页面访问它自己的服务器都会被算作跨域请求。

sandbox也提供了丰富的配置参数：

value 描述
空 启用所有限制条件
allow-same-origin 允许被视为同源，即可操作父级DOM或cookie等
allow-top-navigation 允许当前iframe的引用网页通过url跳转链接或加载
allow-forms 允许表单提交
allow-scripts 允许执行脚本文件
allow-popups 允许浏览器打开新窗口进行跳转

二、opener

// 1) HTML -> 
// 2)  JS  -> window.open('http://www.baidu.com')

/* 
 * 这两种方式看起来没有问题，但是存在漏洞。
 * 通过这两种方式打开的页面可以使用 window.opener 来访问源页面的 window 对象。
 * 场景：A 页面通过  或 window.open 方式，打开 B 页面。但是 B 页面存在恶意代码如下：
 * window.opener.location.replace('https://www.baidu.com') 【此代码仅针对打开新标签有效】
 * 此时，用户正在浏览新标签页，但是原来网站的标签页已经被导航到了百度页面。
 * 恶意网站可以伪造一个足以欺骗用户的页面，使得进行恶意破坏。
 * 即使在跨域状态下 opener 仍可以调用 location.replace 方法。
 */

1、target="_blank"

<a target="_blank" href="" rel="noopener noreferrer nofollow">a标签跳转urla>

2、window.open()

<button onclick='openurl("http://www.baidu.com")'>click跳转</button>

function openurl(url) {
    var newTab = window.open();
    newTab.opener = null;
    newTab.location = url;
}

三、CSRF / XSRF（跨站请求伪造）

可以这么理解 CSRF 攻击：攻击者盗用了你的身份，以你的名义进行恶意请求。它能做的事情有很多包括：以你的名义发送邮件、发信息、盗取账号、购买商品、虚拟货币转账等。

总结起来就是：个人隐私暴露及财产安全问题。

/*
 * 阐述 CSRF 主要攻击思想：（核心2和3）
 * 1、浏览并登录信任网站（举例：淘宝）
 * 2、登录成功后在浏览器产生信息存储（举例：cookie）
 * 3、用户在没有登出淘宝的情况下，访问危险网站
 * 4、危险网站中存在恶意代码，代码为发送一个恶意请求（举例：购买商品/余额转账）
 * 5、携带刚刚在浏览器产生的信息进行恶意请求
 * 6、淘宝验证请求为合法请求（区分不出是否是该用户发送）
 * 7、达到了恶意目标
 */

防御措施

  • 涉及到数据修改操作严格使用 POST 请求而不是 GET 请求
  • HTTP 协议中使用 Referer 属性来确定请求来源进行过滤（禁止外域）
  • 请求地址添加 token ，使黑客无法伪造用户请求
  • HTTP 头自定义属性验证（类似上一条）
  • 显示验证方式：添加验证码、密码等

四、XSS/CSS（跨站脚本攻击）

XSS 又叫 CSS（Cross Site Script），跨站脚本攻击：攻击者在目标网站植入恶意脚本（js / html），用户在浏览器上运行时可以获取用户敏感信息（cookie / session）、修改web页面以欺骗用户、与其他漏洞相结合形成蠕虫等。

针对这种情况，我们对特殊字符进行转译就好了（vue/react等主流框架已经避免类似问题，vue举例：不能在template中写script标签，无法在js中通过ref或append等方式动态改变或添加script标签）

XSS类型：

  • 持久型XSS：将脚本植入到服务器上，从而导致每个访问的用户都会执行
  • 非持久型XSS：对个体用户某url的参数进行攻击

防御措施（对用户输入内容和服务端返回内容进行过滤和转译）

  • 现代大部分浏览器都自带 XSS 筛选器，vue / react 等成熟框架也对 XSS 进行一些防护
  • 对用户输入内容和服务端返回内容进行过滤和转译
  • 重要内容加密传输
  • 合理使用get/post等请求方式
  • 对于URL携带参数谨慎使用

五、ClickJacking（点击劫持）

ClickJacking 翻译过来被称为点击劫持，是一种视觉上的欺骗手段。攻击者使用一个透明的iframe，覆盖在一个网页上，然后诱使用户在网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击在iframe页面的一些功能性按钮上。

防御措施

  • HTTP响应头信息中的X-Frame-Options，可以指示浏览器是否应该加载一个iframe中的页面。如果服务器响应头信息中没有X-Frame-Options，则该网站存在ClickJacking攻击风险。网站可以通过设置X-Frame-Options阻止站点内的页面被其他页面嵌入从而防止点击劫持。
value 描述
DENY 不能被嵌入到任何iframe或者frame中。
SAMEORIGIN 页面只能被本站页面嵌入到iframe或者frame中
ALLOW-FROM URL 只能被嵌入到指定域名的框架中
  • 判断当前网页是否被 iframe 嵌套（详情见一）

