oMingZi12345678
oMingZi12345678

必须谨记！Node.js安全开发技巧

http://www.csdn.net/article/2014-11-25/2822803-NODE?reload=1

发表于 3小时前|  834次阅读| 来源 CODESHIP|  9 条评论| 作者 Gergely Nemeth

Node.js JavaScript 互联网安全
摘要：毫无疑问，Node.js已经变的愈加成熟，尽管这样，开发者仍然缺乏大量的安全指南。本文将分享一些有关Node.js安全要点给大家，希望大家能够谨记于心。

【编者按】互联网安全事件层出不群，用户每时每刻都有可能会遭受攻击者袭击。作为软件开发人员，则是最大限度的保证应用程序安全。本文主要是对Node.js语言作出的安全开发建议。

以下为译文：

毫无疑问，Node.js已经变的愈加成熟，尽管这样，开发者仍然缺乏大量的安全指南。在这篇文章中，我将分享一些有关Node.js安全要点给大家，希望大家能够谨记于心。 

1.避免使用Eval 

Eval并不是唯一一个需要避免的函数，在后台，下面这几个表达式可以使用eval： 

  • setInterval(String, 2)
  • setTimeout(String, 2)
  • new Function(String)
为什么要禁止使用eval？因为它会打开代码引起注入攻击，并且降低运行速度。

2.请用严苛模式（Strict mode）

这种情况下，你可以使用一个受限制的JavaScript变量，它可以消除一些隐性错误并且会把这些错误抛出去。

3.Undeletable属性 

[js]  view plain copy
  1. 'use strict';    
  2. delete Object.prototype; // TypeError    
4.对象声明必须是独一无二的

[js]  view plain copy
  1. 'use strict';    
  2. var obj = {    
  3.     a: 1,   
  4.     a: 2   
  5. };   
  6. // syntax error  
5.Prohibits with

[js]  view plain copy
  1. var obj = { x: 17 };    
  2. with (obj) // !!! syntax error    
  3. {  
  4.   
  5. }  
获得这些隐性错误的完整列表，你可以访问  MDN。 

6.测试

不用说，测试，测试，多点测试~

必须谨记！Node.js安全开发技巧_第1张图片 

当然，不仅仅是单元测试，直戳 测试金字塔。 

7.对sudo node app.js说再见

我看到很多人在运行拥有超级用户权限的Node APP，为什么？因为他们想让应用程序能够监听80或443端口。

这种做法是错误的。小心一个错误/bug进程就能降低整个系统，因为它已经拥有合法的凭证去做任何事情。

取而代之，你应该设置一个HTTP服务器/代理来转换请求，可以是nginx、Apache等等。

8.避免命令注入

看看下面这段代码有什么问题？

[js]  view plain copy
  1. child_process.exec('ls', function (err, data) {    
  2.     console.log(data);  
  3. });  

child_process.exec调用去执行/bin/sh，所以，这是一个bash注射器，而不是一个程序启动器。

当用户输入的内容传递到这个方法中，就会产生问题——要么是一个\要么就是$()，攻击者很可能会注入一个新的命令。

开发人员可以使用child_process.execFile来解决此类问题。访问 LiftSecurity来查看如何处理命令注入。 

9.临时文件

开发人员在创建文件时要特别注意，例如处理上传文件。这些文件很容易吃掉你所有的磁盘空间。

解决方法是使用Streams。

10.确保Web应用程序安全

这里不仅仅是针对Node——而是关于如何确保你的Web应用程序安全。 

11.跨站脚本反射

当攻击者把代码注入到HTTP响应时，这种情况才会发生。应用程序在返回无效的输入到客户端时（大多数都是基于JavaScript编写的），应用程序很容易遭受这种类型攻击。攻击者可以盗取cookies、执行剪贴板和修改页面本身。

具体示例：

[js]  view plain copy
  1. <a href="http://example.com/index.php?user=<script">http://example.com/index.php?user=<script</a>>alert(123)</script>  
如果用户查询字符串在没有验证的情况下被发送回客户端，并且插入到DOM中，它便会执行。 

如何预防：

  • 禁止插入不可信的数据到DOM中；
  • 在插入前进行HTML escape。

点击链接可以查看更多关于 跨站脚本反射和 解决之道。 

12.停止Cookie盗窃

默认情况下，在同一个域里，JavaScript可以读取cookies，在跨站脚本攻击里，这是非常危险的。不仅如此，任何第三方JavaScript库都可以读取它们。 

示例： 

[js]  view plain copy
  1. var cookies = document.cookie.split('; ');  

