蓝精灵001
蓝精灵001

吃透 CSP：现代 Web 安全的核心机制

作为 Web 开发工程师，我们时刻面临着各种安全威胁，其中跨站脚本攻击（XSS）是最常见也是危害最大的漏洞之一。攻击者通过注入恶意脚本，可以窃取用户敏感信息、劫持会话甚至篡改网页内容。传统的防御手段（如输入验证和输出编码）虽然重要，但往往难以做到滴水不漏。这时，浏览器提供的一项重要安全特性——Content Security Policy (CSP)——就显得尤为关键。那么今天，让我们先从理论层面好好来梳理一下 CSP，看看它到底有哪些约束来保障我们的 web 内容的安全性，下一期我们再从代码演示上来分别展示。

CSP 本质上是建立一个内容安全白名单，通过 HTTP 头或 标签告知浏览器哪些外部资源（脚本、样式、图片、字体、框架等）允许被加载和执行。如果资源的来源不在白名单内，浏览器就会拒绝加载，从而有效地阻止了大部分 XSS 攻击以及其他类型的内容注入攻击。

如下图，抖音官网的响应头中关于 CSP 相关的配置

为什么需要 CSP？

想象一下，你的网站有一个留言板功能。如果没有对用户输入进行严格的过滤，攻击者可能会提交包含恶意 ) 或内联样式 (, style="...")。 极不推荐使用，因为它会引入 XSS 风险。

  • 'unsafe-eval': 允许使用 eval(), setTimeout("..."), setInterval("...") 等从字符串执行代码的方法。 极不推荐使用，因为它也引入 XSS 风险。
  • 'nonce-': 允许带有特定 nonce 属性的内联脚本或样式。服务器在每次响应时生成一个唯一的 nonce 值，并将其添加到 CSP 头和相应的
  • 'sha256-': 允许具有特定哈希值的内联脚本或样式。你可以计算内联脚本或样式的哈希值（支持 SHA256, SHA384, SHA512），并将其添加到 CSP 头中。
    • 示例 CSP 头: script-src 'sha256-abcdefg...'
    • 示例 HTML: (你需要计算 alert('Hello, CSP!'); 这段代码的 SHA256 哈希值)
  • 'strict-dynamic': 一个强大的指令（通常与 nonce 或 hash 一起使用）。如果一个脚本通过 nonce 或 hash 被允许执行，那么这个脚本加载的其他脚本（例如通过 document.createElement('script') 创建并添加到 DOM 中）也会被信任并允许执行，而无需显式地在 CSP 中列出这些脚本的来源。这极大地简化了对复杂应用（如 SPA）的 CSP 管理，同时保持了安全性。
    • 示例 CSP 头: script-src 'nonce-abc123xyz' 'strict-dynamic'
    • 示例 HTML: (即使 example.com 不在 script-src 中，dynamic.js 也会被允许加载)

    • 使用 Express 实现一个 CSP Demo

    下面我们将创建一个简单的 Express 应用来演示如何设置 CSP 头部以及不同策略的效果。

    项目结构：

    csp-demo/
├── package.json
├── app.js
└── public/
    ├── index.html
    ├── safe-script.js

    1. 初始化项目并安装 Express 和 body-parser (用于接收报告):

    mkdir csp-demo
cd csp-demo
npm init -y
npm install express body-parser

    2. 创建 public/index.html:

    


    
    
    CSP 示例

    
    

    
    
    

    
    

    
    



    
    内容安全策略（CSP）演示页面
    
    
    打开浏览器开发者工具查看 CSP 违规报告。
    

    
    

    
    占位图片

    3. 创建 public/safe-script.js:

    console.log('这是一个来自同源的安全脚本。');

    4. 创建 app.js:

    const express = require('express');
const path = require('path');
const bodyParser = require('body-parser');

const app = express();
const port = 3000;

// 使用 body-parser 中间件来解析请求体，用于处理 CSP 报告
// 针对 JSON 类型和 application/csp-report 类型的请求体进行解析
app.use(bodyParser.json({
    type: ['json', 'application/csp-report'] // 特别用于处理 CSP 的违规报告
}));


// 自定义中间件：设置 Content-Security-Policy（内容安全策略）响应头
app.use((req, res, next) => {
    // 定义你的 CSP 策略
    // 当前策略规定：
    // - 默认资源加载来源为 'self'（即同源）
    // - 脚本允许从 'self' 和 cdnjs.cloudflare.com 加载
    // - 样式表允许从 'self' 加载，并允许内联样式（'unsafe-inline'），仅用于演示，生产环境应避免使用
    // - 图片资源允许从 'self' 和 https://via.placeholder.com 加载
    // - 所有违反策略的行为将报告到 /report 接口
    const cspPolicy = `
        default-src 'self';
        script-src 'self' https://cdnjs.cloudflare.com 'sha256-WnZRYRws9lJmeyKcnwV8cR+ycNmLoVQQPANm6GNlsUk=';
        style-src 'self' 'unsafe-inline';
        img-src 'self' https://placehold.co;
        report-uri /report;
    `.replace(/\s+/g, ' ').trim(); // 清理多余的空白字符

