筑梦之月
筑梦之月

「 典型安全漏洞系列 」03.跨站请求伪造CSRF详解

引言：CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种攻击技术，通过使用用户的身份进行不诚实地操作，恶意用户可以在受害者（目标）的机器上执行一些未授权的操作。这可能会危及用户的信息安全或进行恶意的财务交易等。下面我们来介绍一下 CSRF 的简介、原理和防御方法。

1. 简介

CSRF 攻击通过在用户不知情的情况下，冒充用户身份向服务器发送请求。由于攻击者可以利用用户在站点上已存在的 cookie 进行身份验证，所以这种攻击往往不易被察觉。它与常见的 XSS（跨站脚本攻击）攻击有相似之处，都是利用 Web 应用程序的安全漏洞进行攻击。
CSRF常年位于CWE Top10，可见其危害性及普遍性。排名源自CWE官网https://cwe.mitre.org/top25/archive/2023/2023_top25_list.html
「 典型安全漏洞系列 」03.跨站请求伪造CSRF详解_第1张图片

Note：如果想了解CWE，请参阅「 网络安全常用术语解读 」通用缺陷枚举CWE详解

2. 主要危害

在成功的CSRF攻击中，攻击者会导致受害者用户无意中执行操作。例如，这可能是更改他们帐户上的电子邮件地址、更改他们的密码或进行资金转账。根据操作的性质，攻击者可能能够完全控制用户的帐户。如果受危害的用户在应用程序中具有特权角色，则攻击者可能能够完全控制应用程序的所有数据和功能。
「 典型安全漏洞系列 」03.跨站请求伪造CSRF详解_第2张图片

3. 攻击原理

CSRF 攻击的工作原理可以分为以下几个步骤：

  • 1、受害者首先会访问一个被攻击者控制的网站或者恶意网页，该网站包含了恶意脚本。
    当受害者再次访问自己的网站或应用程序时，恶意脚本会使用受害者的 cookie 向服务器发送请求，冒充受害者的身份进行操作。
  • 2、由于服务器端的应用程序通常会验证 cookie，所以攻击者可以成功冒充用户身份并执行一些未授权的操作。

CSRF 攻击的成功与否取决于两个因素：一是受害者对被攻击网站的信任，二是服务器端应用程序对 cookie 的依赖。由于大多数网站都会使用 cookie 进行身份验证，因此 CSRF 攻击是一种相对普遍的攻击方式。

3.1. 举例说明

假设应用程序允许用户更改其帐户上的电子邮件地址。当用户执行此操作时，他们会发出如下HTTP请求：

POST /email/change HTTP/1.1
Host: vulnerable-website.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 30
Cookie: session=yvthwsztyeQkAPzeQ5gHgTvlyxHfsAfE

[email protected]

这满足CSRF所需的条件：

  • 攻击者对更改用户帐户上的电子邮件地址的操作感兴趣。在此操作之后，攻击者通常能够触发密码重置并完全控制用户的帐户。
  • 应用程序使用会话cookie来标识哪个用户发出了请求。没有其他令牌或机制来跟踪用户会话。
  • 攻击者可以轻松确定执行操作所需的请求参数的值。

有了这些条件，攻击者可以构建包含以下HTML的网页：

<html>
    <body>
        <form action="https://vulnerable-website.com/email/change" method="POST">
            <input type="hidden" name="email" value="[email protected]" />
        form>
        <script>
            document.forms[0].submit();
        script>
    body>
html>

如果受害者用户访问攻击者的网页，将发生以下情况：

  • 攻击者的页面将触发对易受攻击网站的HTTP请求。
  • 如果用户登录到易受攻击的网站，其浏览器将自动在请求中包含其会话cookie（假设未使用SameSite cookie）。
  • 易受攻击的网站将以正常方式处理请求，将其视为受害者用户发出的请求，并更改其电子邮件地址。

4. 防御手段

如今，成功发现并利用 CSRF 漏洞通常需要绕过目标网站、受害者的浏览器或两者的反 CSRF 措施。最常见的防御措施如下：

  • CSRF token：CSRF 令牌是一种由服务器端应用程序生成的独特、秘密和不可预测的值，并与客户端共享。当尝试执行敏感操作，如提交表单时，客户端必须在请求中包含正确的 CSRF 令牌。这使得攻击者很难代表受害者构建有效请求。

  • SameSite Cookie：SameSite 是浏览器安全机制，用于确定何时将网站的cookie包含在其他网站发起的请求中。由于执行敏感操作的请求通常需要验证会话cookie，适当的 SameSite 限制可能阻止攻击者跨站触发这些操作。