如何预防：

开发者可以在cookies里面设置httponly标记，这样，JavaScript便无法接近cookie了。

13.内容安全策略（CSP）

CSP（Content Security Policy）是一个额外添加的安全层，它有助于检测和减轻某些类型的攻击，包括跨站脚本（XSS）和数据注入攻击。 

通过HTTP header中的Content-Security-Policy方法来启动CSP。

示例

[js]  view plain copy
  1. Content-Security-Policy: default-src 'self' *.mydomain.com  
这样便会允许内容来自可信域或子域。 

点击查看更多有关 CSP示例。

14.跨站请求伪造（CSRF） 

CSRF（Cross-Site Request Forgery）是一种挟制终端用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。

示例：

[js]  view plain copy
  1. <body onload="document.forms[0].submit()">    
  2.   <form method="POST" action="http://yoursite.com/user/delete">  
  3.     <input type="hidden" name="id" value="123555.">  
  4.   </form>  
  5. </body>    
执行上面这段代码的后果就是轻易删除用户配置文件。 

如何预防：

要想阻止CSRF，你应该实现同步令牌模式（Synchronizer Token Pattern），幸运的是，Node社区已经帮你完成了这件事。长话短说，一起来看看它的工作原理：

  • 当一个GET请求被服务检查为CSRF令牌——如果不存在，就创建一个；
  • 当用户输入显示时，确保要添加一个隐形的CSRF令牌值；
  • 当发送表单时，确保值是来自表单并且要与session相匹配。

行动

开发者应该有所行动，制作一个 Security Adventure车间来指导现实应用开发。 

15.保护Express应用程序：Helmet

Helmet是一系列帮助增强Node之Express/Connect等Javascript Web应用安全的中间件。安全功能包括： 

  • csp
  • crossdomain
  • xframe
  • xssfilter
  • 等等

有关Helmet更多内容，可以访问其托管地址： https://github.com/evilpacket/helmet 。

16.使用工具

  • npm shrinkwrap：该命令可以给一个包的所有依赖关系上锁，并且创建一个npm-shrinkwrap.json文件。更多详情可以访问 NPM。
  • retire.js：retire.js是一个命令行扫描器，帮助你找到你应用中依赖库存在的漏洞。

如果你想了解更多关于Node安全方面的内容，你可以关注 Node Security 项目。他们的目标是审核NPM中的每一个模块，发现问题并修复问题。（张红月/编译）

英文来自： CODESHIP

本文为CSDN编译整理，未经允许不得转载，如需转载请联系market#csdn.net(#换成@)


你可能感兴趣的:(必须谨记！Node.js安全开发技巧)