    // 使用 Content-Security-Policy 响应头来 **强制执行** 策略
    res.setHeader('Content-Security-Policy', cspPolicy);
    next();
});


// 从 'public' 目录提供静态文件（HTML、CSS、JS 等）
app.use(express.static(path.join(__dirname, 'public')));
// 接收 CSP 违规报告的接口
app.post('/report', (req, res) => {
    console.log('收到 CSP 违规报告:');
    console.log(JSON.stringify(req.body, null, 2)); // 将报告内容格式化后打印到控制台
    res.sendStatus(204); // 返回 204 No Content 表示成功接收但无内容返回
});

// 启动服务器
app.listen(port, () => {
    console.log(`CSP 示例应用正在运行在 http://localhost:${port}`);
    console.log('请在浏览器中打开 http://localhost:3000 并查看控制台输出。');
});

    5. 运行应用：

    node app.js

    打开浏览器访问 http://localhost:3000。打开开发者工具的 Console (控制台) 和 Network (网络) 面板。

    观察现象：

    • 根据 script-src 'self' https://cdnjs.cloudflare.com; 策略：

      • 内联脚本（"这是一个内联脚本."）会被阻止，除非策略中包含 'unsafe-inline' 或使用了 nonce/hash。

      • 同源脚本 (safe-script.js) 会被允许加载。

      • 来自 cdnjs 的 jQuery 脚本会被允许加载。

      • console.log('这是一个由 hash 判断的脚本。'); 会被允许加载

    • 根据 style-src 'self' 'unsafe-inline'; 策略：
      • 内联样式 (body { ... }) 会被允许，因为包含了 'unsafe-inline'。如果去掉 'unsafe-inline'，内联样式就会被阻止。
    • 根据 img-src 'self' https://via.placeholder.com; 策略：
      • 来自 https://placehold.co 的图片会被允许加载。如果去掉这个来源，图片就会被阻止。
    • 内联事件处理函数 (onclick="alert('...')) 通常会被 script-src 阻止，即使有 'unsafe-inline'。它们需要更宽松的策略或使用其他技术（如通过 JavaScript 添加事件监听器）。
    • 在 Console 中，你会看到关于 CSP 违规的警告或错误信息。

    • 如果你的策略包含了 report-uri /report; 并且有违规发生，服务器端的控制台会打印出接收到的违规报告的 JSON 数据。

    你可以修改 app.js 中的 cspPolicy 来实验不同的 CSP 策略，观察它们对页面行为的影响。例如，去掉 'unsafe-inline'，看看内联脚本和样式是否被阻止。

    构建工具 (Webpack/Vite) 的最佳实践

    现代 Web 开发通常使用构建工具（如 Webpack 或 Vite）来打包、优化和处理资源。构建过程可能会产生一些 CSP 需要特别关注的问题：

    • 内联代码： 构建工具（尤其是 Webpack 的一些插件）可能会生成一些内联的运行时脚本或小的 CSS 块。这些内联代码如果没有被 CSP 允许，会导致应用无法正常运行。
    • 哈希文件名： 构建工具常常为了缓存优化，给输出文件添加哈希（例如 bundle.abcdef.js）。CSP 策略通常是基于来源路径，这与哈希文件名不冲突。

    解决方案：

    1. 最小化内联代码： 尽量减少构建工具生成的内联脚本和样式。
    2. 使用 Nonce 或 Hash：
      • Nonce： 这是处理动态生成的内联脚本（如运行时代码、动态导入的启动脚本）的最佳方式。
        • 实现： 服务器在每个请求时生成一个唯一的 base64 编码的 Nonce 值。将这个 Nonce 值添加到 CSP 响应头的 script-src 和/或 style-src 指令中，例如 script-src 'nonce-YOUR_NONCE_VALUE' 'self' ...;。
        • 同时，将这个 Nonce 值传递给你的前端模板引擎，将它作为 nonce 属性添加到构建工具生成的内联

    你可能感兴趣的:(前端,安全,学习,javascript,科技,计算机,互联网)