测试网站是否设置了X-Frame-Options

将如下的代码中iframe中的链接换成待测网站的，保存为.html文件，本地打开。如果打开的页面中显示了待测的网站，则说明没有设置，反之设置了


<html>
<head lang="en">
    <meta charset="UTF-8" >
    <title>测试 X-Frame-Optionstitle>
head>
<body>
    <iframe src="http://www.xxx.com/"  width="500"  height="500"  frameborder="10"> iframe>
body>
html>

六、HSTS（HTTP Strict Transport Security）HTTP严格传输安全）

网站接受从 HTTP 请求跳转到 HTTPS 请求的做法，例如我们输入“http://www.baidu.com”或“www.baidu.com”最终都会被302重定向到“https://www.baidu.com”。这就存在安全风险，当我们第一次通过 HTTP 或域名进行访问时，302重定向有可能会被劫持，篡改成一个恶意或钓鱼网站。
HSTS：通知浏览器此网站禁止使用 HTTP 方式加载，浏览器应该自动把所有尝试使用 HTTP 的请求自动替换为 HTTPS 进行请求。用户首次访问时并不受 HSTS 保护，因为第一次还未形成链接。我们可以通过 浏览器预置HSTS域名列表 或 将HSTS信息加入到域名系统记录中，来解决第一次访问的问题。

七、CDN劫持

出于性能考虑，前端应用通常会把一些静态资源存放到CDN（Content Delivery Networks）上面，例如 js 脚本和 style 文件。这么做可以显著提高前端应用的访问速度，但与此同时却也隐含了一个新的安全风险。如果攻击者劫持了CDN，或者对CDN中的资源进行了污染，攻击者可以肆意篡改我们的前端页面，对用户实施攻击。

现在的CDN以支持SRI为荣，script 和 link 标签有了新的属性 integrity，这个属性是为了防止校验资源完整性来判断是否被篡改。它通过 验证获取文件的哈希值是否和你提供的哈希值一样 来判断资源是否被篡改。

使用 SRI 需要两个条件：一是要保证 资源同域 或开启跨域，二是在script标签中 提供签名 以供校验。

integrity 属性分为两个部分，第一部分是指定哈希值的生成算法（例：sha384），第二部分是经过编码的实际哈希值，两者之前用一个短横(-)来分隔

integrity 属性存在浏览器兼容问题

你可能感兴趣的:(笔记,前端,安全,javascript)