  • 所有网站都必须做域名备案吗？ 域名域名申请备案
    在互联网的蓬勃发展进程中，网站如雨后春笋般涌现。然而，并非所有网站在上线前都需经历相同流程，其中网站域名备案这一关键环节，在特定情况下才成为必然要求。一、国内网站必须要做网站域名备案？从法规层面来看，我国有着明确且严格的规定。依据相关互联网管理法规，在境内提供非经营性互联网信息服务，必须办理备案。这一规定为绝大多数个人网站以及众多企业宣传展示类网站划定了清晰的准入门槛。举例而言，个人搭建的兴趣博客
  • 2025年渗透测试面试题总结-阿里巴巴-阿里云安全（二面）（题目+回答） 独行soc 2025年渗透测试面试指南科技安全web安全面试职场和发展红蓝攻防阿里云
    网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。目录阿里巴巴-阿里云安全二面一、职业方向与技术偏好1.安全研究vs安全研发的定位二、云安全与身份认证2.云上PKI与身份认证的关注方向三、项目实践与成果3.字节跳动训练营项目四、攻防技术深度解析4.SQL注入攻防方案5.WAF防护原理五、团队协作与效能优化6.分工协作与个
  • Electron + VUE3 桌面应用，主进程和渲染进程通信 读心悦 深入浅出的Electronelectronvue.js前端
    之前写过篇主进程和渲染进程之间的通信，这里主要是记录一下VUE版本的应用，主进程和渲染进程之间的通信。思路是一样，唯一不同的是代码。在开发Electron应用的时候，从安全的角度来考虑，尽量不要在渲染进程中，直接调用ElectronAPI，因此我们需要预加载JS脚本，在这个脚本中，把我们用到的API暴露出去。代码如下：constcreateWindow=()=>{constwin=newBrows
  • Websoft9：为开发者打造的高效 Linux 服务器面板 linuxlinux运维运维
    Websoft9作为一款以开源应用部署与管理为核心的服务器面板，其平台设计与运行环境深度耦合，形成了“环境即服务”的独特模式。这种关系体现在环境标准化、自动化配置、安全融合及资源管理等多个维度。以下从四个核心层面详细阐述二者的协同机制：一、运行环境标准化：平台能力的基石Websoft9的运行环境并非孤立存在，而是平台功能实现的底层支撑。多语言与框架的预集成•平台内置PHP、Python、Java、
  • 16天 - 单例模式有哪几种实现？如何保证线程安全？什么是策略模式？一般用在什么场景？什么是模板方法模式？一般用在什么场景？ 和道一文字yyds 单例模式安全策略模式
    单例模式有哪几种实现？如何保证线程安全？单例模式是一种确保某个类在程序中只有一个实例，并提供全局访问点的设计模式。以下是几种常见的单例模式实现方式及其线程安全保证方法：饿汉式饿汉式单例在类加载时就创建好实例对象，因此在程序调用时直接返回该单例对象即可。由于类加载的过程是线程安全的，所以饿汉式单例不存在线程安全问题。publicclassEagerSingleton{privatestaticfin
  • 高安全可靠CAN FD芯片ASM1042的技术特性与应用前景 国科安芯 产品单片机嵌入式硬件架构fpga开发
    1.ASM1042简介ASM1042是国科安芯推出的一款高性能CANFD（CANwithFlexibleData-Rate）收发器芯片，专为高可靠性场景设计。该芯片基于ISO11898-2:2016和ISO11898-5:2007物理层标准开发，支持最高5Mbps的数据传输速率，适用于汽车、航天、军工及工业控制等领域。其核心特性包括：高耐压设计：总线保护电压最高达±70V（H型号），共模输入电压范
  • 亚马逊测评自养号IP重要性 全哥聊跨境 zcwz-008 服务器网络运维
    大家好我是测评全哥，今天我给大家讲一下做亚马逊测评项目需要用到的防关联、防封号环境的一些底层技术原理。这里讲的内容我相信很少有人能掌握，都是一些比较难的IP技术。如果你现在准备开始做测评是在了解阶段还是已经在做测评工作室了。这里给大家讲的内容可以马上看一下，你们的环境是不是100%的安全，是不是容易出现莫名被封号或者被砍单的现象，如果做不到，那尽早的放弃吧，即使你花了1万块钱买的设备，也不要觉得可
  • Node.js Web 模块详解 froginwe11 开发语言
    Node.jsWeb模块详解引言Node.js作为一款流行的JavaScript运行环境，以其高性能、事件驱动和非阻塞I/O模型而闻名。在Node.js中，模块是构建应用程序的基础，也是其强大的关键所在。本文将详细介绍Node.js的Web模块，包括其基本概念、常用模块及其应用。模块的概念在Node.js中，模块是一种组织代码的方式，它将代码分割成独立的、可复用的部分。模块不仅可以减少代码的冗余，
  • 【系统架构设计师】论文：论信息系统的安全风险评估 数据知道 系统架构安全系统架构设计师论文软考高级架构
    论文：论信息系统的安全风险评估文章目录摘要正文总结摘要2023年3月，我参加了某石化公司的实验室信息管理系统项目的开发工作，该系统作为该石化公司产品质量信息管理平台，将实验室的自动化分析仪器与计算机网络进行联结，实现自动采集样品分析数据，对样品检验过程、实验室资源进行严格管理，实现从原料进厂、生产、中间控制直至成品出厂的全过程质量数据管理，以及全公司范围内质量数据的快速传递与共享。我作为项目负责人
  • 【H2O2 | 软件开发】事件循环机制 过期的H2O2 【H2O2】全栈面试题前端javascript