    • x86-64汇编语言训练程序与实战 十除以十等于一
      本文还有配套的精品资源，点击获取简介：汇编语言是一种低级语言，与机器代码紧密相关，特别适用于编写系统级代码及性能要求高的应用。nasm编译器是针对x86和x86-64架构的汇编语言编译器，支持多种语法风格和指令集。项目Euler提供数学和计算机科学问题，鼓励编程技巧应用，前100个问题的答案可共享。x86-64架构扩展了寄存器数量并引入新指令，提升了数据处理效率。学习汇编语言能够深入理解计算机底层
    • 三菱PLC全套学习资料及应用手册 good2know
      本文还有配套的精品资源，点击获取简介：三菱PLC作为工业自动化领域的核心设备，其系列产品的学习和应用需要全面深入的知识。本次资料包为学习者提供从基础到进阶的全方位学习资源，包括各种型号PLC的操作手册、编程指南、软件操作教程以及实际案例分析，旨在帮助用户系统掌握PLC的编程语言、指令系统及在各类工业应用中的实施。1.三菱PLC基础知识入门1.1PLC的基本概念可编程逻辑控制器（PLC）是工业自动化
    • 移动端城市区县二级联动选择功能实现包 good2know
      本文还有配套的精品资源，点击获取简介：本项目是一套为移动端设计的jQuery实现方案，用于简化用户在选择城市和区县时的流程。它包括所有必需文件：HTML、JavaScript、CSS及图片资源。通过动态更新下拉菜单选项，实现城市到区县的联动效果，支持数据异步加载。开发者可以轻松集成此功能到移动网站或应用，并可基于需求进行扩展和优化。1.jQuery移动端解决方案概述jQuery技术简介jQuery
    • 日更006 终极训练营day3 懒cici
      人生创业课（2）今天的主题：学习方法一：遇到有用的书，反复读，然后结合自身实际，列践行清单，不要再写读书笔记思考这本书与我有什么关系，我在哪些地方能用到，之后我该怎么用方法二：读完书没映像怎么办?训练你的大脑，方法：每读完一遍书，立马合上书，做一场分享，几分钟都行对自己的学习要求太低，要逼自己方法三：学习深度不够怎么办？找到细分领域的榜样，把他们的文章、书籍、产品都体验一遍，成为他们的超级用户，向
    • day15｜前端框架学习和算法 universe_01 前端算法笔记
      T22括号生成先把所有情况都画出来，然后（在满足什么情况下）把不符合条件的删除。T78子集要画树状图，把思路清晰。可以用暴力法、回溯法和DFS做这个题DFS深度搜索：每个边都走完，再回溯应用：二叉树搜索，图搜索回溯算法=DFS+剪枝T200岛屿数量（非常经典BFS宽度把树状转化成队列形式，lambda匿名函数“一次性的小函数，没有名字”setup语法糖：让代码更简洁好写的语法ref创建：基本类型的
    • 《极简思维》第三部分 小洋苏兮
      整理你的人际关系如何改善人际关系？摘录：因为人际关系问题是人们生活中不快乐的主要原因。感想：感觉这个说的挺对，之前我总是埋头学习，不管舍友不管自己的合作伙伴的一些事情，但实际上，这学期关注了之后好多了摘录：“亲密关系与社交会让你健康而快乐。这是基础。太过于关注成就或不太关心人际关系的人都不怎么快乐。基本上来说，人类就是建立在人脉关系上的。”感想：但是如果有时想的太多就不太好，要以一个开放的心态跟别
    • 我不懂什么是爱，但我给你全部我拥有的 香尧
      因为怕黑，所以愿意陪伴在夜中行走的人，给他一点点的安全感。因为渴望温柔与爱，所以愿意为别的孩子付出爱与温柔。因为曾遭受侮辱和伤害，所以不以同样的方式施于其他人。如果你向别人出之以利刃，对方还了你爱与包容，真的不要感激他，真的不要赞美他。每一个被人伤害过的人心里都留下了一颗仇恨的种子，他也会想要有一天以眼还眼，以牙还牙。但他未让那颗种子生根发芽，他用一把心剑又一次刺向他自己，用他血荐仇恨，开出一朵温
    • 你要记住，最重要的是:随时做好准备，为了你可能成为更好的自己，放弃现在的自己。 霖霖z
      打卡人:周云日期:2018年11月09日【日精进打卡第180天】【知～学习】《六项精进》0遍共214遍《通篇》1遍共106遍《大学》2遍共347遍《坚强工作，温柔生活》ok《不抱怨的世界》104-108页《经典名句》你要记住，最重要的是:随时做好准备，为了你可能成为更好的自己，放弃现在的自己。【行～实践】一、修身：（对自己个人）1、坚持打卡二、齐家：（对家庭和家人）打扫卫生，接送孩子，洗衣做饭，陪
    • 贫穷家庭的孩子考上985以后会怎样？ Mellisa蜜思言
      我出生在一个贫穷的农村家庭，据我妈说，我出生的时候才4斤多，而她生完我以后月子里就瘦到70斤。家里一直很穷，父母都是在菜市场卖菜的，家里还有几亩地种庄稼的。我很小开始就要去帮忙，暑假的生活就是帮忙去卖菜和割稻谷，那时候自己对于割稻谷这种事情有着莫名的恐惧，生怕自己长大以后还是每年都要过着割稻谷这种日子。父母因为忙于生计无暇顾及我的学习，幸好我因为看到他们这样子的生活，内心里有深深的恐惧感，驱使着我
    • 深入解析JVM工作原理：从字节码到机器指令的全过程
