2015年09月_布瑞泽的童话

12月 11月 10月 09月 08月 07月 06月 05月

原创 flex弹性盒布局

弹性盒布局是一个用于页面布局的全新CSS3模块功能。弹性盒布局的定义中，它可以自动调整子元素的宽和高，来很好的填充任何显示设备中的可用显示空间，收缩内容防止内容溢出。和块级元素基于垂直方向布局以及行内元素基于水平方向布局不同，弹性盒布局的算法是方向无关的。最基本的用法如下：div { border:1px solid black;}#box1 { display:flex;

2015-09-29 15:49:39 1157

原创模块化的CSS

今天主要介绍一下模块化的CSS思想。随着前端技术的发展，javascript模块化已经得到广泛运用，无论是CMD规范还是ES6的模块系统也好，都认可了模块化开发的优势。那么CSS的模块化也是未来的一种趋势。什么是CSS模块化，为什么CSS模块化才是未来呢？局部在CSS模块化思想中，每个文件被编译成独立的文件。这样我们就只需要使用简单通用的类选择器名字就好了，我们不再需要担心它会污染全局的变量

2015-09-26 09:55:18 1031

原创浅谈搜索引擎优化方法

我在前面一篇文章中介绍了搜索引擎的工作原理，这里谈谈如何具体的优化网站在搜索引擎中的排名。首先我们需要明白的是，也许有的同学不是专门搞SEO的，但是作为普通的Web开发者，也是需要具备一点搜索引擎优化的知识的。首先，我们来看看一个对搜索引擎不太友好的网站会具有哪些特征： 1. 标题中没有包含网站的主关键字 2. 网站以大量的图片或者flash形式出现，缺少必要的文字识别，而搜索引擎对图片

2015-09-20 16:01:08 4348 1

原创浅谈搜索引擎工作原理

做为网页开发者，仅仅会编写代码完成业务功能是远远不够的，你做的网站最后需要搜索引擎这个公共入口来呈现给用户。所以搜索引擎优化是及其重要的，而要了解如何优化自己的网站从而适应搜索引擎，我们需要先了解搜索引擎的基本工作原理。搜索引擎的工作原理都是类似的，大致分为四个步骤： 1. 页面收录 2. 页面分析 3. 页面排序 4. 响应关键字查询页面收录一个网站想要被收录到百度引擎中，就需要加入到搜索

2015-09-13 14:23:19 3696 1

原创 Web安全之Cookie管理

前面我们讲到过XSS攻击，其原理就是利用脚本读取用户的Cookie从而造成用户信息泄露。这里我们要介绍Cookie的几个关键属性值HttpOnly、Secure及其用法。HttpOnly该属性值的作用就是防止Cookie值被页面脚本读取。一个没有设置HttpOnly的Cookie：setcookie('name','lf');效果如下：这段代码就可能被攻击者用脚本来获取，所以我们应该为Cooki

2015-09-09 09:24:51 2135

权限攻击可以分为水平权限攻击和垂直权限攻击。水平权限攻击水平权限攻击，也叫作访问控制攻击。Web应用程序接收到用户请求，修改某条数据时，没有判断数据的所属人，或者在判断数据所属人时从用户提交的表单参数中获取了userid。导致攻击者可以自行修改userid修改不属于自己的数据。所有的更新语句操作，都可能产生这个漏洞。攻击我们来看看攻击案例，Web应用在修改用户个人信息时，从用户提交的表单中获取use

2015-09-08 10:33:33 7086

原创 Web安全之文件操作

网站在处理文件相关内容的时候可能会出现漏洞。分为文件上传攻击和文件下载攻击。文件上传File upload，任意文件上传攻击。Web应用程序在处理用户上传的文件时，没有判断文件的拓展名是否在允许的范围内，就把文件保存在服务器上，导致恶意用户可以上传任意文件，甚至上传木马到Web服务器上，直接控制服务器。攻击下面是处理用户上传文件请求的Java代码，这段代码没有过滤文件拓展名：PrintWriter

2015-09-07 09:21:24 1949

原创 Web安全之XML注入

XML注入攻击，和SQL注入的原理一样，都是攻击者输入恶意的代码来执行自身权限以外的功能。 XML是存储数据的一种方式，如果在修改或者查询时，没有做转义，直接输入或输出数据，都将导致XML注入漏洞。攻击者可以修改XML数据格式，增加新的XML节点，对数据处理流程产生影响。攻击下面是一个保存注册用户信息为XML格式的例子：final String GUESTROLE = "guest_role";

2015-09-06 08:36:19 12125 2

原创 Web安全之SQL注入

SQL注入攻击是通过非友好的SQL语句拼接来获取该用户没有权限访问的数据。当应用程序将用户输入的内容，拼接到SQL语句中，一起提交给数据库执行时，就会产生SQL注入威胁。由于用户的输入，也是SQL语句的一部分，所以攻击者可以利用这部分可以控制的内容，注入自己定义的语句，改变SQL语句执行逻辑，让数据库执行任意自己需要的指令。通过控制部分SQL语句，攻击者可以查询数据库中任何自己需要的数据，利

2015-09-05 08:56:32 1507

原创 Web安全之CSRF跨站请求伪造攻击

CSRF全称Cross-Site Request Forgery，跨站请求伪造攻击。其攻击原理是：攻击者在用户浏览网页时，利用页面元素（例如img的src），强迫受害者的浏览器向Web应用程序发送一个改变用户信息的请求。由于发生CSRF攻击后，攻击者是强迫用户向服务器发送请求，所以会造成用户信息被迫修改，更严重者引发蠕虫攻击。CSRF攻击可以从站外和站内发起。从站内发起CSRF攻击，

2015-09-02 09:08:41 2395