  • 【安卓笔记】注解反射，优雅的findViewById liosen 安卓笔记笔记
    0.环境：电脑：Windows10AndroidStudio:2024.3.2编程语言:Java上一篇：注解的创建（重要提示，安卓新版本不再支持下面的代码。以下仅提供思路）如果需要使用findViewById的工具，推荐使用ButterKnife如果是需要优雅简单使用框架，可以使用MVVM框架，Android官方推荐的ViewBinding1.创建工具类，用于实现findViewById我这里直接
  • 15、云原生安全的核心原则 二进制温柔 云原生安全：从理论到实践云原生安全最小权限原则深度防御
    云原生安全的核心原则1.引言在当今数字化的世界中，信息安全已成为企业生存和发展的重要组成部分。随着云计算的普及，云原生安全（CloudNativeSecurity）逐渐成为信息安全领域的新焦点。云原生安全不仅继承了传统安全的基本原则，还结合了云计算的独特特点，为企业提供了更高效、更灵活的安全解决方案。本文将深入探讨云原生安全的核心原则，帮助读者理解和掌握这些原则在实际应用中的意义和方法。2.云原生
  • 安全左移（Shift Left Security）：软件安全的演进之路 秋说 Security安全建设软件安全
    文章目录一、背景：传统安全的尴尬处境二、安全左移：让安全成为开发的“第一等公民”三、安全左移的关键实施阶段1.需求阶段：嵌入安全需求建模2.设计阶段：威胁建模与架构审计3.编码阶段：安全编码规范与静态分析4.构建与测试阶段：自动化安全检测5.发布阶段：容器与CI/CD安全审计6.运营阶段：安全监控与持续响应四、实现路径：从理念到落地的三步走Step1：安全理念转型Step2：工具链集成与自动化保障
  • ARP 协议全面分析：原理、安全与应用 Dsocc 安全网络网络协议
    一、ARP协议基础原理1.1ARP协议的基本概念ARP（AddressResolutionProtocol，地址解析协议）是TCP/IP协议栈中的一个重要低层协议，负责将网络层的IP地址转换为数据链路层的物理MAC地址，使得数据包能够在局域网中准确传输。在计算机网络通信中，当一个设备需要向另一个设备发送数据时，不仅需要知道对方的IP地址，还需要知道其MAC地址。ARP协议就是通过IP地址查询MAC
  • Amazon WorkSpaces：解锁云端高效办公，重塑企业生产力未来 国际云1688 亚马逊云网络数据库云计算云原生服务器aws
    AmazonWorkSpaces：云端办公的“终极形态”，如何驱动企业生产力跨越式发展？摘要：在数字化浪潮势不可挡的今天，企业如何打破传统办公的边界，实现真正的高效协作与生产力飞跃？想象一下，无论员工身处地球的哪个角落，都能即时、安全地访问自己熟悉的桌面环境，无需繁琐的设备管理，也无需背负高昂的硬件投入——这并非遥不可及的未来，而是AmazonWorkSpaces正在带来的深刻变革。作为亚马逊云科
  • MVI+Compose架构实战 Android洋芋 MVIJetpackComposeKotlinFlow状态管理声明式UI
    简介本文将深入探讨为什么LiveData不适合在JetpackCompose中使用，并通过完整代码示例展示MVI+Compose架构的实现。从Android架构演进历史到Composable函数的重组机制，从单向数据流原理到StateFlow的线程安全特性，全面解析这一技术趋势背后的深层原因。一、为什么LiveData不适合在JetpackCompose中使用？LiveData与Compose的单
  • IPS防御原理和架构 hao_wujing 安全
    大家读完觉得有帮助记得关注和点赞！IPS（入侵防御系统）是网络安全防御体系的**主动盾牌**，其核心突破在于将IDS的“检测告警”升级为“实时阻断”，通过**深度流量解析+智能决策+硬拦截**实现攻击链的熔断式处置。以下从原理到架构的深度解析：---###⚙️IPS核心防御原理####1.**三位一体拦截机制**|**拦截层级**|**技术实现**|**典型防御场景**||------------
  • 塞浦路斯VPS MySQL 8.7量子安全索引测试 cpsvps_net mysql安全数据库
    在数字化时代背景下，数据安全已成为全球企业关注的核心议题。本文将深入解析塞浦路斯VPS环境下MySQL8.7量子安全索引的突破性测试成果，揭示其如何通过先进的加密算法重构数据库防护体系，为金融、医疗等敏感行业提供符合后量子密码学标准的解决方案。塞浦路斯VPSMySQL8.7量子安全索引测试-下一代数据库防护技术解析量子计算威胁下的数据库安全新挑战随着量子计算机的快速发展，传统加密算法正面临前所未有
  • ＜电子幽灵＞开发笔记:BAT基础笔记(一）
    BAT脚本基础笔记(一)介绍费曼学习法最重要的部分，即把知识教给一个完全不懂的孩子——或者小白。为了更好的自我学习，也为了让第一次接触某个知识范畴的同学快速入门，我会把我的学习笔记整理成电子幽灵系列。提示：作为低代码工具的笔记，这里会用特殊字体表示要用到的函数等等。请若要学习，请结合相关工具边用边学。BAT基础笔记（一）BAT脚本基础笔记(一)介绍简介在哪里编写BAT代码？BAT基本语法1.基本命
  • ＜电子幽灵＞前端第一件：HTML基础笔记下 靈镌sama 电子幽灵随手记前端html笔记