      一、JVM概述Java虚拟机(JVM)是Java平台的核心组件，它实现了Java"一次编写，到处运行"的理念。JVM是一个抽象的计算机器，它有自己的指令集和运行时内存管理机制。JVM的主要职责：加载：读取.class文件并验证其正确性存储：管理内存分配和垃圾回收执行：解释或编译字节码为机器指令安全：提供沙箱环境限制恶意代码二、JVM架构详解JVM由三个主要子系统组成：1.类加载子系统类加载过程分为
    • ARM 和 AMD 架构的区别 m0_69576880 arm开发windows架构
      ARM架构和AMD架构是两种不同的计算机处理器架构，它们有以下几个主要区别：设计出发点、兼容性、性能特点、市场定价。设计出发点：①ARM构架：ARM架构最初是为嵌入式系统设计的，旨在提供低功耗和高效能的解决方案。它主要应用于移动设备、嵌入式系统和物联网设备②AMD架构：AMD架构是基于x86架构的扩展，旨在提供与Intel架构兼容的处理器。它主要用于台式机、服务器和工作站等计算机系统。兼容性：AR
    • 2019-06-05 第十七把巴鲁克
      今天去实验田里实习，见到了福寿螺真的可怕且牛皮，六级也快来了，说实话还是害怕。我昨天考了环工原理，真的太难了，太烦了，理工科真的难，烦。实验报告还是没写，要抓紧速度抓紧时间，还是应该学会努力学习，远离一些不上进的事物。
    • 叮嘱!北恒高级班周一丰创投杯量化私募大赛不正规！受骗不能提现出金被骗真相曝光！ 天权顾问
      量化北恒私募实盘大赛周一丰投票项目安全吗?量化北恒私募实盘大赛周一丰积分投票已经亏损被骗了怎么办？警惕!量化北恒私募实盘大赛周一丰十选五项目合法吗——杀猪盘骗局！被骗提不了款!提不了现!出不来金!不要上当!自古有句话讲得好“人善被欺、马善被骑”，现如今也是被骗子利用到了极致，人善就真该被欺骗吗？狡猾的骗子们就利用到了这点，利用同情心、爱心去进行诈骗，宣传公益捐款、爱心慈善打比赛来骗取资金！正常的投
    • 高省邀请码哪个级别最高?高省原始高级邀请码500888 凌风导师
      高省是杭州长孚科技有限公司开辟的一个项目（高省APP），已获数千万投资，主打外交电商+新零售，提供淘宝好省京东等主流电商途径的大额优惠券（直接在淘宝等途径购买是没有该优惠券的）。用户们可以利用这些软件享受折扣买东西优惠，一起来看看购物省钱app网上买东西省钱的软件有哪些吧！网购省钱软件靠谱吗包围淘宝等途径产品的左右，也便是你可以大概在高省买你的确想买的任何产品，并且享受额定优惠，优惠力度为-（大部
    • 企业级区块链平台Hyperchain核心原理剖析 boyedu 区块链区块链企业级区块链平台Hyperchain
      Hyperchain作为国产自主可控的企业级联盟区块链平台，其核心原理围绕高性能共识、隐私保护、智能合约引擎及可扩展架构展开，通过多模块协同实现企业级区块链网络的高效部署与安全运行。以下从核心架构、关键技术、性能优化、安全机制、应用场景五个维度展开剖析：一、核心架构：分层解耦与模块化设计Hyperchain采用分层架构，将区块链功能解耦为独立模块，支持灵活组合与扩展：P2P网络层由验证节点（VP）
    • 为什么焦虑、抑郁、自残的青少年越来越多？ 精神健康
      很多家长觉得没缺孩子吃的穿的，他们有安稳的生活，他们有什么可焦虑、抑郁的，但现在的孩子，学习压力越来越大，每天休息的时间越来越少，出现焦虑抑郁是很正常的。从发展的角度看，青少年时期，人的身体、情绪，智力、人格都急剧发展，正从未成熟走向成熟，情绪起伏不定，易冲动，再者，由于缺乏生活经验，以及来自于家长、学校、社会的各种要求和压力，从而不知所措，心中的焦虑、恐惧、彷徨得不到及时的排解，从而导致心理上的
    • 第八章 竟然是他 橥橥
      十天之后，京城已在眼前。沐子莹总算松了口，天子脚下，相对安全。马车在城门外停下，杨嬷嬷掀了帘子往外望去，哀叹了一声。沐子莹拍拍身上的灰尘安慰她说：“嬷嬷，别怕，马上就要到府了，咱们可得把那车夫的事跟主母讲一讲，让主她这个当家的给我们作主才是。”嬷嬷却连连摆手，“不可啊小姐，咱们能平安回府就是幸事，车夫的事……就说他摔死在半路，其它的，莫要再提了吧。”“若真是车夫生事那算是万幸了，只怕容不得我们的，
    • 最新阿里四面面试真题46道：面试技巧+核心问题+面试心得 风平浪静如码
      前言做技术的有一种资历，叫做通过了阿里的面试。这些阿里Java相关问题，都是之前通过不断优秀人才的铺垫总结的，先自己弄懂了再去阿里面试，不然就是去丢脸，被虐。希望对大家帮助，祝面试成功，有个更好的职业规划。一，阿里常见技术面1、微信红包怎么实现。2、海量数据分析。3、测试职位问的线程安全和非线程安全。4、HTTP2.0、thrift。5、面试电话沟通可能先让自我介绍。6、分布式事务一致性。7、ni
    • 读书打卡《别想太多啦》 chenchen_68ed
      第一，世间之事，不去尝试永远不知道其中的奥秘，在尝试中有失败是必然的。如果担心失败，那什么都学不会。第二，经历的失败越多，越会对失败者抱有宽容的态度，“原来如此，我也经历过类似的失败啦，那只是暂时的”。经历越多失败的长者，越能包容别人，这也就是所谓的“越年长越宽容”。成熟的人，就是在众多失败经历中不断学习，并接纳别人的失败。对于他人的小小过失不吹毛求疵，自己的心态会更加平和。在不断失败中学习，让自
