前言

最近看了《白帽子讲WEB安全》，书的内容可能已经过时了，但是用来提高安全意识还是不错的，现在将它记下来做个总结。

WEB安全整体给我的感觉是虽然重要，但攻击手段有限，安全的大头还是在服务器安全这块。

XSS攻击

先来第一个，XSS攻击，XSS攻击主要分为两类： 1、存储型XSS 2、反射型XSS ，先来看反射型XSS攻击。

反射型XSS攻击

所谓反射型XSS攻击其实就是利用JAVASCRIPT解析漏洞，将原本该解析成HTML的内容解析成了JS代码,那么如何实现攻击的呢？ 假设某个20年前原始的网站有如下代码：

1
2
3
4

请输入搜索关键字：<input type="text" name="search" >

您的搜索关键字是：${keyword}

此时我们输入：<script>alert('xss')</script> ,点击搜索后，发现页面上打印alert(xss)了，但是这样只是控制了自己的浏览器JS，没有意义（用浏览器控制台一样可以做到），因此要将此漏洞散布出去。

假设它的搜索请求url是：http://reiner.host/search?keyword=WEB安全总结 ，将其改为 http://reiner.host/search?keyword= ,并将链接分享出去，诱导别人去点击。

此时这个倒霉鬼如果刚好登陆了该网站，那么你就可以通过JS拿到他的sessionId,然后弄个不可见的iframe将sessionId传到自己的服务器，从而为所欲为了。

PS:担心加上JS代码后链接过长可以弄个短链接。

所以防止反射型XSS的关键点在于不能直接将用户输入的内容展现出来，绝大部分前端框架一般是解决了此问题的，即用户输入内容不会被浏览器解析为JS代码，但不排除一定就没有XSS漏洞了。

防反射型XSS攻击总结

1、对于用户输入的内容不要直接展示

2、使用稳定的开源框架，一般有自动处理

这就是为什么要注意不要乱点链接

说明

微信开发真乃坑中之坑，会话阻塞场景如下：

小程序，有两个用户同时访问同一个接口会阻塞，第二个请求的人必须请等一个请求的人处理完毕才会响应第二个请求。

但如果我在 PC 上用两个不同的浏览器同时请求这个接口，是并行的，从结果上来看可能是 session 阻塞，即同一个会话同时只能处理一个请求。

我的测试代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

@RestController()
@RequestMapping("test")
public class TestController {
	
	@GetMapping("block")
	public String test2() {
		try {
			System.out.println("blocking...   "+Thread.currentThread().getName());
			Thread.sleep(8000l);
		} catch (InterruptedException e) {
			e.printStackTrace();
		}
		return "OK";
	}
}

两个不同的小程序用户同时请求，第二个请求的人必须请等一个请求的人返回OK才会打印第二个请求的日志，理论上来说，不同用户的请求应当是并行的，但服务器似乎将它们视为同一个会话(session)了。

一开始想到了异步处理，即controller返回callable让处理不占用会话，但是发现这样做事务没法控制！

解决办法

最终使用了比较粗暴的解决办法，即不使用微信浏览器生成的session id，而是每次请求都由前端生成一个随机数作为session id，这样用户的请求就不会被视为同一个会话了

说明

本文记录了在使用netty作为TCP服务端的情况下，如何解决TCP粘包、半包问题，以及如何使用16进制与客户端进行通信。

依赖

首先添加maven依赖：

1
2
3
4

<dependency>
    <groupId>io.netty</groupId>
    <artifactId>netty-all</artifactId>
</dependency>

代码

创建字节转换类

首先创建一个将字节转换为16进制的处理类，并判断包头包尾是否正确。

前言

最近上AMAZON买个台Oculus Quest2玩玩，前前后后折腾了整整一个星期才终于搞定激活问题！因此这在里写下记录希望后来的网友们少走弯路。

找了下网上的教程发现需要借助智能路由器，而我平时不怎么需要这个东西，就为了激活而买个路由器也不划算，因此我选择了笔记本共享热点的方式。

说道Oculus quest2 我想先简单的评测下，先说说它的优点：

• 支持透视，找手柄时不用摘下头盔了

• 支持手势操作，简单的操作无需手柄了

• 最大的优势—–>没有乱七八糟的线！比如PSVR就要插一堆线，每次看着这么多线就没有开启的动力了

• 一体机，即可以直接使用又可以WIFI串连电脑玩STEAM VR游戏！

• AMAZON退税后约只需1900-2000左右（不要上TB买JS的）

再说说它的不足之处：

• 清晰度和PSVR相差不大，至少我的眼睛感觉没有明显差距

• 头戴的那个带子刮耳朵

• 一会儿要充电了

• 国内用户无法直接使用

总体来说是目前VR里体验最好的了，不用插线实在是方便

重要的前言

先说说为什么重复造轮子，当时的情况是只需要一个简单的延时任务，做到不丢失即可，引入分布式定时任务框架又觉得太重，因此手动造了个基于redis的简单可靠定时任务。

适用场景，此种做法在单机部署情况下是肯定没问题的，在分布式部署情况下可能会出现问题，比如同一个服务同时重启了，又刚好同时读取redis中的定时任务，还刚好就在那几十毫秒的情况下没有检测到redis锁，此时会导致任务重复读取。

