NJR10byh
NJR10byh

前端常见安全问题

目录

  • 以下是对一些常见的前端安全问题的总结
  • 一、iframe
      • 1、防止自己的网站不被其他网站的 iframe 引用
      • 2、禁用被使用的 iframe 对当前网站某些操作
  • 二、opener
      • 1、target="_blank"
      • 2、window.open()
  • 三、CSRF / XSRF（跨站请求伪造）
      • 防御措施
  • 四、XSS/CSS（跨站脚本攻击）
      • XSS类型：
      • 防御措施（对用户输入内容和服务端返回内容进行过滤和转译）
  • 五、ClickJacking（点击劫持）
      • 防御措施
      • 测试网站是否设置了X-Frame-Options
  • 六、HSTS（HTTP Strict Transport Security）HTTP严格传输安全）
  • 七、CDN劫持

以下是对一些常见的前端安全问题的总结

一、iframe

1、防止自己的网站不被其他网站的 iframe 引用

// 检测当前网站是否被第三方iframe引用
// 若相等证明没有被第三方引用，若不等证明被第三方引用。当发现被引用时强制跳转百度。
if(top.location != self.location){
    top.location.href = 'http://www.baidu.com'
}

2、禁用被使用的 iframe 对当前网站某些操作

在HTML5中，iframe有了一个叫做sandbox的安全属性，通过它可以对iframe的行为进行各种限制，充分实现“最小权限“原则。使用sandbox的最简单的方式就是只在iframe元素中添加上这个关键词就好，就像下面这样：

<iframe sandbox="value" src="..."> ... iframe>

如果只是添加上这个属性而保持属性值为空，那么浏览器将会对iframe实施史上最严厉的调控限制，基本上来讲就是除了允许显示静态资源以外，其他什么都做不了。比如不准提交表单、不准弹窗、不准执行脚本等等，连Origin都会被强制重新分配一个唯一的值，换句话讲就是iframe中的页面访问它自己的服务器都会被算作跨域请求。

sandbox也提供了丰富的配置参数：

value 描述
空 启用所有限制条件
allow-same-origin 允许被视为同源，即可操作父级DOM或cookie等
allow-top-navigation 允许当前iframe的引用网页通过url跳转链接或加载
allow-forms 允许表单提交
allow-scripts 允许执行脚本文件
allow-popups 允许浏览器打开新窗口进行跳转

二、opener

// 1) HTML -> 
// 2)  JS  -> window.open('http://www.baidu.com')

/* 
 * 这两种方式看起来没有问题，但是存在漏洞。
 * 通过这两种方式打开的页面可以使用 window.opener 来访问源页面的 window 对象。
 * 场景：A 页面通过  或 window.open 方式，打开 B 页面。但是 B 页面存在恶意代码如下：
 * window.opener.location.replace('https://www.baidu.com') 【此代码仅针对打开新标签有效】
 * 此时，用户正在浏览新标签页，但是原来网站的标签页已经被导航到了百度页面。
 * 恶意网站可以伪造一个足以欺骗用户的页面，使得进行恶意破坏。
 * 即使在跨域状态下 opener 仍可以调用 location.replace 方法。
 */

1、target="_blank"

<a target="_blank" href="" rel="noopener noreferrer nofollow">a标签跳转urla>

2、window.open()

<button onclick='openurl("http://www.baidu.com")'>click跳转</button>

function openurl(url) {
    var newTab = window.open();
    newTab.opener = null;
    newTab.location = url;
}

三、CSRF / XSRF（跨站请求伪造）

可以这么理解 CSRF 攻击：攻击者盗用了你的身份，以你的名义进行恶意请求。它能做的事情有很多包括：以你的名义发送邮件、发信息、盗取账号、购买商品、虚拟货币转账等。

总结起来就是：个人隐私暴露及财产安全问题。

/*
 * 阐述 CSRF 主要攻击思想：（核心2和3）
 * 1、浏览并登录信任网站（举例：淘宝）
 * 2、登录成功后在浏览器产生信息存储（举例：cookie）
 * 3、用户在没有登出淘宝的情况下，访问危险网站
 * 4、危险网站中存在恶意代码，代码为发送一个恶意请求（举例：购买商品/余额转账）
 * 5、携带刚刚在浏览器产生的信息进行恶意请求
 * 6、淘宝验证请求为合法请求（区分不出是否是该用户发送）
 * 7、达到了恶意目标
 */

防御措施

  • 涉及到数据修改操作严格使用 POST 请求而不是 GET 请求
  • HTTP 协议中使用 Referer 属性来确定请求来源进行过滤（禁止外域）
  • 请求地址添加 token ，使黑客无法伪造用户请求
  • HTTP 头自定义属性验证（类似上一条）
  • 显示验证方式：添加验证码、密码等