    HTML基础笔记（下）介绍费曼学习法最重要的部分，即把知识教给一个完全不懂的孩子——或者小白。为了更好的自我学习，也为了让第一次接触某个知识范畴的同学快速入门，我会把我的学习笔记整理成电子幽灵系列。提示：文章的是以解释-代码块-解释的结构呈现的。当你看到代码块并准备复制复现的时候，最好先保证自己看过了代码块前后的解释。＜电子幽灵＞前端第一件：HTML基础笔记上中，最基础的一部分HTML标签和已经以
  • 基于 Three.js 与 WebGL 的商场全景 VR 导航系统源码级解析 维小帮定位导航 javascriptvr前端开发场景优化WebGL物联网智慧商场
    本文面向Web前端开发者、WebGL/Three.js爱好者、对VR/AR应用开发感兴趣的技术人员、智慧商场解决方案开发者。详细介绍如何利用WebGL(Three.js框架)构建高性能的商场全景VR环境，并实现精准的室内定位与3D路径规划导航功能。如需获取商场全景VR导航系统解决方案请前往文章最下方获取，如有项目合作及技术交流欢迎私信作者。一、商场全景VR导航的核心技术概述商场全景VR导航融合了全
  • Windows 7上IIS7.0的全面应用 侯昂
    本文还有配套的精品资源，点击获取简介：IIS7.0是微软为Windows7操作系统推出的Web服务器软件，具备模块化设计、高效管理和丰富的开发环境。它支持多种网络协议，包括HTTP、HTTPS和FTP，并通过集成安全机制和优化的性能特性，如应用程序池、FTP服务、URL重写等，为用户提供了强大的Web服务管理能力。IIS7.0的设计旨在提高资源利用率、管理便捷性，并确保服务器的安全稳定运行。1.I
  • 基于 Vue + RuoYi 架构设计的商城Web/小程序实训课程 速易达网络 springbootuni-appvue.js
    以下是基于Vue+RuoYi架构设计的商城Web/小程序实训课程方案，结合企业级开发需求与教学实践，涵盖全栈技术栈与实战模块：一、课程概述目标：通过Vue前端+RuoYi后端（SpringBoot）开发企业级电商系统，实现多终端（Web/H5/小程序）适配，覆盖从架构设计到部署上线的全流程。周期：8周（建议每日3小时）适合人群：具备基础Java/Vue知识的开发者，熟悉HTML/CSS/JavaS
  • springboot+websocket+微信小程序（实现后端主动推送消息 小程序的实时报警功能）
    Listitem本项目主要实现的需求为：主要功能汽车在行驶的过程中如果前方遇到限高杆，车前的摄像头在安全距离前测出限高杆的高度后，小程序能够实时报警（当前车辆内否安全通过）。次要功能1.车主利用微信用户名登录后能够绑定车牌，实现车牌的增删改查2.车主可以为自己的车牌号添加家庭成员（绑定微信用户名的方式）3.简单权限管理（车主拥有其名下车牌的增删改查权限，家庭成员则没有）实现方式1.后端使用spri
  • 阿里云OSS跨账号迁移过程 IT_狂奔者 《玩转Linux终极指南》阿里云云计算对象存储OSS
    阿里云OSS跨账号迁移过程关于OSS在线迁移服务的更新说明旧版在线迁移已停止服务，用户需切换至新版在线迁移。与旧版相比，新版在线迁移的主要区别在于身份验证方式的调整。新版不再使用AK/AS（AccessKeyID和AccessKeySecret）进行认证，而是采用了角色授权机制。这一变化旨在提升安全性和简化权限管理。用户需根据新的认证方式进行配置，以确保迁移任务的正常运行。准备工作本文以标准存储进
  • UE4 官方文档阅读笔记——材质篇 毛甘木 UE4材质修改androidjava
    UE4官方文档阅读笔记——材质篇UE4免费材质：QuixelBridge网站材质基本概念材质编辑器参考1.MaterialExpression向材质节点添加描述2.快捷键C添加注释3.修改注释颜色4.LivePreview实时预览5.LiveNode实时节点6.LiveUpdate实时更新7.AddRerouteNode添加变更路线节点ContenxtMenuUtilityMaterialPale
  • UE4官方文档阅读笔记——蓝图可视化编程 毛甘木 UE4ue4
    UE4蓝图官方文档阅读笔记蓝图中的结构体变量拆分结构体Break组成结构体Make修改结构体中个别成员SetMemberinStruct自定义结构体内容浏览器-创建高级资源-蓝图-结构体蓝图数组Add添加元素到末尾ClearContainsFilterArrayFindGetInsertLastLengthRemoveRemoveIndexResizeSetArrayElem<
  • tauri v2 开源项目学习（二）
    前言:tauri2编程，前端部分和electron差不多，框架部分差别大，资料少，官网乱，AI又骗我所以在gitee上，寻找tauriv2开源项目，通过记录框架部分与rust部分的写法，对照确定编程方式tarui2插件，可以查看：https://github.com/tauri-apps/plugins-workspace1.EcoPastehttps://gitee.com/ayangweb/E
  • UE 有意思的功能教程链接笔记 RunInto丶 UE笔记UE教程视频笔记虚幻引擎
    油管砍伐任何树砍伐任何树：虚幻引擎教程https://www.youtube.com/watch?v=JtXYJKTsf9QAI图像转变为简单的3D模型使用AI平台将2D图像转换为3D角色https://www.youtube.com/watch?v=Z-acdzKASZ4在几秒钟内将您的AI图像转变为简单的3D模型|教程UE5https://www.youtube.com/watch?v=tt9
  • tauri v2 开源项目学习（一）