    自 2021 年以来Chrome 默认实施严格的 SameSite 限制。由于是提议标准，预计其他主要浏览器将在未来也采用这种策略。

  • 基于 Referer 的验证：一些应用程序使用 HTTP Referer 标头试图防御 CSRF 攻击，通常是通过验证请求是否来自应用程序自身的域名。这种方法通常不如 CSRF 令牌验证有效。

  • 强制进行验证码：通过在用户提交表单时强制显示验证码，可以增加 CSRF 攻击的难度。用户需要输入正确的验证码才能提交表单，这样可以减少恶意用户的操作

  • 设置 session 限制：对 session 设置合理的限制，如限制 session 的存活时间、设置 session 的过期时间等，可以有效减少 CSRF 攻击的风险。当用户长时间不操作时，session 应自动过期，以防止恶意用户长时间占用 session 进行攻击。

  • 禁止预提交字段：对于不需要提交的表单字段，如隐藏字段、checkbox 等，应禁止使用预提交方式。这样可以避免恶意用户利用这些字段绕过验证进行攻击。

5. 攻击者思路

1、检测网站采用的CSRF防御方法

  • 验证token：请求体中包含token字段，修改后请求会被拒绝；
  • 验证Referer请求头：请求头中包含Referer字段，修改后请求会被拒绝。

2、针对防御方法，识别绕过的方法

  • 验证token
    • 删除token：直接删除token或更改请求方法
    • 窃取token：1、若站点同时存在XSS漏洞，可利用XSS注入完成token获取；2、使用悬挂标记注入技术窃取token。

      关于XSS技术请参阅「 典型安全漏洞系列 」01.跨站脚本攻击XSS详解，关于悬挂标记注入请参阅「 网络安全术语解读 」悬空标记注入详解。

  • 验证Referer请求头
    • 删除Referer头：直接删除Referer头
    • 构建特殊URL：构建包含信任域的Referer或构建以信任域开头的Referer

3、构造POC
借助Burp Suite专业版中的CSRF POC生成器可以快速构建POC。具体操作步骤请参阅如何通过Burp Suite专业版构建CSRF PoC，喜欢博文文章的可以收藏关注哈，谢谢支持~。

6. 参考

[1] https://portswigger.net/web-security/csrf

前期回顾
「 典型安全漏洞系列 」02.SQL注入详解
「 典型安全漏洞系列 」01.跨站脚本攻击XSS详解

你可能感兴趣的:(网络安全,csrf,渗透测试)