    目录前言开篇语准备工作正文概念流程事件队列类型示例结束语前言开篇语本系列为短篇，每次讲述少量知识点，无需一次性灌输太多的新知识点。该主题文章主要是围绕前端、全栈开发相关面试常见问题撰写的，希望对诸位有所帮助。准备工作概念篇，不对开发环境作要求。正文概念事件循环（EventLoop）是处理异步事件的一种机制，特别是在单线程环境中（如JavaScript在浏览器或Node.js中的运行）。它允许程序在
  • 电子电气架构 ---常见车规MCU安全启动方案 车载诊断技术 EV（电动汽车）常规知识必备车载电子与软件框架车载电子电气架构架构单片机安全人工智能AI在整车产品领域的应用
    我是穿拖鞋的汉子，魔都中坚持长期主义的汽车电子工程师。老规矩，分享一段喜欢的文字，避免自己成为高知识低文化的工程师：简单，单纯，喜欢独处，独来独往，不易合同频过着接地气的生活，除了生存温饱问题之外，没有什么过多的欲望，表面看起来很高冷，内心热情，如果你身边有这样灵性的人，一定要好好珍惜他们眼中有神有光，干净，给人感觉很舒服，有超强的感知能力有形的无形的感知力很强，能感知人的内心变化喜欢独处，好静，
  • 极致出海友好，融云 IM 支持消息免打扰设置时区 im融云社交
    归纳来看，业务全球化难题，其实是无数细微本地化挑战的叠加。时区差异就是应用出海的关键本地化挑战之一，需要在产品设计中充分考虑时间显示、通知推送、内容时效、用户互动、数据分析和团队协作等方面。在应用的社交模块，时区差异更是全球化产品必须考虑的核心要素。比如，若产品支持消息免打扰设置时段，就要针对不同时区进行相应的计算和实现。大多通信服务商提供的解决方案以UTC（世界标准时间）为准，需要业务根据目标市
  • MySQL索引最左原则：从原理到实战的深度解析
    MySQL索引最左原则：从原理到实战的深度解析一、什么是索引最左原则？索引最左原则是MySQL复合索引使用的核心规则，简单来说："当使用复合索引（多列索引）时，查询条件必须从索引的最左列开始，且不能跳过中间的列，否则索引将无法完全生效"为什么会有这个原则？这与B+树索引的存储结构密切相关：复合索引按照定义时的列顺序构建数据先按第一列排序第一列相同的情况下按第二列排序依此类推形成层级结构二、3种典型
  • unittest vs pytest区别 賢843 接口自动化测试pytest
    unittestvspytest对比unittest像“手动挡汽车”：操作步骤多，规则严格，适合老司机。pytest像“自动挡汽车”：开起来轻松，功能强大，适合新手和高效开发。区别点unittest（你学过的）pytest（更强大的新工具）测试用例写法必须写一个类，继承unittest.TestCase不用类！直接写函数，函数名以test_开头就行断言语法必须用self.assertEqual(a
  • Spring Boot整合参数校验的技术学习 小码快撩 springboot学习java
    引言在软件开发中，数据校验是一个非常重要的环节，它确保了数据的完整性和安全性。SpringBoot作为一款流行的Java框架，提供了非常方便的参数校验功能。本文将详细介绍如何在SpringBoot中整合参数校验，并通过示例代码演示其使用方法。一、依赖管理在SpringBoot中整合参数校验的依赖管理相对简单，因为SpringBoot默认集成了HibernateValidator作为其参数校验的支持
  • PC版微信占满硬盘？这款清理神器一键搞定！ zyw05120113 个人开发智能手机djangoocrpdf
    嘿，朋友们！微信现在几乎是咱们生活中离不开的聊天工具了，不管是手机还是电脑，基本都得装上它。但是，用的时间长了，PC版微信就会占用越来越多的硬盘空间。要是不清理，不仅电脑会变慢，隐私也可能不安全。今天，我就给大家分享一款我超喜欢的微信清理小工具——CleanWeChatX。CleanWeChatX这款工具是吾爱大神开发的，特别专业。它不用安装，下载后直接双击就能用。别看它只有4.05MB，功能可一
  • SSL证书：网站安全的守护者 ssl证书
    在互联网时代，网站安全至关重要。SSL证书，如同网站的安全卫士，默默守护着用户的数据安全，为网站构建起一道坚固的防线。如何申请SSL证书？登录JoySSL官网注册账号填写注册码【230930】有专属技术指导申请SSL证书的流程非常简单：选择证书类型：根据网站需求选择合适的SSL证书类型。生成CSR文件：在服务器上生成证书签名请求（CSR）文件。提交申请：将CSR文件提交给证书颁发机构（CA），并完
  • 【后端】【django drf】django自动导出优雅的api文档的写法 患得患失949 后端系统功能面试考题专栏（前后端）django知识djangosqlitepython
    DjangoDRFAPI编写规范（包含OpenAPI生成规则）为了确保DjangoDRFAPI代码的可维护性、可扩展性，同时生成清晰、规范、结构层次分明的OpenAPI文档，必须遵循以下规则。一、使用drf-spectacular生成OpenAPI文档（一）安装drf-spectacularpipinstalldrf-spectacular（二）配置settings.pyINSTALLED_APP
  • 《信息系统安全》课后习题答案（陈萍） 1ce0range 系统安全安全
    第一章一、填空题1、机密性、完整性、可用性2、主动3、设备安全、数据安全、内容安全、行为安全4、通信保密、信息安全、信息安全保障5、保护、检测、响应、恢复二、选择题1、D2、C3、B4、A5、D6、A7、C8、B9、A10、B第二章一、填空题1、《保密系统的信息理论》，DES，RSA2、相同、存在确定的转换关系3、单向、机密性、不可否认性4、混淆、扩散5、完整性6、流密码7、密钥8、穷举法、分析法