    前言:tauri2编程，前端部分和electron差不多，框架部分差别大，资料少，官网乱，AI又骗我所以在gitee上，寻找tauriv2开源项目，通过记录框架部分与rust部分的写法，对照确定编程方式提示：不要在VSCode里自动运行Cargo，在powershell里运行Cargobuild，不会卡住1.tauri-desktophttps://gitee.com/MapleKing/taur
  • 《UE5_C++多人TPS完整教程》学习笔记40 ——《P41 装备（武器）姿势（Equipped Pose）》 SHOTJEE #ue5游戏c++
    本文为B站系列教学视频《UE5_C++多人TPS完整教程》——《P41装备（武器）姿势（EquippedPose）》的学习笔记，该系列教学视频为计算机工程师、程序员、游戏开发者、作家（Engineer,Programmer,GameDeveloper,Author）StephenUlibarri发布在Udemy上的课程《UnrealEngine5C++MultiplayerShooter》的中文字
  • 前端与UI如何联手，让数字孪生走进现实生活？ 贝格前端工场 前端ui
    数字孪生（DigitalTwin）作为工业互联网的核心技术，正在通过前端技术与用户界面设计的深度协同，从实验室走向大规模应用场景。这种虚实映射系统要求前端框架突破传统二维界面限制，与UI设计思维共同构建三维可视化、实时交互的新型人机界面。本文将从技术融合、系统挑战、交互创新、场景实践和团队协作五个维度，解析数字孪生落地的关键路径。一、技术融合：可视化框架与UI设计工具链的协同进化现代数字孪生系统需
  • 22-4 SQL注入攻击 - post 基于报错的注入 技术探索 Web安全攻防全解析sql数据库
    1、post基于错误单引号注入回显分析注入点位置已经发生变化。在浏览器中，无法直接查看和修改注入点。不过，可以通过使用相应的插件来完成修改任务。修改方法：(一般是网站前端做了限制，我们才需要用到bp绕开限制)要修改Less11注入点的请求，可以使用BurpSuite工具来捕获请求包，并使用其中的"Repeater"功能来进行修改。具体操作步骤如下：首先打开BurpSuite并设置代理，然后在浏览器
  • Spring Framework 5.0新增的WebClient svygh123 编程springJava学习springlog4jjavaWebClient
    SpringFramework5.0引入了WebClient，这是一个新的非阻塞、响应式Web客户端API，旨在为构建响应式微服务提供更好的支持。WebClient是基于ProjectReactor的响应式流API构建的，它可以高效地处理大量的并发请求，非常适合现代微服务架构。WebClient的主要特性响应式：WebClient基于非阻塞I/O，可以处理大量的并发请求而不会阻塞线程。类型安全：A
  • Golang基础笔记八之函数 后端go函数闭包
    本文首发于公众号：Hunter后端原文链接：Golang基础笔记八之函数本篇笔记介绍Golang里函数相关的内容，以下是本篇笔记目录：函数的定义语法函数返回值可变参数函数匿名函数闭包1、函数的定义语法函数的定义格式如下：func函数名(参数列表)(返回值列表){函数体}比如下面是一个两数相加返回其和的函数：funcadd(a,bint)int{  returna+b}调用的话，直接传参调用即可：s
  • 重构未来开发范式：如何引领 AIGS 时代的技术革命 小爱想睡懒觉 重构
    一、AIGS革命：AI重塑企业软件系统的三大趋势行业灵魂拷问：当所有企业系统都需要实时调用大模型能力时，您的开发框架能否支撑百万级并发？在数据安全成为刚需的时代，如何实现AI功能的合规化、私有化部署？JBoltAI的未来宣言：技术演进路径：从AIGC到AIGS的跃迁图谱技术代际核心特征JBoltAI实践成果行业价值AIGC1.0单点内容生成支持文本/代码/图像生成，提供智能客服对话模板效率提升30
  • OpenAI技术路线急转：从TypeScript到Rust的Codex CLI重构内幕 全栈陈序员 typescriptrust重构自然语言处理神经网络人工智能深度学习
    目录前言：OpenAI的技术抉择引发业界思考CodexCLI：OpenAI的终端AI编程利器语言抉择的戏剧性反转：从TypeScript到RustRust重写的四大技术动因1.零依赖部署：消除环境配置痛点2.内存安全与沙箱隔离3.性能的全面碾压4.协议层的深度整合Rust的崛起：从系统编程到AI基础设施技术选型的平衡艺术：生产力vs性能对开发者生态的潜在影响结语：技术进化的永恒韵律前言：OpenA
  • SpringBoot返回文件让前端下载的几种方式 一朵梨花压海棠go springboot前端后端
    01背景在后端开发中，通常会有文件下载的需求，常用的解决方案有两种：不通过后端应用，直接使用nginx直接转发文件地址下载（适用于一些公开的文件，因为这里不需要授权）通过后端进行下载，同时进行一些业务处理本篇主要以方法2进行介绍，方法2的原理步骤如下：读取文件，得到文件的字节流将字节流写入到响应输出流中02一次性读取到内存，通过响应输出流输出到前端@GetMapping("/file/downlo
  • Vue3.3 + TypeScript ，自主打造媲美 ElementPlus 的组件库之学习笔记 怪我冷i 大前端typescript学习笔记