  • Edge-TTS在广电系统中的语音合成技术的创新应用
    Edge-TTS在广电系统中的语音合成技术的创新应用作者：本人是一名县级融媒体中心的工程师，多年来一直坚持学习、提升自己。喜欢Python编程、人工智能、网络安全等多领域的技术。摘要随着人工智能技术的快速发展，文字转语音(Text-to-Speech,TTS)系统已成为多种应用的重要组成部分，尤其在广播电视领域。本文介绍了一种基于Edge-TTS大模型的文字转语音工具，该工具结合了现代文本处理和语
  • 《网络安全自学教程》- SQL注入漏洞详解 士别三日wyx 《网络安全自学教程》sql数据库网络安全安全web安全
    《网络安全自学教程》SQL注入的原理其实很简单：由于后端过滤不严格，把用户输入的数据当成SQL语句执行了。SQL注入1、SQL注入常出现在哪些功能？2、SQL注入危害3、SQL注入分类4、判断是否存在SQL注入5、SQL注入方式6、SQL注入防御6.1、预编译1、SQL注入常出现在哪些功能？凡是涉及「数据库操作的功能」，都有可能存在SQL注入，比如：搜索框等查询功能。用户注册/用户登录功能。密码找
  • Django项目前后端类型中，用户注册功能实现笔记（第一部分） 后端django
    用户注册前端逻辑为了学会使用Vue.js的双向绑定实现用户的交互和页面局部刷新效果。1.用户注册页面绑定Vue数据1.准备div盒子标签......2.register.html绑定内容：变量、事件、错误提示等{{csrf_input}}用户名:[[error_name_message]]密码:请输入8-20位的密码确认密码:两次输入的密码不一致号:[[error_mobile_message]]
  • IP证书在网络安全中的作用 qwerdfwc_ 安全web安全网络
    IP证书（IPSSL证书）是SSL/TLS证书的一种，与传统的域名SSL证书不同，它直接绑定到服务器的IP地址而非域名，在网络安全中发挥着多方面的重要作用，以下是详细介绍：身份验证作用机制：IP证书由受信任的证书颁发机构（CA）颁发。在申请过程中，CA会对申请者的IP地址进行严格的身份验证，确保申请者对该IP地址拥有合法的控制权。只有通过验证的IP地址才能获得相应的证书。重要性：这种身份验证机制可
  • 探秘 SELinux Notebook：安全增强的利器与实践指南 纪亚钧
    探秘SELinuxNotebook：安全增强的利器与实践指南去发现同类优质开源项目:https://gitcode.com/在网络安全日益重要的今天，SELinux（Security-EnhancedLinux）作为Linux内核的安全模块，提供了强制访问控制机制，极大地增强了系统的安全性。而SELinuxNotebook则是为了帮助用户更好地理解和使用SELinux的一款交互式教程平台。它将复杂
  • 车联网网络安全渗透测试：深度解析与实践 ke0hly web安全网络安全物联网安全架构安全威胁分析
    引言随着汽车智能化、网联化程度的不断深入，车联网（IoV）已成为连接人、车、路、云的关键枢纽。然而，技术进步的同时也带来了前所未有的网络安全挑战。从车载系统到云端平台，从车内通信到V2X通信，车联网的每一个环节都可能成为潜在的攻击面，一旦被恶意利用，将直接威胁到驾乘人员的生命财产安全，甚至影响国家安全和公共秩序。因此，构建一套全面、深入、实战化的车联网网络安全渗透测试流程和方法，对于保障车联网的健
  • 【网络安全】对称密码体制 Hacker_xingchen web安全安全网络
    1.对称密码体制概述1.1定义与特点对称密码体制，也称为单钥密码体制，是一种加密方法，其中加密和解密过程使用相同的密钥。这种加密方式的主要特点包括简单、高效和计算速度快，适合于大量数据的快速加密和解密。对称密码体制的安全性完全依赖于密钥的保密性，一旦密钥被泄露，加密的安全性就会受到威胁。效率：对称密码算法通常比非对称密码算法要快，因为它们的算法结构相对简单，计算量较小。密钥管理：对称密码体制的密钥
  • 【网络安全】网络安全中的离散数学 flyair_China 安全架构
    一、离散数学核心知识点与网络安全映射1.数论（NumberTheory）知识点安全应用场景实例说明质因数分解RSA公钥加密大整数分解难题（2048位密钥需数万年破解）模运算Diffie-Hellman密钥交换利用(gamodp)实现安全协商欧拉定理RSA加密/解密me*d≡m(modn)保障解密还原中国剩余定理高效解密优化RSA-CRT加速解密运算达70%2.代数结构（AlgebraicStruc
  • 《深入理解Android 卷I pdf》资源介绍 郭清然
    《深入理解Android卷Ipdf》资源介绍【下载地址】深入理解Android卷Ipdf资源介绍《深入理解Android卷I》是一本深度剖析Android系统源代码的专业书籍，全面解读Framework层、Native层和Application层的核心机制。本书以情景分析的方式，深入探讨Android系统的启动流程、进程管理、内存管理、文件系统及网络安全等关键模块，帮助开发者透彻理解系统架构与原理
  • 深入理解Android卷Ipdf资源介绍：全面解析Android系统架构与核心原理