因此，在定时任务的代码中需要容忍可能会出现重复执行的情况，一般做法是用订单状态判断，所以如果不是非常严格的场景，这套做法是够用了 (复杂的定时任务建议用QUARTZ)。

上代码

废话结束，接下来上代码，首先创建定时任务的实体类，保存定时任务执行时间、订单ID、订单类型等。

定时任务实体类

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100

public class DelayedInfo implements Delayed {
    private String orderId;
    /**
     * 任务类型（订单类型）
     */
    private Integer delayType;
    /**
     * 当前时间
     */
    private long currentTime;
    /**
     * 任务执行时间=当前时间 + 延时任务执行时间
     */
    private long startTime;
    /**
     * 延时时间,单位为秒
     */
    private long timeOut;
    public DelayedInfo(){}

    public DelayedInfo(String orderId, long currentTime, long timeOut) {
        this.orderId = orderId;
        this.currentTime = currentTime;
        this.startTime = currentTime + timeOut * 1000l;
        this.timeOut=timeOut;
        this.delayType=Contract.ORDER_TYPE_CHARGE;
    }
    
    public DelayedInfo(String orderId, long currentTime, long timeOut,int orderType) {
        this.orderId = orderId;
        this.currentTime = currentTime;
        this.startTime = currentTime + timeOut * 1000l;
        this.timeOut=timeOut;
        this.delayType=orderType;
    }

    @Override
    public long getDelay(TimeUnit unit) {
        return unit.convert(startTime - System.currentTimeMillis(), unit);
    }

    @Override
    public int compareTo(Delayed other) {
        if (other == this){
            return 0;
        }
        if(other instanceof DelayedInfo){
            DelayedInfo otherRequest = (DelayedInfo)other;
            long otherStartTime = otherRequest.getStartTime();
            return (int)(this.startTime - otherStartTime);
        }
        return 0;
    }

    public String getOrderId() {
        return orderId;
    }

    public void setOrderId(String orderId) {
        this.orderId = orderId;
    }

    public long getStartTime() {
        return startTime;
    }

    public void setStartTime(long startTime) {
        this.startTime = startTime;
    }

    public long getCurrentTime() {
        return currentTime;
    }

    public void setCurrentTime(long currentTime) {
        this.currentTime = currentTime;
    }

    @Override
    public String toString() {
        return JacksonUtil.toJSon(this);
    }

	public long getTimeOut() {
		return timeOut;
	}

	public void setTimeOut(long timeOut) {
		this.timeOut = timeOut;
	}

	public Integer getDelayType() {
		return delayType;
	}

	public void setDelayType(Integer delayType) {
		this.delayType = delayType;
	}
    
}

其中delayType、OrderType就是订单类型的枚举标识，可自己定义标识。

前言

由于太长，分成两篇记录，第一篇地址： 自自技术笔记（一）

JAVA数据结构相关笔记

hashmap
数组加链表存储，通过hash计算key值直接计算出链表在数组中的下标位置，再通过遍历链表判断hash查找value
二叉树其实就是链表的加强版

Java所有集合类型

• 1.ArrayList
• 2.LinkedList
• 3.Set 只允许一个null，且是无序的
• 4.TreeSet 有序的，访问遍历比较快，底层基于TreeMap，TreeSet根据其 compare() 和 compareTo() 的定义进行排序的有序容器。
• 5.TreeMap 红黑树数据结构，有序的，非同步
• 6.HashSet 散列法，底层基于Hashmap，无序
• 7.LinkedHashSet 有序的，底层基于HashMap
• 8.HashMap
• 9.HashTable
• 10.Vector 动态数组，线程安全

注意:共10个集合类！

Hashmap扩容机制
loadFactor默认0.75，扩容时要满足一下两个条件
1、 存放新值的时候当前已有元素的个数必须大于等于阈值
2、 存放新值的时候当前存放数据发生hash碰撞（当前key计算的hash值换算出来的数组下标位置已经存在值）
扩容时一般成倍扩容，自jdk1.8后引入新机制
当hash碰撞的链表长度超过默认的8时自动由链表变为红黑树
注意点:如果map触发扩容会重新计算每个数据的位置，所以应尽量避免扩容

ArrayList和LinkedList

• 1.arraylist是动态数组，适合使用下标随机访问，不适合添加删除，因为添加删除要移动数据。
• 2.linkedlist是双向链表数据结构，适合添加和删除，不适合通过下标随机访问，因为他是通过移动指针一个一个节点的去遍历
• 3.linkedlist插入和删除劲量操作第一个或者最后一个效率最高。