    Vue3.3+TS4，自主打造媲美ElementPlus的组件库第1章课程介绍1-1课程导学1-2代码库使用注意事项1-3项目演示地址：http://element.vikingship.xyz/第2章Typescript基础知识2-1什么是Typescript为什么要学习它2-2安装Typescript2-3原始数据类型和Any类型2-4数组和元组2-5Interface-接口初探2-6函数2-
  • 23国赛信息安全管理与评估理论题 KD杜小帅 网络安全
    理论技能与职业素养（100分）2023年全国职业院校技能大赛（高等职业教育组）“信息安全管理与评估”理论技能【注意事项】1.理论测试前请仔细阅读测试系统使用说明文档，按提供的账号和密码登录测试系统进行测试，账号只限1人登录。2.该部分答题时长包含在第三阶段比赛时长内，请在临近竞赛结束前提交。3.参赛团队可根据自身情况，可选择1-3名参赛选手进行作答，团队内部可以交流，但不得影响其他参赛队。一、单选
  • java的(PO,VO,TO,BO,DAO,POJO) Cb123456 VOTOBOPOJODAO
    转: http://www.cnblogs.com/yxnchinahlj/archive/2012/02/24/2366110.html   -------------------------------------------------------------------  O/R Mapping 是 Object Relational Mapping（对象关系映
  • spring ioc原理（看完后大家可以自己写一个spring） aijuans spring
             最近，买了本Spring入门书：spring In Action 。大致浏览了下感觉还不错。就是入门了点。Manning的书还是不错的，我虽然不像哪些只看Manning书的人那样专注于Manning,但怀着崇敬 的心情和激情通览了一遍。又一次接受了IOC 、DI、AOP等Spring核心概念。 先就IOC和DI谈一点我的看法。IO
  • MyEclipse 2014中Customize Persperctive设置无效的解决方法 Kai_Ge MyEclipse2014
    高高兴兴下载个MyEclipse2014，发现工具条上多了个手机开发的按钮，心生不爽就想弄掉他！ 结果发现Customize Persperctive失效！！ 有说更新下就好了，可是国内Myeclipse访问不了，何谈更新... so~这里提供了更新后的一下jar包，给大家使用！ 1、将9个jar复制到myeclipse安装目录\plugins中 2、删除和这9个jar同包名但是版本号较
  • SpringMvc上传 120153216 springMVC
      @RequestMapping(value = WebUrlConstant.UPLOADFILE) @ResponseBody public Map<String, Object> uploadFile(HttpServletRequest request,HttpServletResponse httpresponse) { try { //
  • Javascript----HTML DOM 事件 何必如此 JavaScripthtmlWeb
    HTML DOM 事件允许Javascript在HTML文档元素中注册不同事件处理程序。 事件通常与函数结合使用，函数不会在事件发生前被执行！ 注：DOM： 指明使用的 DOM 属性级别。 1.鼠标事件 属性               
  • 动态绑定和删除onclick事件 357029540 JavaScriptjquery
    因为对JQUERY和JS的动态绑定事件的不熟悉，今天花了好久的时间才把动态绑定和删除onclick事件搞定!现在分享下我的过程。      在我的查询页面，我将我的onclick事件绑定到了tr标签上同时传入当前行(this值)参数，这样可以在点击行上的任意地方时可以选中checkbox，但是在我的某一列上也有一个onclick事件是用于下载附件的，当
  • HttpClient|HttpClient请求详解 7454103 apache应用服务器网络协议网络应用Security
    HttpClient 是 Apache Jakarta Common 下的子项目，可以用来提供高效的、最新的、功能丰富的支持 HTTP 协议的客户端编程工具包，并且它支持 HTTP 协议最新的版本和建议。本文首先介绍 HTTPClient，然后根据作者实际工作经验给出了一些常见问题的解决方法。HTTP 协议可能是现在 Internet 上使用得最多、最重要的协议了，越来越多的 Java 应用程序需
  • 递归 逐层统计树形结构数据 darkranger 数据结构
    将集合递归获取树形结构: /** * * 递归获取数据 * @param alist:所有分类 * @param subjname:对应统计的项目名称 * @param pk:对应项目主键 * @param reportList: 最后统计的结果集 * @param count:项目级别 */ public void getReportVO(Arr
  • 访问WEB-INF下使用frameset标签页面出错的原因 aijuans struts2
    <frameset rows="61,*,24" cols="*" framespacing="0" frameborder="no" border="0">        
  • MAVEN常用命令 avords