    深入理解Android卷Ipdf资源介绍：全面解析Android系统架构与核心原理【下载地址】深入理解Android卷Ipdf资源介绍《深入理解Android卷I》是一本深度剖析Android系统源代码的专业书籍，全面解读Framework层、Native层和Application层的核心机制。本书以情景分析的方式，深入探讨Android系统的启动流程、进程管理、内存管理、文件系统及网络安全等关键
  • 统信UOS（Linux）安装nvm node管理工具 高高i linux运维服务器UOS统信nvm安装
    整篇看完再操作，有坑！！官网nvm官网按照官网方式安装，一直报错经过不断研究，正确步骤如下1、下载安装包可能因为网络安全不能访问github，我是链接热点下载的wgethttps://github.com/nvm-sh/nvm/archive/refs/tags/v0.39.1.tar.gz2、解压可能报mkdir无权限，所以需要使用sudo执行解压命令，可能报找不到文件【v0.39.1.tar.
  • 2025学年湖北省职业院校技能大赛 “信息安全管理与评估”赛项 样题卷（二） 落寞的魚丶 网络空间安全（职业技能大赛）#信息安全管理与评估赛项2025湖北职业技能大赛高职组信息安全评估赛项样题赛题网络加固
    2025学年湖北省职业院校技能大赛“信息安全管理与评估”赛项样题卷（二）第一部分：第二部分：网络安全事件响应、数字取证调查、应用程序安全任务书任务1：应急响应（可以培训有答案）任务2：通信数据分析取证（40分）任务3：基于Windows计算机单机取证（120分）第三部分应用程序安全任务4：HP代码审计（40分）第三部分：网络安全渗透、理论技能与职业素养任务一：人力资源管理系统（60分）可以培训任务
  • 2025学年湖北省职业院校技能大赛 “信息安全管理与评估”赛项 样题卷（四） 落寞的魚丶 网络空间安全（职业技能大赛）#信息安全管理与评估赛项2025职业湖北职业技能大赛职业技能大赛省赛高职组信息安全评估与管理赛项
    2025学年湖北省职业院校技能大赛“信息安全管理与评估”赛项样题卷（四）第二部分：网络安全事件响应、数字取证调查、应用程序安全任务书任务1：应急响应（可以培训有答案）任务2：通信数据分析取证（40分）任务3：基于Windows计算机单机取证（120分）任务4：PHP代码审计（40分）第三部分：网络安全渗透、理论技能与职业素养任务一：商城购物系统（60分）可以培训任务二：办公系统（60分）任务三：F
  • 网络安全相关专业就业，零基础入门到精通，看这一篇分析就够了
    对于就业环境来说，都说不好，但我分析下来，其实网络安全专业还是有很多选择或出路的。有不少部门，可能很多人没有之前都没有听说过，平时也没有关注这块的招聘或者考编信息。今天，统一整理一下，方便大家获取。1、政府部门与事业单位在政府部门与事业单位中，网络安全专业毕业生有多个选择：公安局、网信办等部门：虽然工作压力较大，但待遇优厚且有编制保障。省直、市直单位信息中心：性价比高且有编制保障，是一个稳定且不错
  • 《网络攻防技术》《数据分析与挖掘》《网络体系结构与安全防护》这三个研究领域就业如何？ 扣棣编程 其他网络数据分析安全
    这几个研究领域都是当前信息技术领域的热点方向，就业前景总体来说都非常不错，但各有侧重和特点。我来帮你详细分析一下：1.网络攻防技术就业前景：非常火热且持续增长。核心方向：渗透测试、漏洞挖掘与分析、恶意软件分析、入侵检测/防御、应急响应、威胁情报、安全审计、红蓝对抗等。市场需求：极高。数字化转型深入、网络攻击日益频繁和复杂（勒索软件、APT攻击、供应链攻击等）、数据安全与隐私保护法规（如GDPR、中
  • 读芯片信息出错3_简单说说汽车MCU有关security信息安全功能 weixin_39617685 读芯片信息出错3
    汽车生态系统正在快速发展，新的连接技术将推动汽车进入物联网领域，其好处与威胁并存。随着每辆车的电子控制单元(ECU)的数量增加，以及汽车与互联网，用户以及彼此之间的连接，其复杂性和攻击面呈指数级增长。空中远程诊断和软件更新，紧急呼叫，互联网服务，车载支付，移动应用以及信息娱乐和交通信息等新功能都增加了车辆的攻击面。汽车电子网络安全标准化白皮书(2018)中，通过对近年来出现的各类汽车安全事件的搜集
  • 常见的会话劫持攻击是指什么？ wanhengidc 安全网络web安全
    会话劫持攻击是一种常见的网络安全攻击，恶意攻击者通过窃取用户的会话标识符号来接管用户的会话，当攻击者或者有效的会话标识符，那么就可以借取正常用户的数据信息，来访问目标用户的账号，并进行各种操作，来修改或者盗取重要的数据信息，以此来给用户造成巨大的经济损失。所以企业对于会话劫持攻击，可以选择定期更新和修补系统漏洞来保护用户的数据安全，及时更新操作系统、应用程序和安全组件，以此来修复已知的服务器安全漏
  • Web API 渗透测试指南 江左盟宗主 WEB渗透从入门到精通WebAPI渗透测试WebAPI
    概述API（ApplicationProgrammingInterface，应用程序编程接口）是一个允许不同软件应用程序之间进行通信和数据交换的接口。API定义了一组规则和协议，软件开发者可以使用这些规则和协议来访问操作系统、库、服务或其他应用程序的功能。API的基本概念接口（Interface）:API提供了一组公开的方法和端点，供外部系统调用。这些方法和端点通常通过URL、函数名或服务名称来表
  • 转行要趁早！网络安全行业人才缺口大，企业招聘需求正旺！