  • 30岁了，零基础想转行网安从头开始现实吗？ 白帽子凯哥哥 tcp/ip安全web安全学习网络
    这篇文章没有什么套路。就是一套自学理论和方向，具体的需要配合网络黑白去学习。毕竟是有网络才会有黑白！有自学也有培训！1.打死也不要相信什么分分钟钟教你成为大黑阔的，各种包教包会的教程,就算打不死也不要去购买那些所谓的盗号软件之类的东西。2，我之前让你们在没有目的的时候学习linux,在学习LINUX的同时你第一个遇到的问题就是命令。作为一个黑客入门着来说你必须要懂什么是命令化系统,什么是图形化系统
  • 【网络安全 | 渗透工具-目录FUZZ】ffuf安装使用详细教程 秋说 网安渗透工具使用教程(全)web安全ffuf渗透工具漏洞挖掘
    原创文章，不得转载。文章目录ffuf安装使用Wordlist工作模式配置请求的方式匹配和过滤选项显示和保存输出结果ffufffuf(FuzzFasterUFool)是一个开源的命令行工具，用于进行网络应用程序的目录和文件枚举，特别是在渗透测试和安全研究中。它能够通过对目标应用程序发起大量的请求，迅速识别出隐藏的资源和目录。工具特点：高速性能:ffuf的设计目的是提供高速度的模糊测试，通过多线程和异
  • linux基础02（Bash+vim用法） 景天科技苑 linux基础与进阶shell脚本编写实战linuxbashvim
    Bash详解：在Linux系统中，Bash是一种Unixshell，用于与操作系统进行交互，执行命令和脚本，以及管理文件和目录。Bash是BourneAgainSHell的缩写，是一种强大的命令行界面工具，广泛用于Linux和其他类Unix操作系统。Bash提供了非常丰富的命令集和脚本编程功能，可以用于自动化任务、批处理操作、系统管理、软件开发等各种用途。我们在服务器上操作命令时，谨记：1、在服务
  • 基于物联网的幼儿看护辅助系统设计方案 神经网络15044 算法网络物联网
    以下是一个基于物联网的幼儿看护辅助系统设计方案，包含系统概述、系统架构、硬件设计、软件设计、通信协议、系统功能以及安全与隐私等方面。系统概述基于物联网的幼儿看护辅助系统旨在利用传感器、网络通信和数据处理技术，实时监测幼儿的状态和环境信息，为家长和看护人员提供远程监控和预警功能，提高幼儿看护的安全性和效率。系统架构该系统主要由感知层、网络层、平台层和应用层组成。感知层：包括各种传感器，如体温传感器、
  • 深度剖析Redis：双写一致性问题及解决方案全景解析 寒冰碧海 Redisredis数据库缓存java
    在高并发场景下，缓存与数据库的双写一致性是每个开发者必须直面的核心挑战。本文通过5大解决方案，带你彻底攻克这一技术难关！一、问题全景图：当缓存遇到数据库1.1典型问题场景//典型问题代码示例publicvoidupdateProduct(Productproduct){//操作1：更新数据库db.update(product);//操作2：删除缓存redis.del(product.getId()
  • # 本质剖析 为什么要使用HashSet 撒乎乎不撒 深入浅出聊点底层高效学习java数据结构
    #本质剖析为什么要使用HashSet单列集合-HashSet特点一：去重与遍历支持数据去重，可以使用迭代器或foreach遍历数据。两种遍历方式的比较迭代器遍历通过调用实现了Iterable接口的Iteratoriterator();方法,从而获取迭代器对象，逐一访问元素。优点：支持在遍历过程中安全地删除元素，避免并发修改异常。适用场景：对集合进行删除操作时推荐使用。示例代码：Iteratorit
  • Nginx安全配置文档 笑锝没心没肺 Nginxnginx安全服务器
    Nginx安全配置文档1.配置文档中有多处明确写出了nginx的配置文件路径，该路径是测试环境中的路径，线上系统的nginx配置文件与文档中所写的路径可能不一样，在进行相关配置时，应以线上配置文件的实际路径为准。线上系统nginx的安装目录在：/usr/local/nginx，默认配置文件在/usr/local/nginx/conf/nginx.conf,此外也引用了/usr/local/ngin
  • Swagger2 多环境安全配置 L烧鱼 学习笔记javaswagger
    一、生产环境关闭Swagger我们该怎么做？1、在配置文件新增开关#swagger开关swagger2.enable=true2、修改SwaggerConfifig动态设置开关@Configuration@EnableSwagger2publicclassSwaggerConfig{  @Value("${swagger2.enable}")  privatebooleanenable;  @Be
  • 2025移动端软件供应链安全开源治理方案最佳实践 数字供应链安全产品选型 安全人工智能开源开源软件网络
    2025年3月13日，由中国软件评测中心、CAPPVD漏洞库联合主办的“第六期移动互联网APP产品安全漏洞技术沙龙”在海口成功召开。悬镜安全基于移动端数字供应链安全开源治理方案荣获中国软件评测中心“2024移动互联网APP产品安全漏洞治理”优秀案例，并获颁证书。移动互联网APP产品安全漏洞治理优秀案例颁奖现场中国软件评测中心（工业和信息化部软件与集成电路促进中心）是中国电子信息产业发展研究院（赛迪
  • 零信任身份安全的基本原则 芯盾时代 安全网络安全信息与通信