    Maven库： http://repo2.maven.org/maven2/ Maven依赖查询： http://mvnrepository.com/ Maven常用命令： 1. 创建Maven的普通java项目：    mvn archetype:create    -DgroupId=packageName 
  • PHP如果自带一个小型的web服务器就好了 houxinyou apache应用服务器WebPHP脚本
    最近单位用PHP做网站，感觉PHP挺好的，不过有一些地方不太习惯，比如，环境搭建。PHP本身就是一个网站后台脚本，但用PHP做程序时还要下载apache，配置起来也不太很方便，虽然有好多配置好的apache+php+mysq的环境，但用起来总是心里不太舒服，因为我要的只是一个开发环境，如果是真实的运行环境，下个apahe也无所谓，但只是一个开发环境，总有一种杀鸡用牛刀的感觉。如果php自己的程序中
  • NoSQL数据库之Redis数据库管理(list类型) bijian1013 redis数据库NoSQL
    3.list类型及操作         List是一个链表结构，主要功能是push、pop、获取一个范围的所有值等等，操作key理解为链表的名字。Redis的list类型其实就是一个每个子元素都是string类型的双向链表。我们可以通过push、pop操作从链表的头部或者尾部添加删除元素，这样list既可以作为栈，又可以作为队列。   &nbs
  • 谁在用Hadoop？ bingyingao hadoop数据挖掘公司应用场景
    Hadoop技术的应用已经十分广泛了，而我是最近才开始对它有所了解，它在大数据领域的出色表现也让我产生了兴趣。浏览了他的官网，其中有一个页面专门介绍目前世界上有哪些公司在用Hadoop，这些公司涵盖各行各业，不乏一些大公司如alibaba,ebay,amazon,google,facebook,adobe等，主要用于日志分析、数据挖掘、机器学习、构建索引、业务报表等场景,这更加激发了学习它的热情。
  • 【Spark七十六】Spark计算结果存到MySQL bit1129 mysql
    package spark.examples.db import java.sql.{PreparedStatement, Connection, DriverManager} import com.mysql.jdbc.Driver import org.apache.spark.{SparkContext, SparkConf} object SparkMySQLInteg
  • Scala: JVM上的函数编程 bookjovi scalaerlanghaskell
        说Scala是JVM上的函数编程一点也不为过，Scala把面向对象和函数型编程这两种主流编程范式结合了起来，对于熟悉各种编程范式的人而言Scala并没有带来太多革新的编程思想，scala主要的有点在于Java庞大的package优势，这样也就弥补了JVM平台上函数型编程的缺失，MS家.net上已经有了F#，JVM怎么能不跟上呢？     对本人而言
  • jar打成exe bro_feng java jar exe
    今天要把jar包打成exe，jsmooth和exe4j都用了。 遇见几个问题。记录一下。 两个软件都很好使，网上都有图片教程，都挺不错。 首先肯定是要用自己的jre的，不然不能通用，其次别忘了把需要的lib放到classPath中。 困扰我很久的一个问题是，我自己打包成功后，在一个同事的没有装jdk的电脑上运行，就是不行，报错jvm.dll为无效的windows映像，如截图 最后发现
  • 读《研磨设计模式》-代码笔记-策略模式-Strategy bylijinnan java设计模式
    声明： 本文只为方便我个人查阅和理解，详细的分析以及源代码请移步 原作者的博客http://chjavach.iteye.com/ /* 策略模式定义了一系列的算法，并将每一个算法封装起来，而且使它们还可以相互替换。策略模式让算法独立于使用它的客户而独立变化 简单理解： 1、将不同的策略提炼出一个共同接口。这是容易的，因为不同的策略，只是算法不同，需要传递的参数
  • cmd命令值cvfM命令 chenyu19891124 cmd
         cmd命令还真是强大啊。今天发现jar -cvfM aa.rar @aaalist 就这行命令可以根据aaalist取出相应的文件   例如：      在d：\workspace\prpall\test.java 有这样一个文件，现在想要将这个文件打成一个包。运行如下命令即可比如在d：\wor
  • OpenJWeb(1.8) Java Web应用快速开发平台 comsci java框架Web项目管理企业应用
        OpenJWeb(1.8) Java Web应用快速开发平台的作者是我们技术联盟的成员，他最近推出了新版本的快速应用开发平台  OpenJWeb(1.8)，我帮他做做宣传   OpenJWeb快速开发平台以快速开发为核心，整合先进的java 开源框架，本着自主开发+应用集成相结合的原则，旨在为政府、企事业单位、软件公司等平台用户提供一个架构透
  • Python 报错：IndentationError: unexpected indent daizj pythontab空格缩进
        IndentationError: unexpected indent 是缩进的问题，也有可能是tab和空格混用啦     Python开发者有意让违反了缩进规则的程序不能通过编译，以此来强制程序员养成良好的编程习惯。并且在Python语言里，缩进而非花括号或者某种关键字，被用于表示语句块的开始和退出。增加缩进表示语句块的开