    网络安全行业具有人才缺口大、岗位选择多、薪资待遇好、学历要求不高等优势，对于想要转行的人员来说，是一个非常不错的选择。人才缺口大网络安全攻防技术手段日新月异，特别是现在人工智能技术飞速发展，网络安全形势复杂严峻，人才重要性凸显。教育部《网络安全人才实战能力白皮书》数据显示，到2027年，我国网络安全人员缺口将达327万。近期发布的《2024年网络安全产业人才发展报告》中提到，沿用ISC2的人才缺口
  • 【为什么网络安全缺口很大，而招聘却很少？】 网络安全工程师教学 安全黑客技术网络安全web安全网络安全游戏数据库
    为什么网络安全缺口很大，而招聘却很少？2020年我国网络空间安全人才数量缺口超过了140万，就业人数却只有10多万，缺口高达了93%。这里就有人会问了：1、网络安全行业为什么这么缺人？2、明明人才那么稀缺，为什么招聘时招安全的人员却没有那么多呢？首先来回答第一个问题，从政策背景、市场需求、行业现状来说。政策背景自从斯诺登棱镜门事件曝光之后，网络空间站成为现代战场第一战场，网络安全能力也被各国列为了
  • 渗透测试/漏洞赏金/src/黑客自学指南
    Web渗透测试方法论方法论概要在此方法论中我们的目标范围仅是一个域名或一个子域名，因此你应当针对你测试范围内的每一个不确定其web服务的域名，子域名或ip进行测试1.首先确定web服务器所使用的技术，其次如果你成功识别到技术，那么接下来要知道如何利用检索的信息。·该技术版本有任何已知的漏洞吗·使用的是常规的技术吗？有什么有用的技巧以此来检索更多的信息？·有没有针对某种技术的专用的扫描器可以用？比如
  • NCSC发现针对FortiGate防火墙的隐蔽反向SSH与DoH后渗透工具 FreeBuf- ssh运维
    英国国家网络安全中心（NCSC）近日发现一款名为SHOERACK的新型恶意软件工具。这款后渗透恶意软件通过隐蔽的反向SSH隧道、自定义协议滥用和DNS-over-HTTPS（DoH）技术来维持远程访问并规避检测，引发了企业安全团队的高度警惕。恶意软件来源与功能该恶意软件最初在FortiGate100D系列防火墙上被发现，被认为是开源NHAS反向SSH工具的修改版本，但增加了显著的后渗透功能增强。分
  • Flask(五) 表单处理 request.form、WTForms @昵称不存在 Flaskflaskpython后端
    文章目录1.基本表单处理，使用request.form（轻量）示例一创建HTML表单处理表单数据示例二HTML表单（login.html）Flask路由处理表单2.使用Flask-WTF扩展安装设置SecretKey（CSRF防护）定义表单类HTML模板（login.html）Flask视图函数✅常用字段类型（WTForms）✅常用验证器（validators）HTML表单字段中的URL验证器总结
  • 广东省第三届职业技能大赛网络安全项目模块B
    广东省第三届职业技能大赛网络安全项目模块B网络安全事件响应、数字取证调查和应用程序安全目录目录1模块B竞赛项目样题2介绍2所需的设备和材料2评分方案2项目和任务的描述2工作任务3第一部分网络安全事件响应3任务1：应急响应3本任务素材清单：WebServer服务器虚拟机(Linux或Windows操作系统)3第二部分数字取证调查3任务2：操作系统取证3本任务素材清单：内存镜像(*.vmem)、存储镜
  • MySQL从入门到精通(十)：用户管理与安全 半夜偷你家裤衩子 MySqlmysql安全数据库
    本文是《MySQL从入门到精通》系列的第十篇，将深入探讨MySQL的用户管理与安全机制，包括用户账户创建、权限管理、加密连接、安全最佳实践等内容，帮助你构建一个安全可靠的数据库环境。文章目录MySQL安全基础用户账户管理权限系统详解角色管理密码管理与策略加密连接网络安全审计与日志安全最佳实践MySQL安全基础安全模型概述MySQL的安全模型基于用户账户和权限系统，遵循以下基本原则：身份验证：确认用
  • Open VSX Registry关键漏洞使攻击者可完全控制Visual Studio Code扩展市场 FreeBuf- vscodeide编辑器
    网络安全研究人员近日披露了OpenVSXRegistry（"open-vsx[.]org"）中存在的一个关键漏洞。若被成功利用，攻击者可能完全控制整个VisualStudioCode扩展市场，造成严重的供应链风险。漏洞详情与潜在影响KoiSecurity研究员OrenYomtov表示："该漏洞使攻击者能够完全控制整个扩展市场，进而控制数百万开发者的设备。通过利用持续集成（CI）问题，恶意行为者可以
  • App Store暗藏虚假抖音，内含间谍软件窃取照片和加密货币 FreeBuf- TikTokAppStoreiOSAndroid
    卡巴斯基网络安全研究人员近日发现名为SparkKitty的新型间谍软件活动，该恶意程序已感染苹果AppStore和谷歌Play官方商店的多个应用。这款间谍软件旨在窃取用户移动设备中的所有图片，疑似专门搜寻加密货币相关信息。该攻击活动自2024年初开始活跃，主要针对东南亚和中国用户。伪装流行应用渗透设备SparkKitty间谍软件通过看似无害的应用程序渗透设备，通常伪装成TikTok等流行应用的修改
  • ComfyUI遭“Pickai“C++后门攻击，全球700余台AI图像生成服务器沦陷 FreeBuf- c++人工智能服务器
    大规模AI基础设施遭遇定向攻击网络安全研究机构XLab近日发现针对ComfyUI框架的活跃攻击活动。ComfyUI是当前广泛用于部署大型AI图像生成模型的开源框架。攻击者通过该框架漏洞植入名为Pickai的C++后门程序，已导致全球近700台服务器失陷。中国国家网络安全通报中心于2025年5月27日发布高风险预警，敦促相关单位立即采取防御措施。XLab在技术分析报告中指出："随着各行业私有化部署A
