开发web应用难于上青天,web开发十八难

转载 2006年06月08日 10:41:00
系统越做越大,问题越来越多,有些彻底解决了,有些凑合解决了,有些还没有办法,现在把碰到的主要问题列出来,给大家前车之覆:

1  跨浏览器布局的问题: 由于浏览器之间的微小差距,在布局复杂的页面时将会碰到麻烦
   我现在的项目就要求firefox 和ie. 由于ie一些著名的bug,有时候不小心就踩到地雷。

2  日期控件
   如何实现跨浏览器的日期控件,如何设定缺省值,如何实现大范围的日期直接定位?如何自适应多区域格式问题?
 我也用过不少现成的东西,比如 http://www.mattkruse.com/javascript/calendarpopup/
  但都有或多或少的问题

3、分辨率
  如何支持常见分辨率,例如800*600 ,1024*768,1280*1024?表格和层如何自适应?
  有些客户喜欢居左居中,有些内容超宽,有些超宽内容还在容器里,有些还要叠加,把这些混在一起麻烦就来了

4、防止SQL注入式攻击
  参数使用占位符,这个算是基本解决了,只是有些担心数据库的效率。

5.防止脚本攻击。  有时候需要在页面允许部分html或javascript代码, 如显示多行文本。
  html 转义我知道,但我要允许部分html代码起作用,比如我要让<br>起作用,其他不起作用,以实现多行文本
6、用户非授权页面访问
  如何实现每个页面的安全验证,如何防止用户通过直接拷贝具体页面地址等方式,访问系统;  包括没有链接的某些页面和jsp 页面。 如何控制部分权限,最小控制单元是什么?

 看上去很简单,但一深思问题就来了,
每个页面的安全验证:动态页面一般是 URL + Query String
URL数量有限,但Query String一般以id为参数,有许多,所以如以URL为基础验证,则有时候
粒度不够细,如加上Query String,则不能再以配置表为基础校验,因为Query String乘以
用户数量(或角色数量,将是一个天文数字),所以如何建立安全验证规则表又是一个头疼的
问题,每个系统的安全验证规则都不一样。

再深入,你会发现如果一个操作被分成几个步骤,此时,这几个步骤的页面必须是相同的权限
设置,否则用户操作到一半,告诉他没有权限,他会被气死的。

如果再细化粒度,页面某些元素能够被部分用户修改和看见,你的头开始疼了吗?
7、重复提交问题
    功能操作完成后,鼠标右键点击所在页面,选择弹出菜单的刷新功能,容易出现重复提交问题。
    功能操作完成后,通过浏览器的后退键进行重复操作,容易出现重复提交问题。
   URL没有重定向,刷新页面出现重复提交问题。
   某功能键反应时间延迟时,在短时间内重复点击该功能键,容易出现重复提交问题;
   某些用户习惯双击按钮,某些用户错误地点了两次按钮,某些鼠标出现故障,导致单击变成双击,结果发生重复提交。

如果不加处理,这些请求都会被服务器处理,从而导致错误的结果。

struts的token确实能解决问题,但用户老是向我抱怨,为什么我不
能用浏览器的回退按钮重新提交,我在其他网站上从没有这个问题,你如何解释?
然后你还会发现部分操作是能够允许重复提交的。

8.如何锁定资源如记录:这是一个老大难问题了,为此还搞了不少东西出来。
用 关键词 隔离级别 脏 锁定 去搜搜,就会发现,要解决这个问题是有方法的,但代价
你愿意承担吗?开发代价,性能代价,可用性代价

9,如何防止浏览器记住数据,某些浏览器能够为每一个URL记住用户输入的数据,在某些情况下是危险的。比如我修改了某些数据,但由于某些原因我想刷新,此时数据已经被其他用户修改,但在浏览器里面你看到的是你修改的数据(你用刷新按钮也不能看到新数据)。如果你再次保存,你认为你没有修改数据,但数据已经被修改了。当页面是脚本动态生成的时候,这个问题更严重。

常发生在firefox等浏览器上。

10,如何防止或侦测客户修改浏览器设置,比如客户在打开页面之后关闭脚本功能。
有时候甚至不是用户禁止脚本,而是么某些软件和插件,病毒甚至企业文化影响到用户设置。

11,回退问题,对于工作流熟悉的人对这个问题很清楚,某个操作节点如何回到启动点,如何回到上一节点,如何避免硬编码? 比如一个页面被两个操作流所共享,此时安全验证是个问题,回退也许要仔细考虑。

12,校验问题,如何同时实现客户端和服务器端校验,客户端调用服务器端的校验功能。
我已经在使用struts自带的apache commons validator,可是我不得不修改许多地方才能
用起来。比如我有些隐藏字段需要校验。但commons validator居然使用focus语句,导致出错。
这是小的bug,但更麻烦的是部分服务器端的校验没有办法在客户端实现。比如validwhen
又如,某些校验需要查询数据库,所以我想要的校验应该是能够被ajax 调用,这样
校验在客户端和服务器端完全一样,但这样客户端校验还有必要吗,我们原来用客户端校验
是看中他的校验响应快,不给服务器加负担。所以我又迷茫了。

13,如何防止数据伪造,如何防止客户使用特殊工具和技术伪造数据提交到服务器。
浏览器发送的数据都是遵循公开的标准,嗅探器等黑客工具可以随便地修改你的数据,
还有一些神奇的浏览器插件可以任意修改数据。就算ssl也只能保障中间传输,客户端无法控制。你还认为你的隐藏字段是安全的吗?你还认为你的select只有那几个选项吗?