四、XSS/CSS（跨站脚本攻击）

XSS 又叫 CSS（Cross Site Script），跨站脚本攻击：攻击者在目标网站植入恶意脚本（js / html），用户在浏览器上运行时可以获取用户敏感信息（cookie / session）、修改web页面以欺骗用户、与其他漏洞相结合形成蠕虫等。

针对这种情况，我们对特殊字符进行转译就好了（vue/react等主流框架已经避免类似问题，vue举例：不能在template中写script标签，无法在js中通过ref或append等方式动态改变或添加script标签）

XSS类型：

  • 持久型XSS：将脚本植入到服务器上，从而导致每个访问的用户都会执行
  • 非持久型XSS：对个体用户某url的参数进行攻击

防御措施（对用户输入内容和服务端返回内容进行过滤和转译）

  • 现代大部分浏览器都自带 XSS 筛选器，vue / react 等成熟框架也对 XSS 进行一些防护
  • 对用户输入内容和服务端返回内容进行过滤和转译
  • 重要内容加密传输
  • 合理使用get/post等请求方式
  • 对于URL携带参数谨慎使用

五、ClickJacking（点击劫持）

ClickJacking 翻译过来被称为点击劫持，是一种视觉上的欺骗手段。攻击者使用一个透明的iframe，覆盖在一个网页上，然后诱使用户在网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击在iframe页面的一些功能性按钮上。

防御措施

  • HTTP响应头信息中的X-Frame-Options，可以指示浏览器是否应该加载一个iframe中的页面。如果服务器响应头信息中没有X-Frame-Options，则该网站存在ClickJacking攻击风险。网站可以通过设置X-Frame-Options阻止站点内的页面被其他页面嵌入从而防止点击劫持。
value 描述
DENY 不能被嵌入到任何iframe或者frame中。
SAMEORIGIN 页面只能被本站页面嵌入到iframe或者frame中
ALLOW-FROM URL 只能被嵌入到指定域名的框架中
  • 判断当前网页是否被 iframe 嵌套（详情见一）

测试网站是否设置了X-Frame-Options

将如下的代码中iframe中的链接换成待测网站的，保存为.html文件，本地打开。如果打开的页面中显示了待测的网站，则说明没有设置，反之设置了


<html>
<head lang="en">
    <meta charset="UTF-8" >
    <title>测试 X-Frame-Optionstitle>
head>
<body>
    <iframe src="http://www.xxx.com/"  width="500"  height="500"  frameborder="10"> iframe>
body>
html>

六、HSTS（HTTP Strict Transport Security）HTTP严格传输安全）

网站接受从 HTTP 请求跳转到 HTTPS 请求的做法，例如我们输入“http://www.baidu.com”或“www.baidu.com”最终都会被302重定向到“https://www.baidu.com”。这就存在安全风险，当我们第一次通过 HTTP 或域名进行访问时，302重定向有可能会被劫持，篡改成一个恶意或钓鱼网站。
HSTS：通知浏览器此网站禁止使用 HTTP 方式加载，浏览器应该自动把所有尝试使用 HTTP 的请求自动替换为 HTTPS 进行请求。用户首次访问时并不受 HSTS 保护，因为第一次还未形成链接。我们可以通过 浏览器预置HSTS域名列表 或 将HSTS信息加入到域名系统记录中，来解决第一次访问的问题。

七、CDN劫持

出于性能考虑，前端应用通常会把一些静态资源存放到CDN（Content Delivery Networks）上面，例如 js 脚本和 style 文件。这么做可以显著提高前端应用的访问速度，但与此同时却也隐含了一个新的安全风险。如果攻击者劫持了CDN，或者对CDN中的资源进行了污染，攻击者可以肆意篡改我们的前端页面，对用户实施攻击。

现在的CDN以支持SRI为荣，script 和 link 标签有了新的属性 integrity，这个属性是为了防止校验资源完整性来判断是否被篡改。它通过 验证获取文件的哈希值是否和你提供的哈希值一样 来判断资源是否被篡改。

使用 SRI 需要两个条件：一是要保证 资源同域 或开启跨域，二是在script标签中 提供签名 以供校验。

integrity 属性分为两个部分，第一部分是指定哈希值的生成算法（例：sha384），第二部分是经过编码的实际哈希值，两者之前用一个短横(-)来分隔

integrity 属性存在浏览器兼容问题

你可能感兴趣的:(笔记,前端,安全,javascript)