    • 2025年SDK游戏盾终极解析：重新定义手游安全的“隐形护甲” 上海云盾商务经理杨杨 游戏安全
      副标题：从客户端加密到AI反外挂，拆解全链路防护如何重塑游戏攻防天平引言：当传统高防在手游战场“失效”2025年全球手游市场规模突破$2000亿，黑客单次攻击成本却降至$30——某SLG游戏因协议层CC攻击单日流失37%玩家，某开放世界游戏遭低频DDoS瘫痪6小时损失千万。传统高防IP的致命短板暴露无遗：无法识别伪造客户端流量、难防协议篡改、误杀率超15%。而集成于游戏终端的SDK游戏盾，正以“源
    • 2023-01-26 胡喜平
      我觉得《可见的学习》一书确实从底层逻辑说清楚了，教学的本质。可是太多术语和概念，一时间难以消化啊。而且知道和懂得有距离，运用就更不行了，需要高手和专家的指导。我需要多听听新课标的讲座了，来反复印证。读论文也有了一点点灵感，明天修改我的论文。
    • 平静得接受自己的笨拙 20190118 晨间日记 吴伯符
      图片发自App最近做了一个关于微习惯的分享，这里有八个字：微量开始，超额完成。这里的言下之意其实是要你在一开始的时候，平静地接受自己的笨拙。接受自己的笨拙，理解自己的笨拙，放慢速度尝试，观察哪里可以改进，再反复练习，观察自己哪里可以再进一步改进，再反复…这是学习一切技能的必须的过程。这里的两个关键点是：1.尽快的开始这个过程，这就能够用到微习惯的微量开始。2.尽快的度过这个过程，这就需要用到超额完
    • 二十四节气组诗 谷雨 离陌_6639
      图片来源网络，若侵犯了你的权益，请联系我删除6.谷雨文/离陌背上行囊背上如行囊的我从此任行程马不停蹄今天家乡的田野春雨快马加鞭播下希望的种子观音不语目送着我和夏天一道在观音山出关图片来源网络，若侵犯了你的权益，请联系我删除你好啊，我是离陌，已然在懵懂中走过了16年的岁月，为了珍惜当下的每一秒，所以立志做一名终身学习者。文学对于我来说是一种信仰，诗歌是我的生命。人生之道，四通八达，即入文学，自当持之
    • 你好，2020年 瑄瑄妍妍的妈咪
      早上好，今天是2020年的第一天，也就是元旦，新年新的一天开始了。新的开始，重新规划未来的一年。从今天开始，用了一个新的记账软件，之前的随手记软件，也没有删除，只是重新下载了一个别的软件，开始一个新的记账旅程，对于理财开支，有个新的规划。通过小红书视频软件，学习了不少育儿知识，和各种不同的美食，以后动手制作，给宝宝做健康美味的营养餐。学习方面，继续学英语吧！虽然是抽出时间学的，进度也比较慢，但是积
    • 常规笔记本和加固笔记本的区别 luchengtech 电脑三防笔记本加固计算机加固笔记本
      在现代科技产品中，笔记本电脑因其便携性和功能性被广泛应用。根据使用场景和需求的不同，笔记本可分为常规笔记本和加固笔记本，二者在多个方面存在显著区别。适用场景是区分二者的重要标志。常规笔记本主要面向普通消费者和办公人群，适用于家庭娱乐、日常办公、学生学习等相对稳定的室内环境。比如，人们在家用它追剧、处理文档，学生在教室用它完成作业。而加固笔记本则专为特殊行业设计，像军事、野外勘探、工业制造、交通运输
    • 善吃五色五味，女人更妖娆，想漂亮享受健康美味吃起来 余老师讲健康
      善吃五色五味，女人更妖娆我们所说的五色五味是指具有赤、青、黄、白、黑五种颜色以及酸、辛、甘、苦、咸五种味道的食物。其实五味和五色与人体的五脏对应，养生必养五脏，通过五味、五色的食物可以调养人的容颜。一、赤色、苦味入心——养颜，面色红润有句话这么说，“会吃的女人更漂亮，贪吃的女人变糟粕。”经过科学、合理搭配的五色五味饮食，就是最天然、最安全的美容药方。赤色——抗衰老，增强免疫力，改善血液循环。赤色即
    • 《云襄传》：云襄做的局是浑水摸鱼吗？ 书生号贺
      云襄入南都是要浑水摸鱼吗？他是云台的高材生吗？他为啥笃定师父一定会让他留在南都？他为啥觉得他能够做局成功？他是在经商吗？还是在经营人心与欲望？云襄是云台弟子，云台属千门的一支，另一支叫凌渊，云台教人经商之道，重智慧，凌渊以武力取胜，但倍受打压。云襄学习十五年，下高山奔越州，途经南洋，因恩人闻聪被害，囚于白驹镇，念于情分，被卷入这样一个局面里，结识了舒亚南与金十两，于是，复仇小组成立，目标是南都漕帮
    • 2019做重要的事，让遗憾减少 Sandy黄珊丹
      岁末年初，又到了回顾和展望的时间。回顾2018，你有哪些事情没有去做或者没有做到而感到遗憾的呢？2019年我们要怎么做，可以减少遗憾呢？回想自己在2017年以前，一直处在忙碌的家庭和事业中，忙碌让我感到安全，稍微停下脚步都感到是一种罪过，每一件事似乎都很重要。直到2017春节后，因为对未来彷徨和焦虑，让我严重失眠，家庭关系恶化，都让心疲惫无法进入工作状态，不得不寻找解决的的办法。在2017年5月份
    • 心力践行营十二期一阶学习打卡 LX_王彤彤
      姓名：王彤彤时间：2021年4月24日一：朗读师父的十大人生哲学二：师父的早安分享感悟很喜欢这句话：所有的行动都是基于目标的尝试，没有所谓的失败，只是不同尝试后得到的不同结果，让我们更好地调整下一次的行动。三：感恩日记1.我太幸福了，我很感恩姑姑，因为姑姑放假又投喂了我，还给我带了饺子回家，这让我感觉很幸福。谢谢，谢谢，谢谢。2.我太幸福了，我很感恩师父晚上的直播，因为听他的分享我知道怎么更好的去