    零信任身份安全的核心原则就是“持续验证，永不信任”。可以通过以下6个方面理解：对“谁”和“什么”进行认证和授权在零信任身份安全模型中，对用户和设备的身份进行认证和授权是至关重要的。认证是确认用户或设备是其所宣称的身份的过程，而授权是确保他们获得适当的访问权限。通过将认证和授权结合起来，可以建立起一套完整的访问控制机制。例如，通过多因素身份验证，可以提高身份认证的安全性，防止攻击者通过猜测或窃取密码
  • Uni-App iOS 打包全攻略：从证书申请到上架 App Store，详解每一步 奶凶的小熊崽 uni-app前端iosuni-appcocoa
    一、准备工作在打包iOS应用前，需要准备以下内容：一台macOS设备（因为iOS应用只能在macOS设备上编译）。安装Xcode（建议使用最新版本）。安装HBuilderX（DCloud官方开发工具）。Apple开发者账号（必须是付费的AppleDeveloper账号）。Uni-App项目（已开发完成，并可以正常运行）。二、申请iOS证书和描述文件iOS应用的安装和发布需要开发者证书（.p12）和
  • HQL之投影查询 归来朝歌 HQLHibernate查询语句投影查询
            在HQL查询中，常常面临这样一个场景，对于多表查询，是要将一个表的对象查出来还是要只需要每个表中的几个字段，最后放在一起显示？ 针对上面的场景，如果需要将一个对象查出来： HQL语句写“from 对象”即可 Session session = HibernateUtil.openSession();
  • Spring整合redis bylijinnan redis
    pom.xml <dependencies> <!-- Spring Data - Redis Library --> <dependency> <groupId>org.springframework.data</groupId> <artifactId>spring-data-redi
  • org.hibernate.NonUniqueResultException: query did not return a unique result: 2 0624chenhong Hibernate
    参考：http://blog.csdn.net/qingfeilee/article/details/7052736 org.hibernate.NonUniqueResultException: query did not return a unique result: 2         在项目中出现了org.hiber
  • android动画效果 不懂事的小屁孩 android动画
    前几天弄alertdialog和popupwindow的时候，用到了android的动画效果，今天专门研究了一下关于android的动画效果，列出来，方便以后使用。 Android 平台提供了两类动画。 一类是Tween动画，就是对场景里的对象不断的进行图像变化来产生动画效果（旋转、平移、放缩和渐变）。 第二类就是 Frame动画，即顺序的播放事先做好的图像，与gif图片原理类似。
  • js delete 删除机理以及它的内存泄露问题的解决方案 换个号韩国红果果 JavaScript
    delete删除属性时只是解除了属性与对象的绑定，故当属性值为一个对象时，删除时会造成内存泄露  （其实还未删除） 举例： var person={name:{firstname:'bob'}} var p=person.name delete person.name p.firstname -->'bob' // 依然可以访问p.firstname，存在内存泄露
  • Oracle将零干预分析加入网络即服务计划 蓝儿唯美 oracle
    由Oracle通信技术部门主导的演示项目并没有在本月较早前法国南斯举行的行业集团TM论坛大会中获得嘉奖。但是，Oracle通信官员解雇致力于打造一个支持零干预分配和编制功能的网络即服务（NaaS）平台，帮助企业以更灵活和更适合云的方式实现通信服务提供商（CSP）的连接产品。这个Oracle主导的项目属于TM Forum Live!活动上展示的Catalyst计划的19个项目之一。Catalyst计
  • spring学习——springmvc（二） a-john springMVC
    Spring MVC提供了非常方便的文件上传功能。 1，配置Spring支持文件上传： DispatcherServlet本身并不知道如何处理multipart的表单数据，需要一个multipart解析器把POST请求的multipart数据中抽取出来，这样DispatcherServlet就能将其传递给我们的控制器了。为了在Spring中注册multipart解析器，需要声明一个实现了Mul
  • POJ-2828-Buy Tickets aijuans ACM_POJ
    POJ-2828-Buy Tickets http://poj.org/problem?id=2828 线段树，逆序插入 #include<iostream>#include<cstdio>#include<cstring>#include<cstdlib>using namespace std;#define N 200010struct
  • Java Ant build.xml详解 asia007 build.xml
    1,什么是antant是构建工具2,什么是构建概念到处可查到，形象来说，你要把代码从某个地方拿来，编译，再拷贝到某个地方去等等操作，当然不仅与此，但是主要用来干这个3,ant的好处跨平台   --因为ant是使用java实现的，所以它跨平台使用简单--与ant的兄弟make比起来语法清晰--同样是和make相比功能强大--ant能做的事情很多，可能你用了很久，你仍然不知道它能有