  • JavaScript中的防抖节流函数为什么要用call或apply去执行fn EuForth javascript开发语言ecmascriptJavaScript
    防抖（Debounce）和节流（Throttle）是前端开发中常用的性能优化技术，它们可以限制函数的执行频率，有效地控制事件触发的次数。在实际应用中，经常会将防抖节流函数与回调函数一起使用，以避免频繁触发导致的性能问题。在JavaScript中，有时我们会使用call或apply方法来执行回调函数。本文将详细解释防抖节流函数为什么要用call或apply去执行回调函数，并提供相应的源代码示例。了解
  • LeetCode169. 多数元素 (JavaScript解法) 煲纸 数据结构与算法leetcode
    169.多数元素题解思路1：摩尔投票法思路由于数的数量超过一半，所以那个数的出现的频率,一定大于等于50%，如果res为正确的众数，则voted的数量不可能为0，所以最后的res就是众数。分析时间复杂度O(N)空间复杂度O(1)代码实现varmajorityElement=function(nums){//初始化备选人和票数letres=nums[0],voted=0;for(letnofnums
  • 除了layui.js还有什么比较好的纯JS组件WEB UI？在谷歌浏览上显示 专注VB编程开发20年 javascript前端layui
    以下是一些比较好的纯JS组件WEBUI，可以在谷歌浏览器上良好显示：1.Sencha特点：提供超过140个高性能UI组件，用于构建现代应用程序。支持与Angular和React集成，提供企业级网格解决方案。适用场景：适用于需要高性能、可定制的UI组件的项目，尤其是企业级应用。2.Webix特点：包含102个UI组件，支持跨平台和跨浏览器，提供快速的渲染速度和纯JavaScript代码。适用场景：适
  • 【Spring Cloud 10】阿里巴巴分布式服务架构流量控件Sentinel，B站黑马程序员学习笔记 2501_90252715 springcloud架构sentinel
    貌似还是他更强一些，不过没关系，加油！所以，今天开启为期一个月的博客疯狂之旅。一、百度百科Sentinel是面向分布式服务架构的高可用流量防护组件，主要以流量为切入点，从限流、流量整形、熔断降级、系统负载保护、热点防护等多个维度来帮助开发者保障微服务的稳定性。Sentinel具有以下特性:丰富的应用场景：Sentinel承接了阿里巴巴近10年的双十一大促流量的核心场景，例如秒杀（即突发流量控制在系
  • Node.js 全局对象 wjs2024 开发语言
    Node.js全局对象引言在Node.js中，全局对象是JavaScript环境中的一部分，它提供了对Node.js运行时环境的访问。全局对象在Node.js中扮演着重要的角色，它使得开发者能够访问和操作Node.js的许多核心功能。本文将详细介绍Node.js的全局对象，包括其特点、常用方法和应用场景。全局对象概述Node.js的全局对象是global，它是Node.js中所有模块的父对象。在N
  • JavaScript函数中this的指向 暗渡x JavaScriptjavascript前端
    总结：谁调用我，我就指向谁（es6箭头函数不算）一、ES6之前每一个函数内部都有一个关键字是this，可以直接使用重点：函数内部的this只和函数的调用方式有关系，和函数的定义方式没有关系1、函数内部的this指向谁，取决于函数的调用方式1.1、全局定义的函数直接调用，this=>windowfunctionfn(){console.log(this)}fn()//此时this指向window1.
  • C# 学习笔记 c#
    pictureBox显示不出图片从网上找了一段代码，复制进visualstudio，显示本地的图片，结果始终显示不出来，查了好久，终于发现在Form1的构造函数中多了一个“InitializeComponent();”，删除就好了！消耗了太多时间。
  • Tauri应用开发实践指南（5）—Tauri 集成本地数据库 前端徐徐 Tauri应用开发实践指南数据库前端
    本文首发于微信公众号：前端徐徐。欢迎关注，获取更多前端技能分享。前言Tauri是一个构建跨平台桌面应用程序的框架，利用Web技术构建前端，并使用Rust构建后端。它以其小巧的体积和高性能受到开发者的欢迎。在开发过程中，我们常常需要数据本地持久化，所以会需要与本地数据库进行交互。方案比较在Tauri中集成本地数据库有多种方案，常见的包括：SQLite通过直接绑定使用第三方数据库库Tauri插件：ta
  • iconv-lite：一个库搞定所有字符编码问题？ 前端徐徐 宝藏工具electron
    本文首发同名微信公众号：前端徐徐大家好，我是徐徐。今天跟大家分享一款强大的字符编码转换库：iconv-lite。前言在全球化的开发环境中，处理不同字符编码已成为许多应用程序的关键需求。无论你是在开发需要支持多语言的应用，还是需要处理来自不同源的文本数据，一个高效且可靠的字符编码转换工具可以大大提升你的开发效率。今天，我们要介绍的是iconv-lite这个纯JavaScript实现的字符编码转换库，
  • Tauri应用开发实践指南（1）— Tauri 怎么样 前端徐徐 Tauri应用开发实践指南前端前端框架
    本文首发于微信公众号：前端徐徐。欢迎关注，获取更多前端技能分享。Tarui是什么Tauri是一个用于构建针对所有主要桌面和移动平台的小型、高速二进制文件的框架。开发人员可以集成任何能编译为HTML、JavaScript和CSS的前端框架来构建用户体验,同时在需要时利用诸如Rust、Swift和Kotlin等语言进行后端逻辑开发。官网：https://tauri.appTarui架构Tauri的整体