  • HttpClient 超时设置 dongwei_6688 httpclient
    HttpClient中的超时设置包含两个部分： 1. 建立连接超时，是指在httpclient客户端和服务器端建立连接过程中允许的最大等待时间 2. 读取数据超时，是指在建立连接后，等待读取服务器端的响应数据时允许的最大等待时间   在HttpClient 4.x中如下设置：   HttpClient httpclient = new DefaultHttpC
  • 小鱼与波浪 dcj3sjt126com
    一条小鱼游出水面看蓝天，偶然间遇到了波浪。　　小鱼便与波浪在海面上游戏，随着波浪上下起伏、汹涌前进。　　小鱼在波浪里兴奋得大叫：“你每天都过着这么刺激的生活吗？简直太棒了。”　　波浪说：“岂只每天过这样的生活，几乎每一刻都这么刺激！还有更刺激的，要有潮汐变化，或者狂风暴雨，那才是兴奋得心脏都会跳出来。”　　小鱼说：“真希望我也能变成一个波浪，每天随着风雨、潮汐流动，不知道有多么好！”　　很快，小鱼
  • Error Code: 1175 You are using safe update mode and you tried to update a table dcj3sjt126com mysql
    快速高效用：SET SQL_SAFE_UPDATES = 0；下面的就不要看了！ 今日用MySQL Workbench进行数据库的管理更新时，执行一个更新的语句碰到以下错误提示： Error Code: 1175 You are using safe update mode and you tried to update a table without a WHERE that
  • 枚举类型详细介绍及方法定义 gaomysion enumjavaee
    转发 http://developer.51cto.com/art/201107/275031.htm 枚举其实就是一种类型，跟int, char 这种差不多，就是定义变量时限制输入的，你只能够赋enum里面规定的值。建议大家可以看看，这两篇文章，《java枚举类型入门》和《C++的中的结构体和枚举》，供大家参考。 枚举类型是JDK5.0的新特征。Sun引进了一个全新的关键字enum
  • Merge Sorted Array hcx2013 array
    Given two sorted integer arrays nums1 and nums2, merge nums2 into nums1 as one sorted array. Note:You may assume that nums1 has enough space (size that is
  • Expression Language 3.0新特性 jinnianshilongnian el 3.0
    Expression Language 3.0表达式语言规范最终版从2013-4-29发布到现在已经非常久的时间了；目前如Tomcat 8、Jetty 9、GlasshFish 4已经支持EL 3.0。新特性包括：如字符串拼接操作符、赋值、分号操作符、对象方法调用、Lambda表达式、静态字段/方法调用、构造器调用、Java8集合操作。目前Glassfish 4/Jetty实现最好，对大多数新特性
  • 超越算法来看待个性化推荐 liyonghui160com 超越算法来看待个性化推荐
             一提到个性化推荐，大家一般会想到协同过滤、文本相似等推荐算法，或是更高阶的模型推荐算法，百度的张栋说过，推荐40%取决于UI、30%取决于数据、20%取决于背景知识，虽然本人不是很认同这种比例，但推荐系统中，推荐算法起的作用起的作用是非常有限的。       就像任何
  • 写给Javascript初学者的小小建议 pda158 JavaScript
    　　一般初学JavaScript的时候最头痛的就是浏览器兼容问题。在Firefox下面好好的代码放到IE就不能显示了，又或者是在IE能正常显示的代码在firefox又报错了。 　　如果你正初学JavaScript并有着一样的处境的话建议你：初学JavaScript的时候无视DOM和BOM的兼容性，将更多的时间花在 了解语言本身（ECMAScript）。只在特定浏览器编写代码（Chrome/Fi
  • Java 枚举 ShihLei javaenum枚举
    注：文章内容大量借鉴使用网上的资料，可惜没有记录参考地址，只能再传对作者说声抱歉并表示感谢！   一 基础 1）语法      枚举类型只能有私有构造器（这样做可以保证客户代码没有办法新建一个enum的实例）      枚举实例必须最先定义 2）特性     &nb
  • Java SE 6 HotSpot虚拟机的垃圾回收机制 uuhorse javaHotSpotGC垃圾回收VM
    官方资料，关于Java SE 6 HotSpot虚拟机的garbage Collection，非常全，英文。 http://www.oracle.com/technetwork/java/javase/gc-tuning-6-140523.html   Java SE 6 HotSpot[tm] Virtual Machine Garbage Collection Tuning &
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他