  • android按钮监听器的四种技术 百合不是茶 androidxml配置监听器实现接口
    android开发中经常会用到各种各样的监听器,android监听器的写法与java又有不同的地方;    1,activity中使用内部类实现接口 ,创建内部类实例  使用add方法  与java类似   创建监听器的实例 myLis lis = new myLis();   使用add方法给按钮添加监听器  
  • 软件架构师不等同于资深程序员 bijian1013 程序员架构师架构设计
            本文的作者Armel Nene是ETAPIX Global公司的首席架构师，他居住在伦敦，他参与过的开源项目包括 Apache Lucene,，Apache Nutch， Liferay 和 Pentaho等。         如今很多的公司
  • TeamForge Wiki Syntax & CollabNet User Information Center sunjing TeamForgeHow doAttachementAnchorWiki Syntax
    the CollabNet user information center http://help.collab.net/   How do I create a new Wiki page? A CollabNet TeamForge project can have any number of Wiki pages. All Wiki pages are linked, and
  • 【Redis四】Redis数据类型 bit1129 redis
    概述 Redis是一个高性能的数据结构服务器，称之为数据结构服务器的原因是，它提供了丰富的数据类型以满足不同的应用场景，本文对Redis的数据类型以及对这些类型可能的操作进行总结。 Redis常用的数据类型包括string、set、list、hash以及sorted set.Redis本身是K/V系统，这里的数据类型指的是value的类型，而不是key的类型，key的类型只有一种即string
  • SSH2整合-附源码 白糖_ eclipsespringtomcatHibernateGoogle
    今天用eclipse终于整合出了struts2+hibernate+spring框架。 我创建的是tomcat项目，需要有tomcat插件。导入项目以后，鼠标右键选择属性，然后再找到“tomcat”项，勾选一下“Is a tomcat project”即可。具体方法见源码里的jsp图片，sql也在源码里。     补充1：项目中部分jar包不是最新版的，可能导
  • [转]开源项目代码的学习方法 braveCS 学习方法
    转自： http://blog.sina.com.cn/s/blog_693458530100lk5m.html http://www.cnblogs.com/west-link/archive/2011/06/07/2074466.html   1）阅读features。以此来搞清楚该项目有哪些特性2）思考。想想如果自己来做有这些features的项目该如何构架3）下载并安装d
  • 编程之美-子数组的最大和（二维） bylijinnan 编程之美
    package beautyOfCoding; import java.util.Arrays; import java.util.Random; public class MaxSubArraySum2 { /** * 编程之美 子数组之和的最大值（二维） */ private static final int ROW = 5; private stat
  • 读书笔记-3 chengxuyuancsdn jquery笔记resultMap配置ibatis一对多配置
    1、resultMap配置 2、ibatis一对多配置 3、jquery笔记 1、resultMap配置 当<select resultMap="topic_data"> <resultMap id="topic_data">必须一一对应。 (1)<resultMap class="tblTopic&q
  • [物理与天文]物理学新进展 comsci
          如果我们必须获得某种地球上没有的矿石,才能够进行某些能量输出装置的设计和建造,而要获得这种矿石,又必须首先进行深空探测,而要进行深空探测,又必须获得这种能量输出装置,这个矛盾的循环,会导致地球联盟在与宇宙文明建立关系的时候,陷入困境       怎么办呢?  
  • Oracle 11g新特性:Automatic Diagnostic Repository daizj oracleADR
    Oracle Database 11g的FDI（Fault Diagnosability Infrastructure）是自动化诊断方面的又一增强。 FDI的一个关键组件是自动诊断库（Automatic Diagnostic Repository-ADR）。 在oracle 11g中，alert文件的信息是以xml的文件格式存在的，另外提供了普通文本格式的alert文件。 这两份log文
  • 简单排序:选择排序 dieslrae 选择排序