  • javascript-前后端交互模式-简介 gaog2zh #javascirptjavascript前后端交互
    javascript-前后端交互模式-简介目录文章目录1、相关知识2、异步接口调用方式3、URL地址2.1、传统形式的URL2.2、Restful风格的URL2.2.1、http请求方式2.2.3、示例：***后记***：内容图示0-1：随着前后端分离，前后端交互技术不断更新，下面我们看下前后端交互相关知识。1、相关知识前端通过相关接口发送请求，后端接收请求，处理返回响应结果，前端接收响应结果，完
  • Java 核心与应用：Java 泛型编程 星核日记 《Java核心与应用》javapython开发语言
    目录Java核心与应用：Java泛型编程引言1.泛型编程基础1.1什么是泛型？1.1.1泛型的使用场景1.1.2类型安全演进史1.2泛型的优势1.2.1泛型与普通代码的对比2.类型擦除与桥接方法2.1类型擦除机制2.1.1类型擦除示例2.2桥接方法2.2.1桥接方法示例3.泛型通配符与PECS原则3.1泛型通配符3.1.1通配符示例3.2PECS原则3.2.1PECS示例4.泛型在反射中的类型获取
  • 软件工程概论试题五 minaMoonGirl 软件工程
    一、多选1.好的软件的基本属性包括()。A.效率B.可依赖性和信息安全性C.可维护性D.可接受性正答：ABCD2.软件工程的三要素是什么()?A.结构化B.工具C.面向对象D.数据流!E.方法F.过程正答：BEF3.下面中英文术语对照哪些是正确的、且是属于非功能性需求的指标?(A.可靠性RobustnessB.可移植性PortabilityC.易用性EaseofuseD.鲁棒性Reliabilit
  • axios 登录后设置header_axios如何利用promise无痛刷新token weixin_39648430 axios登录后设置header
    需求最近遇到个需求：前端登录后，后端返回token和token有效时间，当token过期时要求用旧token去获取新的token，前端需要做到无痛刷新token，即请求刷新token时要做到用户无感知。需求解析当用户发起一个请求时，判断token是否已过期，若已过期则先调refreshToken接口，拿到新的token后再继续执行之前的请求。这个问题的难点在于：当同时发起多个请求，而刷新token
  • Python的Json方法 weixin_34293059 jsonpythonjavascriptViewUI
    Json简介：Json，全名JavaScriptObjectNotation，是一种轻量级的数据交换格式。Json最广泛的应用是作为AJAX中web服务器和客户端的通讯的数据格式。现在也常用于http请求中，所以对json的各种学习，是自然而然的事情。dumps方法将字典数据类型转换为json字符串类型例子：importjsonm={'a':123,'b':'hahaha'}json_str=js
  • 一文解锁 NVM：Node版本随意切换不再发愁 一个小白的小白人 前端nvmnode.js前端node.js
    前言搞前端开发的朋友肯定都对Node.js不陌生，它在咱们的工作里，就像得力助手，没了它，很多工作都没法顺利开展。但Node.js更新得那叫一个快，新特性、新优化不断冒出来。这就好比你本来开着一辆顺手的车，开得正稳呢，突然厂家说出了新款，性能更强，功能更多，你心里肯定痒痒，想试试新的。可实际情况是，每个项目就像不同的乘客，需求不一样。我之前做一个老项目维护，它就像个念旧的乘客，只认Node.js的
  • 前端必知必会-Vue 简介 编程岁月 vue.js前端javascript
    文章目录Vue简介Vue是一个JavaScript框架为什么要学习Vue？OptionsAPI我的第一页文本插值文本插值中的JavaScript总结Vue简介Vue是一个JavaScript框架。可以使用标记将其添加到HTML页面。Vue使用指令扩展HTML属性，并使用表达式将数据绑定到HTML。Vue是一个JavaScript框架Vue是一个用JavaScript编写的前端JavaScript框
  • 详细介绍：使用 Axios 上传图片文件 还是鼠鼠 javascript前端开发语言ajaxbootstrap前端框架vscode
    目录1.项目背景和功能概述2.（index.html完整代码）结构解析3.JavaScript部分解析3.1事件监听和图片上传3.2处理响应和错误4.完整流程5.总结6.适用场景这篇文章将展示如何通过Axios发送POST请求来实现图片上传。通过用户选择图片文件后，使用FormData构造上传的文件数据，并通过Axios将其提交到服务器。服务器返回图片的URL后，页面会显示上传的图片。下面是详细的
  • 图书管理系统 Axios 源码 __删除图书功能 还是鼠鼠 javascriptbootstrapajaxvscode前端前端框架node.js
    目录代码实现（index.js）代码解析使用方法下面是完整的删除图书功能代码，基于HTML+Bootstrap+JavaScript+Axios开发。代码实现（index.js）//删除图书功能document.querySelector('.list').addEventListener('click',(e)=>{//判断是否点击了删除按钮if(e.target.classList.conta