    • 为了在未来的人工智能世界中取得成功，学生们必须学习人类写作的优点 睿邸管家
      澳大利亚各地的学生在新学年开始使用铅笔、钢笔和键盘学习写字。在工作场所，机器也在学习写作，如此有效，几年之内，它们可能会写得比人类更好。有时它们已经做到了，就像Grammarly这样的应用程序所展示的那样。当然，人类现在的日常写作可能很快就会由具有人工智能(AI)的机器来完成。手机和电子邮件软件常用的预测文本是无数人每天都在使用的一种人工智能写作形式。据AI行业研究机构称，到2022年，人工智能及
    • 怎么样才能成为专业的程序员？ cocos2d-x小菜 编程PHP
        如何要想成为一名专业的程序员？仅仅会写代码是不够的。从团队合作去解决问题到版本控制，你还得具备其他关键技能的工具包。当我们询问相关的专业开发人员，那些必备的关键技能都是什么的时候，下面是我们了解到的情况。   关于如何学习代码，各种声音很多，然后很多人就被误导为成为专业开发人员懂得一门编程语言就够了？！呵呵，就像其他工作一样，光会一个技能那是远远不够的。如果你想要成为
    • java web开发 高并发处理 BreakingBad javaWeb并发开发处理高
      java处理高并发高负载类网站中数据库的设计方法（java教程,java处理大量数据，java高负载数据） 一：高并发高负载类网站关注点之数据库 没错,首先是数据库,这是大多数应用所面临的首个SPOF。尤其是Web2.0的应用，数据库的响应是首先要解决的。 一般来说MySQL是最常用的，可能最初是一个mysql主机，当数据增加到100万以上，那么，MySQL的效能急剧下降。常用的优化措施是M-S（
    • mysql批量更新 ekian mysql
      mysql更新优化： 一版的更新的话都是采用update set的方式，但是如果需要批量更新的话，只能for循环的执行更新。或者采用executeBatch的方式，执行更新。无论哪种方式，性能都不见得多好。 三千多条的更新，需要3分多钟。 查询了批量更新的优化，有说replace into的方式，即： replace into tableName(id,status) values
    • 微软BI（3） 18289753290 微软BI SSIS
      1) Q：该列违反了完整性约束错误；已获得 OLE DB 记录。源:“Microsoft SQL Server Native Client 11.0” Hresult: 0x80004005 说明:“不能将值 NULL 插入列 'FZCHID'，表 'JRB_EnterpriseCredit.dbo.QYFZCH'；列不允许有 Null 值。INSERT 失败。”。 A：一般这类问题的存在是
    • Java中的List g21121 java
              List是一个有序的 collection（也称为序列）。此接口的用户可以对列表中每个元素的插入位置进行精确地控制。用户可以根据元素的整数索引（在列表中的位置）访问元素，并搜索列表中的元素。         与 set 不同，列表通常允许重复
    • 读书笔记 永夜-极光 读书笔记
         1.  K是一家加工厂,需要采购原材料,有A,B,C,D 4家供应商,其中A给出的价格最低,性价比最高,那么假如你是这家企业的采购经理,你会如何决策?          传统决策: A:100%订单  B,C,D:0%     &nbs
    • centos 安装 Codeblocks 随便小屋 codeblocks
      1.安装gcc,需要c和c++两部分,默认安装下,CentOS不安装编译器的,在终端输入以下命令即可yum install gccyum install gcc-c++   2.安装gtk2-devel,因为默认已经安装了正式产品需要的支持库,但是没有安装开发所需要的文档.yum install gtk2* 3. 安装wxGTK    yum search w
    • 23种设计模式的形象比喻 aijuans 设计模式
      1、ABSTRACT FACTORY—追MM少不了请吃饭了，麦当劳的鸡翅和肯德基的鸡翅都是MM爱吃的东西，虽然口味有所不同，但不管你带MM去麦当劳或肯德基，只管向服务员说“来四个鸡翅”就行了。麦当劳和肯德基就是生产鸡翅的Factory 　　工厂模式：客户类和工厂类分开。消费者任何时候需要某种产品，只需向工厂请求即可。消费者无须修改就可以接纳新产品。缺点是当产品修改时，工厂类也要做相应的修改。如：
    • 开发管理 CheckLists aoyouzi 开发管理 CheckLists
      开发管理 CheckLists(23) -使项目组度过完整的生命周期 开发管理 CheckLists(22) -组织项目资源 开发管理 CheckLists(21) -控制项目的范围开发管理 CheckLists(20) -项目利益相关者责任开发管理 CheckLists(19) -选择合适的团队成员开发管理 CheckLists(18) -敏捷开发 Scrum Master 工作开发管理 C