HashMap和HashTable

• 1.hashmap基本上可以代替haahtable了
• 2.hashtable是线程安全
• 3.hashtable的迭代器不同，当迭代过程中hashtable的值被修改时会报错
• 4.HashMap把Hashtable的contains方法去掉了，改成containsValue和containsKey，因为contains方法容易让人引起误解。
• 5.Hashtable继承自Dictionary类，而HashMap继承自AbstractMap类。但二者都实现了Map接口。

说明

懒癌末期患者整理出来的几个半小时内就行搞定的菜，不想吃外卖时过来看看菜单，本菜单长期更新。

顺带说句：外卖是真的不健康，有次吃完肚子疼了一夜，最后去了医院。。。

正文

1.酱香鸡肉饭

材料：

• 带皮鸡肉/鸡翅斩断/鸡腿肉 

• 姜丝 

• 生粉 

• 酱油 

• 玉米油调 

• 香菇 

• 米

做法

带皮鸡肉+姜丝+生粉+酱油+玉米油调和。

把米洗干净，香菇泡开切丝，一起放进电饭煲开煮。

等到第一次闻到香菇味道的时候就是电饭煲里面的温度到达了沸点，然后就打开电饭煲，把调好的鸡肉丢进去~

前言

整理了一下记录在手机中的技术知识点，包含JAVA、MYSQL、数据结构等，自用笔记，放博客上备份以备不时之需，如若有人发现错误还请指出。

由于太长，分成两篇记录,笔记二地址： 自自技术笔记（二）

红黑树笔记

红黑树

红黑树其实就是平衡二叉树，该规则可保证每个节点都是平衡的，不会出现单个节点过长的情况

红黑树的作用，红黑树是一种平衡二叉树，不会退化为链表，多用于搜索查找，时间复杂度logn,也就是树的深度，倍数增长，红黑树是局部平衡二叉树

普通二叉树的局限性是子节点都比父节点小因此全排在右，会退化成链表

红黑树4个性质

• 1.节点是红色或者黑色
• 2.红色节点不会连在一起（子父节点不能同为红色）
• 3.根节点都是黑色
• 4.空的叶子节点都是黑色（既无子节点）

红黑树有三种变化规则
1.红变黑 2.黑变红 3.旋转

红黑树的操作规则

• 0.所有变换后的节点不可违背红黑树的基本性质，既当插入节点后规则不符合红黑树基本性质时依次尝试，变色、左旋、右旋
• 1.所有插入的节点默认为红色
• 2.变换颜色条件，当子节点和父节点以及父节点的兄弟节点都是红色时需要变换颜色，颜色变换规则为将父节点以及父节点的兄弟节点变换成红色，将祖节点变换为红色
• 3.左旋条件，当前节点的父节点是红色，叔叔节点是黑色，且当前节点是父节点的右子树时，旋转父节点和祖节点
• 4.右旋条件，当前父节点是红色，叔叔节点是黑色，且当前节点是左子树时右旋转，与左旋不同的是右旋转操作是旋转祖节点和祖父节点

右旋有3步

• 1.把父节点变为黑色
• 2.把祖节点变为红色
• 3.把以祖节点为旋转点旋转（不同于左旋以父节点为旋转点）

前言

首先我想说的是，百度，食屎啦你！ 垃圾玩意，人家bing、谷歌做网站收录分分钟的事，就你百度叼得一批，一个月都不见收录，还因为爬虫过于频繁被github禁了，导致github上的个人博客百度都搜不到。

好了，开始正文

前置准备

首先你得将代码上传至github，其次包的命名也是有规范的，如果你没有自己的域名，那么你的group id需要使用github的包路径，如：io.github.你的github用户名

如果拥有自己的域名，那么可以使用域名倒叙作为group id，如：域名为：mysite.blogs.com，那么group id开头即: com.blogs.mysite。

使用自己的域名需要配置dns，具体做法创建工单后工作人员会提示。

第一步，新建工单

要上传jar库到maven中央库首先得注册他们的工单系统账号：https://issues.sonatype.org/ 。

关于注册 ： 这里重点注意下密码的坑，不要使用xml中必须要转义的特殊字符作为密码，如’&’ ，否则上传时老是验证失败！

登陆成功后点新建，项目类型选 -> Community Support - Open Source Project Repository Hosting ，问题类型->new project，接着将必填项填上：

1
2
3

Group Id:io.github.yourgithubId    #也可以使用自己的域名
Project URL:https://github.com/user/projectName    #代码的url路径
SCM url:https://github.com/user/projectName.git    #git代码ssh地址

工单创建完毕后等待我们的Orlina小姐姐处理，由于时差关系所以一般是晚上才有动静，所以趁这个时间将代码上的准备工作解决。