  • Axios 的地区查询(案例) 还是鼠鼠 ajax前端javascriptbootstrapweb
    目录1.项目背景与功能概述2.完整代码3.HTML结构解析输入表单查询按钮地区列表4.JavaScript部分解析监听点击事件发送Axios请求处理响应数据5.完整流程6.总结7.适用场景8.优化和扩展本案例展示了如何使用Axios发送带查询参数的HTTP请求，查询指定省份和城市下的地区列表。通过用户输入的省份名称和城市名称，向后端API发送请求，获取该地区下的具体区域信息，并将返回的数据动态渲染
  • OAuth1和OAuth2授权协议 yaoshengting #jira安全
    OAuth1授权协议1.概述OAuth1是OAuth标准的第一个正式版本，它通过签名和令牌的方式，实现用户授权第三方访问其资源的功能。在OAuth1中，安全性依赖于签名机制，无需传递用户密码。2.核心特性使用签名（Signature）来验证请求，提供高安全性。每次请求需要签名，因此客户端和服务器必须具备一致的签名计算能力。授权流程较复杂，尤其是在客户端上实现。3.授权流程OAuth1的流程包括以下
  • axios如何利用promise无痛刷新token 前端 贾公子 前端
    目录需求需求解析实现思路方法一：方法二：两种方法对比实现封装axios基本骨架instance.interceptors.response.use拦截实现问题和优化如何防止多次刷新token同时发起两个或以上的请求时，其他接口如何重试最后完整代码需求最近遇到个需求：前端登录后，后端返回token和token有效时间，当token过期时要求用旧token去获取新的token，前端需要做到无痛刷新to
  • 图书管理系统 Axios 源码__获取图书列表 还是鼠鼠 javascriptbootstrapajax前端
    目录核心功能源码介绍1.获取图书列表技术要点适用人群本项目是一个基于HTML+Bootstrap+JavaScript+Axios开发的图书管理系统，可用于添加、编辑、删除和管理图书信息，适合前端开发者学习前端交互设计、Axios数据请求以及Bootstrap样式布局。核心功能图书列表渲染通过Axios发送GET请求获取服务器上的图书数据。渲染数据到HTML表格，展示书籍的名称、作者、出版社等信息
  • 一个开源 GenBI AI 本地代理（确保本地数据安全），使数据驱动型团队能够与其数据进行互动，生成文本到 SQL、图表、电子表格、报告和 BI struggle2025 人工智能数据挖掘目标检测深度学习自然语言处理语言模型集成学习
    一、GenBIAI代理介绍（文末提供下载）github地址：https://github.com/Canner/WrenAI本文信息图片均来源于github作者主页在WrenAI，我们的使命是通过生成式商业智能（GenBI）使组织能够无缝访问数据，从而彻底改变商业智能。我们的目标是通过先进的AI驱动型解决方案、可组合数据框架和语义智能来打破数据洞察的障碍，使每个团队成员都能自信地做出更快、更智能的
  • 【SRC排名】安全应急响应中心SRC上榜记录 差不多的张三三 src安全
    2023年新氧第三https://security.soyoung.com/top合合第四https://security.intsig.com/index.php?m=&c=hall&a=index2024年好未来第一https://src.100tal.com/index.php?m=&c=hall&a=index（官网是总榜，年榜只有海报）爱奇艺第八https://security.iqiy
  • echarts样式设置笔记 weixin_45907672 vueecharts前端javascript
    设置x轴的小标题xAxis:{type:'value',name:'DRGs组数',data:['2014','2015','2016','2017','2018','2019','2020']}设置y轴的小标题yAxis:[{type:'value',name:'预算总额',min:0,max:25,interval:5,//可以添加单位和后缀//axisLabel:{//formatter:'
  • 玩转Docker | 使用Docker部署SSCMS内容管理系统 心随_风动 玩转Dockerdocker容器运维
    玩转Docker|使用Docker部署SSCMS内容管理系统前言一、项目介绍SSCMS简介主要特点二、系统要求环境要求环境检查Docker版本检查检查操作系统版本三、部署SSCMS系统下载镜像创建容器检查容器状态检查服务端口安全设置四、访问SSCMS应用初始化配置访问SSCMS管理后台六、配置SSCMS站点创建站点配置站点信息访问站点首页七、总结前言在当今数字化快速发展的时代，拥有一个高效、稳定且
  • C# delegate 委托使用教程 c#.net
    什么是委托？委托是定义方法签名的引用类型数据类型，可以定义委托的变量，就像其他数据类型一样，可以引用与委托具有相同签名的任何方法。它允许方法作为参数传递，并允许事件驱动编程。它们提供了一种以类型安全的方式封装方法引用的方法。委托是一种类型，类似于C++的函数指针，但更安全和灵活。委托可以存储对方法的引用（或者多个方法）。委托是实现事件和回调的基础。为什么使用委托？类型安全：委托提供一种类型安全的方
  • 性能测试网络风险诊断有哪些？ Feng.Lee 漫谈测试开发语言