    public void selectSort(int[] array){ int select; for(int i=0;i<array.length;i++){ select = i; for(int k=i+1;k<array.leng
  • C语言学习六指针的经典程序，互换两个数字 dcj3sjt126com c
    示例程序，swap_1和swap_2都是错误的，推理从1开始推到2，2没完成，推到3就完成了 # include <stdio.h> void swap_1(int, int); void swap_2(int *, int *); void swap_3(int *, int *); int main(void) { int a = 3; int b =
  • php 5.4中php-fpm 的重启、终止操作命令 dcj3sjt126com PHP
    php 5.4中php-fpm 的重启、终止操作命令: 查看php运行目录命令：which php/usr/bin/php 查看php-fpm进程数：ps aux | grep -c php-fpm 查看运行内存/usr/bin/php  -i|grep mem 重启php-fpm/etc/init.d/php-fpm restart 在phpinfo()输出内容可以看到php
  • 线程同步工具类 shuizhaosi888 同步工具类
    同步工具类包括信号量（Semaphore）、栅栏（barrier）、闭锁（CountDownLatch）   闭锁（CountDownLatch） public class RunMain { public long timeTasks(int nThreads, final Runnable task) throws InterruptedException { fin
  • bleeding edge是什么意思 haojinghua DI
    不止一次，看到很多讲技术的文章里面出现过这个词语。今天终于弄懂了——通过朋友给的浏览软件，上了wiki。  我再一次感到，没有辞典能像WiKi一样，给出这样体贴人心、一清二楚的解释了。为了表达我对WiKi的喜爱，只好在此一一中英对照，给大家上次课。   In computer science, bleeding edge is a term that
  • c中实现utf8和gbk的互转 jimmee ciconvutf8&gbk编码
    #include <iconv.h> #include <stdlib.h> #include <stdio.h> #include <unistd.h> #include <fcntl.h> #include <string.h> #include <sys/stat.h> int code_c
  • 大型分布式网站架构设计与实践 lilin530 应用服务器搜索引擎
    1.大型网站软件系统的特点？ a.高并发，大流量。 b.高可用。 c.海量数据。 d.用户分布广泛，网络情况复杂。 e.安全环境恶劣。 f.需求快速变更，发布频繁。 g.渐进式发展。 2.大型网站架构演化发展历程？ a.初始阶段的网站架构。 应用程序，数据库，文件等所有的资源都在一台服务器上。 b.应用服务器和数据服务器分离。 c.使用缓存改善网站性能。 d.使用应用
  • 在代码中获取Android theme中的attr属性值 OliveExcel androidtheme
    Android的Theme是由各种attr组合而成, 每个attr对应了这个属性的一个引用, 这个引用又可以是各种东西.   在某些情况下, 我们需要获取非自定义的主题下某个属性的内容 (比如拿到系统默认的配色colorAccent), 操作方式举例一则: int defaultColor = 0xFF000000; int[] attrsArray = { andorid.r.
  • 基于Zookeeper的分布式共享锁 roadrunners zookeeper分布式共享锁
    首先，说说我们的场景，订单服务是做成集群的，当两个以上结点同时收到一个相同订单的创建指令，这时并发就产生了，系统就会重复创建订单。等等......场景。这时，分布式共享锁就闪亮登场了。   共享锁在同一个进程中是很容易实现的，但在跨进程或者在不同Server之间就不好实现了。Zookeeper就很容易实现。具体的实现原理官网和其它网站也有翻译，这里就不在赘述了。   官
  • 两个容易被忽略的MySQL知识 tomcat_oracle mysql
    1、varchar(5)可以存储多少个汉字，多少个字母数字？ 　　相信有好多人应该跟我一样，对这个已经很熟悉了，根据经验我们能很快的做出决定，比如说用varchar(200)去存储url等等，但是，即使你用了很多次也很熟悉了，也有可能对上面的问题做出错误的回答。 　　这个问题我查了好多资料，有的人说是可以存储5个字符，2.5个汉字（每个汉字占用两个字节的话），有的人说这个要区分版本，5.0
  • zoj 3827 Information Entropy(水题) 阿尔萨斯 format
    题目链接：zoj 3827 Information Entropy 题目大意：三种底，计算和。 解题思路：调用库函数就可以直接算了，不过要注意Pi = 0的时候，不过它题目里居然也讲了。。。limp→0+plogb(p)=0，因为p是logp的高阶。 #include <cstdio> #include <cstring> #include <cmath&
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他