    • js实现切换 百合不是茶 JavaScript栏目切换
      js主要功能之一就是实现页面的特效,窗体的切换可以减少页面的大小,被门户网站大量应用思路: 1,先将要显示的设置为display:bisible 否则设为none 2,设置栏目的id ,js获取栏目的id,如果id为Null就设置为显示 3,判断js获取的id名字;再设置是否显示   代码实现:   html代码: <di
    • 周鸿祎在360新员工入职培训上的讲话 bijian1013 感悟项目管理人生职场
              这篇文章也是最近偶尔看到的，考虑到原博客发布者可能将其删除等原因，也更方便个人查找，特将原文拷贝再发布的。“学东西是为自己的，不要整天以混的姿态来跟公司博弈，就算是混，我觉得你要是能在混的时间里，收获一些别的有利于人生发展的东西，也是不错的，看你怎么把握了”，看了之后，对这句话记忆犹新。  &
    • 前端Web开发的页面效果 Bill_chen htmlWebMicrosoft
      1.IE6下png图片的透明显示： <img src="图片地址" border="0" style="Filter.Alpha(Opacity)=数值(100),style=数值(3)"/> 或在<head></head>间加一段JS代码让透明png图片正常显示。 2.<li>标
    • 【JVM五】老年代垃圾回收：并发标记清理GC(CMS GC) bit1129 垃圾回收
        CMS概述 并发标记清理垃圾回收(Concurrent Mark and Sweep GC）算法的主要目标是在GC过程中，减少暂停用户线程的次数以及在不得不暂停用户线程的请夸功能，尽可能短的暂停用户线程的时间。这对于交互式应用，比如web应用来说，是非常重要的。   CMS垃圾回收针对新生代和老年代采用不同的策略。相比同吞吐量垃圾回收，它要复杂的多。吞吐量垃圾回收在执
    • Struts2技术总结 白糖_ struts2
        必备jar文件 早在struts2.0.*的时候，struts2的必备jar包需要如下几个： commons-logging-*.jar   Apache旗下commons项目的log日志包 freemarker-*.jar          
    • Jquery easyui layout应用注意事项 bozch jquery浏览器easyuilayout
      在jquery easyui中提供了easyui-layout布局，他的布局比较局限，类似java中GUI的border布局。下面对其使用注意事项作简要介绍：      如果在现有的工程中前台界面均应用了jquery easyui，那么在布局的时候最好应用jquery eaysui的layout布局，否则在表单页面（编辑、查看、添加等等）在不同的浏览器会出
    • java-拷贝特殊链表：有一个特殊的链表，其中每个节点不但有指向下一个节点的指针pNext，还有一个指向链表中任意节点的指针pRand，如何拷贝这个特殊链表？ bylijinnan java
      public class CopySpecialLinkedList { /** * 题目：有一个特殊的链表，其中每个节点不但有指向下一个节点的指针pNext，还有一个指向链表中任意节点的指针pRand，如何拷贝这个特殊链表？ 拷贝pNext指针非常容易，所以题目的难点是如何拷贝pRand指针。 假设原来链表为A1 -> A2 ->... -> An，新拷贝
    • color Chen.H JavaScripthtmlcss
      <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"  "http://www.w3.org/TR/html4/loose.dtd">    <HTML>    <HEAD>&nbs
    • [信息与战争]移动通讯与网络 comsci 网络
            两个坚持:手机的电池必须可以取下来                光纤不能够入户,只能够到楼宇       建议大家找这本书看看:<&
    • oracle flashback query(闪回查询) daizj oracleflashback queryflashback table
      在Oracle 10g中，Flash back家族分为以下成员： Flashback Database Flashback Drop Flashback Table Flashback Query(分Flashback Query,Flashback Version Query，Flashback Transaction Query) 下面介绍一下Flashback Drop 和Flas
    • zeus持久层DAO单元测试 deng520159 单元测试