    目录一、网络定位分析手段二、sar命令三、netstat命令以下是几种常见的网络风险诊断方法网络连通性检查带宽与延迟测量丢包率分析网络拓扑结构审查安全设备影响评估协议层面上的优化负载均衡器效能检验云化服务架构下的特殊考量系统应用之间的交换，尤其是跨机器之间，都是要基于网络的，因此网络宽带，响应时间，网络延迟，阻塞等都是影响系统性能的因素。如果应用在不稳定，不安全的网络下，则会导致应用程序的超时，丢
  • 解决Cookie值不允许出现中文的问题
    解决Cookie值不允许出现中文的问题，主要是因为HTTP协议对Cookie的值有一些限制，其中包括不支持非ASCII字符（如中文字符）。为了实现这一点，我们可以通过以下方法进行处理。1.编码转换：中文字符通常不是URL安全字符，它们包含非ASCII字符，需要进行编码转换。我们可以使用UTF-8编码，将中文字符转换成适合存储在Cookie中的格式。URL编码将中文字符转化为其UTF-8的字节表示，
  • java的(PO,VO,TO,BO,DAO,POJO) Cb123456 VOTOBOPOJODAO
    转: http://www.cnblogs.com/yxnchinahlj/archive/2012/02/24/2366110.html   -------------------------------------------------------------------  O/R Mapping 是 Object Relational Mapping（对象关系映
  • spring ioc原理（看完后大家可以自己写一个spring） aijuans spring
             最近，买了本Spring入门书：spring In Action 。大致浏览了下感觉还不错。就是入门了点。Manning的书还是不错的，我虽然不像哪些只看Manning书的人那样专注于Manning,但怀着崇敬 的心情和激情通览了一遍。又一次接受了IOC 、DI、AOP等Spring核心概念。 先就IOC和DI谈一点我的看法。IO
  • MyEclipse 2014中Customize Persperctive设置无效的解决方法 Kai_Ge MyEclipse2014
    高高兴兴下载个MyEclipse2014，发现工具条上多了个手机开发的按钮，心生不爽就想弄掉他！ 结果发现Customize Persperctive失效！！ 有说更新下就好了，可是国内Myeclipse访问不了，何谈更新... so~这里提供了更新后的一下jar包，给大家使用！ 1、将9个jar复制到myeclipse安装目录\plugins中 2、删除和这9个jar同包名但是版本号较
  • SpringMvc上传 120153216 springMVC
      @RequestMapping(value = WebUrlConstant.UPLOADFILE) @ResponseBody public Map<String, Object> uploadFile(HttpServletRequest request,HttpServletResponse httpresponse) { try { //
  • Javascript----HTML DOM 事件 何必如此 JavaScripthtmlWeb
    HTML DOM 事件允许Javascript在HTML文档元素中注册不同事件处理程序。 事件通常与函数结合使用，函数不会在事件发生前被执行！ 注：DOM： 指明使用的 DOM 属性级别。 1.鼠标事件 属性               
  • 动态绑定和删除onclick事件 357029540 JavaScriptjquery
    因为对JQUERY和JS的动态绑定事件的不熟悉，今天花了好久的时间才把动态绑定和删除onclick事件搞定!现在分享下我的过程。      在我的查询页面，我将我的onclick事件绑定到了tr标签上同时传入当前行(this值)参数，这样可以在点击行上的任意地方时可以选中checkbox，但是在我的某一列上也有一个onclick事件是用于下载附件的，当
  • HttpClient|HttpClient请求详解 7454103 apache应用服务器网络协议网络应用Security
    HttpClient 是 Apache Jakarta Common 下的子项目，可以用来提供高效的、最新的、功能丰富的支持 HTTP 协议的客户端编程工具包，并且它支持 HTTP 协议最新的版本和建议。本文首先介绍 HTTPClient，然后根据作者实际工作经验给出了一些常见问题的解决方法。HTTP 协议可能是现在 Internet 上使用得最多、最重要的协议了，越来越多的 Java 应用程序需
  • 递归 逐层统计树形结构数据 darkranger 数据结构
    将集合递归获取树形结构: /** * * 递归获取数据 * @param alist:所有分类 * @param subjname:对应统计的项目名称 * @param pk:对应项目主键 * @param reportList: 最后统计的结果集 * @param count:项目级别 */ public void getReportVO(Arr
  • 访问WEB-INF下使用frameset标签页面出错的原因 aijuans struts2
    <frameset rows="61,*,24" cols="*" framespacing="0" frameborder="no" border="0">        
  • MAVEN常用命令 avords