  • 深入理解CSRF攻击与防护机制 布兰妮甜 javascriptcsrf防护机制前端
    Hi，我是布兰妮甜！在当今高度互联的Web应用环境中，安全威胁无处不在。CSRF（跨站请求伪造）作为一种常见的Web安全漏洞，长期位居OWASPTop10安全威胁榜单。这种攻击方式利用了网站对用户浏览器的信任，可能导致用户在不知情的情况下执行非预期的操作，如资金转账、密码更改等。本文将深入剖析CSRF攻击原理，详细介绍多种有效的防护机制，并提供实用的JavaScript代码示例，帮助开发者构建更加
  • 2025年渗透测试面试题总结-2025年HW(护网面试) 16（题目+回答） 独行soc 2025年护网面试职场和发展web安全安全linux渗透测试护网
    安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。目录2025年HW(护网面试)161.渗透测试步骤2.信息收集方法3.常用扫描器优缺点4.Burp破解MD5/Base64加密密码5.常见HTTP方法及区别6.常见状态码含义7.请求头作用8.响应头作用9.Cookie的Secure和HttpOnly属性10.渗透常用编码11
  • linux系统服务器下jsp传参数乱码 3213213333332132 javajsplinuxwindowsxml
    在一次解决乱码问题中， 发现jsp在windows下用js原生的方法进行编码没有问题，但是到了linux下就有问题， escape,encodeURI,encodeURIComponent等都解决不了问题 但是我想了下既然原生的方法不行，我用el标签的方式对中文参数进行加密解密总该可以吧。于是用了java的java.net.URLDecoder,结果还是乱码，最后在绝望之际，用了下面的方法解决了
  • Spring 注解区别以及应用 BlueSkator spring
    1. @Autowired @Autowired是根据类型进行自动装配的。如果当Spring上下文中存在不止一个UserDao类型的bean，或者不存在UserDao类型的bean，会抛出 BeanCreationException异常，这时可以通过在该属性上再加一个@Qualifier注解来声明唯一的id解决问题。   2. @Qualifier 当spring中存在至少一个匹
  • printf和sprintf的应用 dcj3sjt126com PHPsprintfprintf
    <?php printf('b: %b <br>c: %c <br>d: %d <bf>f: %f', 80,80, 80, 80); echo '<br />'; printf('%0.2f <br>%+d <br>%0.2f <br>', 8, 8, 1235.456); printf('th
  • config.getInitParameter 171815164 parameter
    web.xml <servlet> <servlet-name>servlet1</servlet-name> <jsp-file>/index.jsp</jsp-file> <init-param> <param-name>str</param-name>
  • Ant标签详解--基础操作 g21121 ant
            Ant的一些核心概念：         build.xml：构建文件是以XML 文件来描述的，默认构建文件名为build.xml。        project：每个构建文
  • [简单]代码片段_数据合并 53873039oycg 代码
            合并规则:删除家长phone为空的记录,若一个家长对应多个孩子,保留一条家长记录,家长id修改为phone,对应关系也要修改。         代码如下:        
  • java 通信技术 云端月影 Java 远程通信技术
    在分布式服务框架中，一个最基础的问题就是远程服务是怎么通讯的，在Java领域中有很多可实现远程通讯的技术，例如：RMI、MINA、ESB、Burlap、Hessian、SOAP、EJB和JMS等，这些名词之间到底是些什么关系呢，它们背后到底是基于什么原理实现的呢，了解这些是实现分布式服务框架的基础知识，而如果在性能上有高的要求的话，那深入了解这些技术背后的机制就是必须的了，在这篇blog中我们将来
  • string与StringBuilder 性能差距到底有多大 aijuans
              之前也看过一些对string与StringBuilder的性能分析，总感觉这个应该对整体性能不会产生多大的影响，所以就一直没有关注这块！         由于学程序初期最先接触的string拼接，所以就一直没改变过自己的习惯！        
  • 今天碰到 java.util.ConcurrentModificationException 异常 antonyup_2006 java多线程工作IBM
    今天改bug，其中有个实现是要对map进行循环，然后有删除操作，代码如下： Iterator<ListItem> iter = ItemMap.keySet.iterator(); while(iter.hasNext()){ ListItem it = iter.next(); //...一些逻辑操作 ItemMap.remove(it); } 结果运行报Con
