六、Java Web

最新推荐文章于 2024-05-22 16:51:01 发布

无痕YF

最新推荐文章于 2024-05-22 16:51:01 发布

阅读量140

点赞数

分类专栏：面试题文章标签： java mvc struts web

本文链接：https://blog.csdn.net/m0_46420991/article/details/120013210

版权

9 篇文章 2 订阅

订阅专栏

JSP是Servlet技术的扩展，本质上还是Servlet

Servlet和JSP的不同点在于：

JSP共有以下9个内置的对象：

session存放在服务器端，cookie存在客户端，cookie又分为会话cookie和持久化cookie，回话cookie随着浏览器关闭消失，持久化cookie在客户端硬盘

session的信息是通过sessionid获取的，sessionid存在会话cookie中，浏览器关闭会话cookie消失，session的信息还在服务器端只是查不到了并不是不存在。session在服务器关闭或过期的情况下数据消失

用户第一次请求服务器时，服务器端会生成一个sessionid
服务器端将生成的sessionid返回给客户端，通过set-cookie
客户端收到sessionid会将它保存在cookie中，当客户端再次访问服务端时会带上这个sessionid
当服务端再次接收到来自客户端的请求时，会先去检查是否存在sessionid，不存在就新建一个sessionid重复1,2的流程，如果存在就去遍历服务端的session文件，找到与这个sessionid相对应的文件，文件中的键值便是sessionid，值为当前用户的一些信息
此后的请求都会交换这个 Session ID，进行有状态的会话。

默认情况下，在会话中，服务器存储 session 的 sessionid 是通过 cookie 存到浏览器里。如果浏览器禁用了 cookie，浏览器请求服务器无法携带 sessionid，服务器无法识别请求中的用户身份，session失效。

禁用 cookie 的情况下，通过url重写，把 sessionid 作为参数追加的原 url 中或者服务器的返回数据中包含 sessionid，可以继续使用session

spring mvc 单例非线程安全
struts1单例非线程安全
struts2线程安全对每个请求都产生一个实例
spring mvc的入口是servlet，而struts2是filter
spring 的前端总控制器为 DispatcherServlet
struts2 的前端总控制器为 FilterDispatcher
struts1 的前端总控制器为 actionServlet
struts在接受参数时，用属性来接受参数，参数是多个方法共享。
springmvc 用方法来接受参数
spring mvc是基于方法的设计,而sturts是基于类

XSS 攻击，即跨站脚本攻击，它是 web 程序中常见的漏洞
避免思路：
web 页面中可由用户输入的地方，如果对输入的数据转义、过滤处理，后台输出页面的时候，也需要对输出内容进行转义、过滤处理
前端对 html 标签属性、css 属性赋值的地方进行校验

CSRF（跨站点请求伪造）攻击者在用户已经登录目标网站之后，诱使用户访问一个攻击页面，利用目标网站对用户的信任，以用户身份在攻击页面对目标网站发起伪造用户操作的请求，达到攻击目的

避免方法：

关注