    Maven库： http://repo2.maven.org/maven2/ Maven依赖查询： http://mvnrepository.com/ Maven常用命令： 1. 创建Maven的普通java项目：    mvn archetype:create    -DgroupId=packageName 
  • PHP如果自带一个小型的web服务器就好了 houxinyou apache应用服务器WebPHP脚本
    最近单位用PHP做网站，感觉PHP挺好的，不过有一些地方不太习惯，比如，环境搭建。PHP本身就是一个网站后台脚本，但用PHP做程序时还要下载apache，配置起来也不太很方便，虽然有好多配置好的apache+php+mysq的环境，但用起来总是心里不太舒服，因为我要的只是一个开发环境，如果是真实的运行环境，下个apahe也无所谓，但只是一个开发环境，总有一种杀鸡用牛刀的感觉。如果php自己的程序中
  • NoSQL数据库之Redis数据库管理(list类型) bijian1013 redis数据库NoSQL
    3.list类型及操作         List是一个链表结构，主要功能是push、pop、获取一个范围的所有值等等，操作key理解为链表的名字。Redis的list类型其实就是一个每个子元素都是string类型的双向链表。我们可以通过push、pop操作从链表的头部或者尾部添加删除元素，这样list既可以作为栈，又可以作为队列。   &nbs
  • 谁在用Hadoop？ bingyingao hadoop数据挖掘公司应用场景
    Hadoop技术的应用已经十分广泛了，而我是最近才开始对它有所了解，它在大数据领域的出色表现也让我产生了兴趣。浏览了他的官网，其中有一个页面专门介绍目前世界上有哪些公司在用Hadoop，这些公司涵盖各行各业，不乏一些大公司如alibaba,ebay,amazon,google,facebook,adobe等，主要用于日志分析、数据挖掘、机器学习、构建索引、业务报表等场景,这更加激发了学习它的热情。
  • 【Spark七十六】Spark计算结果存到MySQL bit1129 mysql
    package spark.examples.db import java.sql.{PreparedStatement, Connection, DriverManager} import com.mysql.jdbc.Driver import org.apache.spark.{SparkContext, SparkConf} object SparkMySQLInteg
  • Scala: JVM上的函数编程 bookjovi scalaerlanghaskell
        说Scala是JVM上的函数编程一点也不为过，Scala把面向对象和函数型编程这两种主流编程范式结合了起来，对于熟悉各种编程范式的人而言Scala并没有带来太多革新的编程思想，scala主要的有点在于Java庞大的package优势，这样也就弥补了JVM平台上函数型编程的缺失，MS家.net上已经有了F#，JVM怎么能不跟上呢？     对本人而言
  • jar打成exe bro_feng java jar exe
    今天要把jar包打成exe，jsmooth和exe4j都用了。 遇见几个问题。记录一下。 两个软件都很好使，网上都有图片教程，都挺不错。 首先肯定是要用自己的jre的，不然不能通用，其次别忘了把需要的lib放到classPath中。 困扰我很久的一个问题是，我自己打包成功后，在一个同事的没有装jdk的电脑上运行，就是不行，报错jvm.dll为无效的windows映像，如截图 最后发现
  • 读《研磨设计模式》-代码笔记-策略模式-Strategy bylijinnan java设计模式
    声明： 本文只为方便我个人查阅和理解，详细的分析以及源代码请移步 原作者的博客http://chjavach.iteye.com/ /* 策略模式定义了一系列的算法，并将每一个算法封装起来，而且使它们还可以相互替换。策略模式让算法独立于使用它的客户而独立变化 简单理解： 1、将不同的策略提炼出一个共同接口。这是容易的，因为不同的策略，只是算法不同，需要传递的参数
  • cmd命令值cvfM命令 chenyu19891124 cmd
         cmd命令还真是强大啊。今天发现jar -cvfM aa.rar @aaalist 就这行命令可以根据aaalist取出相应的文件   例如：      在d：\workspace\prpall\test.java 有这样一个文件，现在想要将这个文件打成一个包。运行如下命令即可比如在d：\wor
  • OpenJWeb(1.8) Java Web应用快速开发平台 comsci java框架Web项目管理企业应用
        OpenJWeb(1.8) Java Web应用快速开发平台的作者是我们技术联盟的成员，他最近推出了新版本的快速应用开发平台  OpenJWeb(1.8)，我帮他做做宣传   OpenJWeb快速开发平台以快速开发为核心，整合先进的java 开源框架，本着自主开发+应用集成相结合的原则，旨在为政府、企事业单位、软件公司等平台用户提供一个架构透
  • Python 报错：IndentationError: unexpected indent daizj pythontab空格缩进
        IndentationError: unexpected indent 是缩进的问题，也有可能是tab和空格混用啦     Python开发者有意让违反了缩进规则的程序不能通过编译，以此来强制程序员养成良好的编程习惯。并且在Python语言里，缩进而非花括号或者某种关键字，被用于表示语句块的开始和退出。增加缩进表示语句块的开