  • PL/SQL的类型和JDBC操作数据库 百合不是茶 PL/SQL表标量类型游标PL/SQL记录
    PL/SQL的标量类型:    字符,数字,时间,布尔,%type五中类型的 --标量：数据库中预定义类型的变量 --定义一个变长字符串 v_ename varchar2(10); --定义一个小数,范围 -9999.99~9999.99 v_sal number(6,2); --定义一个小数并给一个初始值为5.4 :=是pl/sql的赋值号
  • Mockito：一个强大的用于 Java 开发的模拟测试框架实例 bijian1013 mockito单元测试
    Mockito框架：         Mockito是一个基于MIT协议的开源java测试框架。         Mockito区别于其他模拟框架的地方主要是允许开发者在没有建立“预期”时验证被测系统的行为。对于mock对象的一个评价是测试系统的测
  • 精通Oracle10编程SQL(10)处理例外 bijian1013 oracle数据库plsql
    /* *处理例外 */ --例外简介 --处理例外-传递例外 declare v_ename emp.ename%TYPE; begin SELECT ename INTO v_ename FROM emp where empno=&no; dbms_output.put_line('雇员名：'||v_ename); exceptio
  • 【Java】Java执行远程机器上Linux命令 bit1129 linux命令
    Java使用ethz通过ssh2执行远程机器Linux上命令，   封装定义Linux机器的环境信息   package com.tom; import java.io.File; public class Env { private String hostaddr; //Linux机器的IP地址 private Integer po
  • java通信之Socket通信基础 白糖_ javasocket网络协议
    正处于网络环境下的两个程序，它们之间通过一个交互的连接来实现数据通信。每一个连接的通信端叫做一个Socket。一个完整的Socket通信程序应该包含以下几个步骤： ①创建Socket； ②打开连接到Socket的输入输出流； ④按照一定的协议对Socket进行读写操作； ④关闭Socket。   Socket通信分两部分：服务器端和客户端。服务器端必须优先启动，然后等待soc
  • angular.bind boyitech AngularJSangular.bindAngularJS APIbind
    angular.bind 描述：         上下文，函数以及参数动态绑定，返回值为绑定之后的函数. 其中args是可选的动态参数，self在fn中使用this调用。 使用方法：          angular.bind(se
  • java-13个坏人和13个好人站成一圈，数到7就从圈里面踢出一个来，要求把所有坏人都给踢出来，所有好人都留在圈里。请找出初始时坏人站的位置。 bylijinnan java
    import java.util.ArrayList; import java.util.List; public class KickOutBadGuys { /** * 题目：13个坏人和13个好人站成一圈，数到7就从圈里面踢出一个来，要求把所有坏人都给踢出来，所有好人都留在圈里。请找出初始时坏人站的位置。 * Maybe you can find out
  • Redis.conf配置文件及相关项说明（自查备用） Kai_Ge redis
       Redis.conf配置文件及相关项说明 # Redis configuration file example # Note on units: when memory size is needed, it is possible to specifiy # it in the usual form of 1k 5GB 4M and so forth: #
  • [强人工智能]实现大规模拓扑分析是实现强人工智能的前奏 comsci 人工智能
         真不好意思,各位朋友...博客再次更新...      节点数量太少,网络的分析和处理能力肯定不足,在面对机器人控制的需求方面,显得力不从心....      但是,节点数太多,对拓扑数据处理的要求又很高,设计目标也很高,实现起来难度颇大...
  • 记录一些常用的函数 dai_lm java
    public static String convertInputStreamToString(InputStream is) { StringBuilder result = new StringBuilder(); if (is != null) try { InputStreamReader inputReader = new InputStreamRead
  • Hadoop中小规模集群的并行计算缺陷 datamachine mapreducehadoop并行计算