14, 如何追踪定位错误,如何处理异常?
   在一个运行的系统里,你如何知道哪个数据产生了这个错误?多个用户的日志绞缠在一起
 如何组织?
15,如何在两个操作之间传递大量数据,尤其是非存储数据。
比如分页数据(按什么列排序的第几页,过滤条件)一般是不存储到数据库的,但在某些时候必须传递到下一个页面,session 也不是最终解决方案。
16, 带安全控制的断点续传的上载 和下载
  甚至服务器端恐怕也要装点什么,这个可是许多企业的忌讳
17,分布式环境的特殊处理,
18,如何提高开发效率?

C++难,难于上青天

[注:yqj2065的每一篇博文,因为时间、思路、态度、水平、防御和游戏心态等等各方面的问题,经常处于变动中,如添加一些东西,转载请谨慎 ] 看了几篇CSDN的专访,如1,2。有类似的话:“C++入...
  • yqj2065
  • yqj2065
  • 2013年02月16日 15:39
  • 4256

燕十八老师讲的js,自己做的笔记,有点乱。供以后学习使用。。。。

javascript
  • Hxn_Fight
  • Hxn_Fight
  • 2015年04月01日 14:36
  • 1770

Sublime Text 2编辑器的妙用

Sublime Text 2 使用心得 一、 前言 作为一个前端,有一款好的开发利器是必不可少的,editplus、notepad++都是不错的工具,体积轻巧,启动迅速(dw太浮肿了)。最...
  • z10160
  • z10160
  • 2013年08月31日 09:49
  • 501

最全的MySQL基础【燕十八传世】

1.课前准备! 开启mysql服务:1).配置环境变量;2).net start mysql 将该sql文件导入到你的数据库中,以下所有操作都是基于该数据库表操作的!!! 【此笔记是本人看着...
  • qq_27229113
  • qq_27229113
  • 2017年07月16日 15:48
  • 487

燕十八视频--CSS

1,浏览器解析标准声明doctype:总共有三种类型,分别为:transitional,strict,frameset transitional:过渡型标准,这种标准允许使用表现层的标识,元...
  • qiechongpin
  • qiechongpin
  • 2016年01月10日 13:34
  • 397

压测难,难于上青天,80%的直播应用都败在了这里

直播的火爆带来了海量的用户,也带来了海量的服务器并发。本文分析了目前直播行业存在的难点,从腾讯目前的新直播产品——NOW直播出发, 了解直播应用背后的那些事。...
  • wetest_tencent
  • wetest_tencent
  • 2016年10月27日 20:43
  • 1316

R语言十八讲(三)—数据输入

我们在做数据分析工作的前提,当然是得有数据,巧妇难为无米之炊,所以数据的获取和产生是非常重要和基础的,然而,在当前互联网时代,信息非常的膨胀,我们获取数据的方式很多,这里简单的将其归为三类, 1...
  • sinat_35761982
  • sinat_35761982
  • 2016年08月26日 18:42
  • 885

2014年最新燕十八老师PHP视频教程10K月薪高性能架构班

链接: http://pan.baidu.com/s/1dDtNkLr 密码: cq92 加入QQ群:302040480,免费索取教程 具体目录: Linux优化篇1.mys...
  • n2dx83uc2
  • n2dx83uc2
  • 2014年09月17日 16:03
  • 1338

HTLM5+ajax大文件分块上传

大致思路: 1.获取文件信息 2.通过‘’文件对象‘’中的slice方法对文件进行不断切割 3.将切割的二进制信息通过FormData对象送往服务端 4.在服务端将不断送过来的二进制信息进行拼接 ...
  • Novice_xzy
  • Novice_xzy
  • 2017年04月17日 20:47
  • 273

小波变换教程(十八)

小波变换网文精粹:小波变换教程(十八) 原文:ROBI POLIKAR. THE ENGINEER'S ULTIMATE GUIDE TO WAVELET ANALYSIS:The Wavele...
  • alihouzi
  • alihouzi
  • 2015年04月22日 09:26
  • 688
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:开发web应用难于上青天,web开发十八难
举报原因:
原因补充:

(最多只允许输入30个字)