  • HttpClient 超时设置 dongwei_6688 httpclient
    HttpClient中的超时设置包含两个部分： 1. 建立连接超时，是指在httpclient客户端和服务器端建立连接过程中允许的最大等待时间 2. 读取数据超时，是指在建立连接后，等待读取服务器端的响应数据时允许的最大等待时间   在HttpClient 4.x中如下设置：   HttpClient httpclient = new DefaultHttpC
  • 小鱼与波浪 dcj3sjt126com
    一条小鱼游出水面看蓝天，偶然间遇到了波浪。　　小鱼便与波浪在海面上游戏，随着波浪上下起伏、汹涌前进。　　小鱼在波浪里兴奋得大叫：“你每天都过着这么刺激的生活吗？简直太棒了。”　　波浪说：“岂只每天过这样的生活，几乎每一刻都这么刺激！还有更刺激的，要有潮汐变化，或者狂风暴雨，那才是兴奋得心脏都会跳出来。”　　小鱼说：“真希望我也能变成一个波浪，每天随着风雨、潮汐流动，不知道有多么好！”　　很快，小鱼
  • Error Code: 1175 You are using safe update mode and you tried to update a table dcj3sjt126com mysql
    快速高效用：SET SQL_SAFE_UPDATES = 0；下面的就不要看了！ 今日用MySQL Workbench进行数据库的管理更新时，执行一个更新的语句碰到以下错误提示： Error Code: 1175 You are using safe update mode and you tried to update a table without a WHERE that
  • 枚举类型详细介绍及方法定义 gaomysion enumjavaee
    转发 http://developer.51cto.com/art/201107/275031.htm 枚举其实就是一种类型，跟int, char 这种差不多，就是定义变量时限制输入的，你只能够赋enum里面规定的值。建议大家可以看看，这两篇文章，《java枚举类型入门》和《C++的中的结构体和枚举》，供大家参考。 枚举类型是JDK5.0的新特征。Sun引进了一个全新的关键字enum
  • Merge Sorted Array hcx2013 array
    Given two sorted integer arrays nums1 and nums2, merge nums2 into nums1 as one sorted array. Note:You may assume that nums1 has enough space (size that is
  • Expression Language 3.0新特性 jinnianshilongnian el 3.0
    Expression Language 3.0表达式语言规范最终版从2013-4-29发布到现在已经非常久的时间了；目前如Tomcat 8、Jetty 9、GlasshFish 4已经支持EL 3.0。新特性包括：如字符串拼接操作符、赋值、分号操作符、对象方法调用、Lambda表达式、静态字段/方法调用、构造器调用、Java8集合操作。目前Glassfish 4/Jetty实现最好，对大多数新特性
  • 超越算法来看待个性化推荐 liyonghui160com 超越算法来看待个性化推荐
             一提到个性化推荐，大家一般会想到协同过滤、文本相似等推荐算法，或是更高阶的模型推荐算法，百度的张栋说过，推荐40%取决于UI、30%取决于数据、20%取决于背景知识，虽然本人不是很认同这种比例，但推荐系统中，推荐算法起的作用起的作用是非常有限的。       就像任何
  • 写给Javascript初学者的小小建议 pda158 JavaScript
    　　一般初学JavaScript的时候最头痛的就是浏览器兼容问题。在Firefox下面好好的代码放到IE就不能显示了，又或者是在IE能正常显示的代码在firefox又报错了。 　　如果你正初学JavaScript并有着一样的处境的话建议你：初学JavaScript的时候无视DOM和BOM的兼容性，将更多的时间花在 了解语言本身（ECMAScript）。只在特定浏览器编写代码（Chrome/Fi
  • Java 枚举 ShihLei javaenum枚举
    注：文章内容大量借鉴使用网上的资料，可惜没有记录参考地址，只能再传对作者说声抱歉并表示感谢！   一 基础 1）语法      枚举类型只能有私有构造器（这样做可以保证客户代码没有办法新建一个enum的实例）      枚举实例必须最先定义 2）特性     &nb
  • Java SE 6 HotSpot虚拟机的垃圾回收机制 uuhorse javaHotSpotGC垃圾回收VM
    官方资料，关于Java SE 6 HotSpot虚拟机的garbage Collection，非常全，英文。 http://www.oracle.com/technetwork/java/javase/gc-tuning-6-140523.html   Java SE 6 HotSpot[tm] Virtual Machine Garbage Collection Tuning &
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他