      zeus代码测试正紧张进行中,但由于工作比较忙,但速度比较慢.现在已经完成读写分离单元测试了,现在把几种情况单元测试的例子发出来,希望有人能进出意见,让它走下去. 本文是zeus的dao单元测试: 1.单元测试直接上代码   package com.dengliang.zeus.webdemo.test; import org.junit.Test; import o
    • C语言学习三printf函数和scanf函数学习 dcj3sjt126com cprintfscanflanguage
      printf函数 /* 2013年3月10日20:42:32 地点：北京潘家园 功能： 目的： 测试%x %X %#x %#X的用法 */ # include <stdio.h> int main(void) { printf("哈哈！\n"); // \n表示换行 int i = 10; printf
    • 那你为什么小时候不好好读书? dcj3sjt126com life
      dady, 我今天捡到了十块钱, 不过我还给那个人了 good girl! 那个人有没有和你讲thank you啊 没有啦....他拉我的耳朵我才把钱还给他的, 他哪里会和我讲thank you   爸爸, 如果地上有一张5块一张10块你拿哪一张呢.... 当然是拿十块的咯... 爸爸你很笨的, 你不会两张都拿   爸爸为什么上个月那个人来跟你讨钱, 你告诉他没
    • iptables开放端口 Fanyucai linuxiptables端口
      1，找到配置文件 vi /etc/sysconfig/iptables   2，添加端口开放，增加一行，开放18081端口 -A INPUT -m state --state NEW -m tcp -p tcp --dport 18081 -j ACCEPT   3，保存 ESC :wq!   4，重启服务 service iptables
    • Ehcache（05）——缓存的查询 234390216 排序ehcache统计query
      缓存的查询 目录 1.    使Cache可查询 1.1     基于Xml配置 1.2     基于代码的配置 2     指定可搜索的属性 2.1     可查询属性类型 2.2 &
    • 通过hashset找到数组中重复的元素 jackyrong hashset
        如何在hashset中快速找到重复的元素呢?方法很多，下面是其中一个办法： int[] array = {1,1,2,3,4,5,6,7,8,8}; Set<Integer> set = new HashSet<Integer>(); for(int i = 0
    • 使用ajax和window.history.pushState无刷新改变页面内容和地址栏URL lanrikey history
      后退时关闭当前页面 <script type="text/javascript"> jQuery(document).ready(function ($) {         if (window.history && window.history.pushState) {
    • 应用程序的通信成本 netkiller.github.com 虚拟机应用服务器陈景峰netkillerneo
      应用程序的通信成本 什么是通信 一个程序中两个以上功能相互传递信号或数据叫做通信。 什么是成本 这是是指时间成本与空间成本。 时间就是传递数据所花费的时间。空间是指传递过程耗费容量大小。 都有哪些通信方式 全局变量 线程间通信 共享内存 共享文件 管道 Socket 硬件（串口，USB） 等等 全局变量 全局变量是成本最低通信方法，通过设置
    • 一维数组与二维数组的声明与定义 恋洁e生 二维数组一维数组定义声明初始化
      /**  *  */ package test20111005; /**  * @author FlyingFire  * @date:2011-11-18 上午04:33:36  * @author ：代码整理  * @introduce :一维数组与二维数组的初始化  *summary：  */ public c
    • Spring Mybatis独立事务配置 toknowme mybatis
      在项目中有很多地方会使用到独立事务，下面以获取主键为例   （1）修改配置文件spring-mybatis.xml  <!-- 开启事务支持 -->  <tx:annotation-driven transaction-manager="transactionManager" />   &n
    • 更新Anadroid SDK Tooks之后，Eclipse提示No update were found xp9802 eclipse
      使用Android SDK Manager 更新了Anadroid SDK Tooks 之后， 打开eclipse提示 This Android SDK requires Android Developer Toolkit version 23.0.0 or above, 点击Check for Updates  检测一会后提示 No update were found