    注：写这篇文章的初衷是因为Hadoop炒得有点太热，很多用户现有数据规模并不适用于Hadoop，但迫于扩容压力和去IOE（Hadoop的廉价扩展的确非常有吸引力）而尝试。尝试永远是件正确的事儿，但有时候不用太突进，可以调优或调需求，发挥现有系统的最大效用为上策。 -----------------------------------------------------------------
  • 小学4年级英语单词背诵第二课 dcj3sjt126com englishword
    egg  蛋 twenty 二十 any 任何 well 健康的，好   twelve 十二 farm 农场 every 每一个 back 向后，回   fast 快速的 whose 谁的 much 许多 flower 花   watch 手表 very 非常，很 sport 运动 Chinese 中国的  
  • 自己实践了github的webhooks, linux上面的权限需要注意 dcj3sjt126com githubwebhook
    环境, 阿里云服务器   1. 本地创建项目, push到github服务器上面   2. 生成www用户的密钥 sudo -u www ssh-keygen -t rsa -C "[email protected]"     3. 将密钥添加到github帐号的SSH_KEYS里面   3. 用www用户执行克隆, 源使
  • Java冒泡排序 蕃薯耀 冒泡排序Java冒泡排序Java排序
    冒泡排序 >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> 蕃薯耀 2015年6月23日 10:40:14 星期二 http://fanshuyao.iteye.com/
  • Excle读取数据转换为实体List【基于apache-poi】 hanqunfeng apache
    1.依赖apache-poi   2.支持xls和xlsx   3.支持按属性名称绑定数据值   4.支持从指定行、列开始读取   5.支持同时读取多个sheet   6.具体使用方式参见org.cpframework.utils.excelreader.CP_ExcelReaderUtilTest.java 比如： Str
  • 3个处于草稿阶段的Javascript API介绍 jackyrong JavaScript
    原文： http://www.sitepoint.com/3-new-javascript-apis-may-want-follow/?utm_source=html5weekly&utm_medium=email   本文中，介绍3个仍然处于草稿阶段，但应该值得关注的Javascript API. 1) Web Alarm API   &
  • 6个创建Web应用程序的高效PHP框架 lampcy Web框架PHP
    以下是创建Web应用程序的PHP框架，有coder bay网站整理推荐： 1. CakePHP CakePHP是一个PHP快速开发框架，它提供了一个用于开发、维护和部署应用程序的可扩展体系。CakePHP使用了众所周知的设计模式，如MVC和ORM，降低了开发成本，并减少了开发人员写代码的工作量。 2. CodeIgniter CodeIgniter是一个非常小且功能强大的PHP框架，适合需
  • 评"救市后中国股市新乱象泛起"谣言 nannan408
    首先来看百度百家一位易姓作者的新闻： 三个多星期来股市持续暴跌，跌得投资者及上市公司都处于极度的恐慌和焦虑中，都要寻找自保及规避风险的方式。面对股市之危机，政府突然进入市场救市，希望以此来重建市场信心，以此来扭转股市持续暴跌的预期。而政府进入市场后，由于市场运作方式发生了巨大变化，投资者及上市公司为了自保及为了应对这种变化，中国股市新的乱象也自然产生。 首先，中国股市这两天
  • 页面全屏遮罩的实现 方式 Rainbow702 htmlcss遮罩mask
    之前做了一个页面，在点击了某个按钮之后，要求页面出现一个全屏遮罩，一开始使用了position:absolute来实现的。当时因为画面大小是固定的，不可以resize的，所以，没有发现问题。 最近用了同样的做法做了一个遮罩，但是画面是可以进行resize的，所以就发现了一个问题，当画面被reisze到浏览器出现了滚动条的时候，就发现，用absolute 的做法是有问题的。后来改成fixed定位就
  • 关于angularjs的点滴 tntxia AngularJS
      angular是一个新兴的JS框架，和以往的框架不同的事，Angularjs更注重于js的建模，管理，同时也提供大量的组件帮助用户组建商业化程序，是一种值得研究的JS框架。   Angularjs使我们可以使用MVC的模式来写JS。Angularjs现在由谷歌来维护。   这里我们来简单的探讨一下它的应用。   首先使用Angularjs我
  • Nutz--->>反复新建ioc容器的后果 xiaoxiao1992428 DAOmvcIOCnutz
    问题： public class DaoZ {     public static Dao dao() { // 每当需要使用dao的时候就取一次     Ioc ioc = new NutIoc(new JsonLoader("dao.js"));     return ioc.get(
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他