...his page 在HTML5中，我们可以不使用div，而用更加语义化的footer来写： copyright sitemap contact to top 在同一个页面中可以使用多个元素，即可以用作页面整体的页脚，也可以作为一个内容区块的结尾，例如，我们可以将直接写在或是中： Section content appears here. Footer information for section. Article content appears here. Footer information for article. nav -- 作用 -- 导航栏 nav nav元素是一个可以用来作为页面导航的链接组；其中的导航元素链接到其他页面或当前页面的其他部分。并不是所有的链接组都要被放进元素；例如，在页脚中通常会有一组链接，包括服务条款、首页、版权声明等；这时使用元素是最恰当的，而不需要元素。一直以来，我们都习惯用如下这种方式来定义导航条： Home About Blog 下面是W3C给出的一个代码示例： The Wiki Center Of Exampland Home Current Events ...more... Demos in Exampland Written by A. N. Other. Public demonstrations Demolitions ...more... Public demonstrations ...more... Demolitions ...more... ...more... Edit | Delete | Rename © copyright 1998 Exampland Emperor 关键自li，em，dl，ul,ol,footer,header,nav,aside,article section 版块用于划分页面上的不同区域,或者划分文章里不同的节 header 页面头部或者版块(section)头部 footer 页面底部或者(section)底部 nav 导航 (包含链接 ... html5新特性-header,nav,footer,aside,article,section等各元素的详解 Html5新增了27个元素,废弃了16个元素,根据现有的标准规范,把HTML5的元素按优先级定义为结构性属性.级块性元素.行内语义性元素和交互性元素四大类. 下面是对各标签的详解,section.he ... h5中的结构元素header、nav、article、aside、section、footer介绍结构元素不具有任何样式,只是使页面元素的的语义更加明确. header元素 header元素是一种具有引导和导航作用的的结构元素,该元素可以包含所有通常放在页面头部的内容.header元素通常用来放置 ... html5，html5教程 html5,html5教程 1.向后兼容 HTML5是这样被定义的:能向后兼容目前UA处理内容的方式.为了让语言更简单,一些老的元素和Attribute被舍弃.比如一些纯粹用于展现的元素(译注:即非语 ... 一步HTML5教程学会体系 HTML5是HTML最新的版本,万维网联盟. HTML5是下一代的HTML标准,HTML5是为了在移动设备上支持多媒体. 新特性: 绘画的canvas元素,用于媒介回放的video和audio元素,对 ... IT兄弟连 HTML5教程了解HTML5的主流应用1 在很多人眼里,HTML5与互联网营销密切相关,但其实从开发者的角度而言,它是一种网页标准,定义了浏览器语言的编写规范.伴随HTML5标准尘埃落定,浏览器对HTML5特性的逐步支持,再加上国内对HTML ... 【转帖】39个让你受益的HTML5教程 39个让你受益的HTML5教程闲话少说,本文作者为大家收集了网上学习HTML5的资源,期望它们可以帮助大家更好地学习HTML5. 好人啊! 不过,作者原来说的4 ... 【特别推荐】Web 开发人员必备的经典 HTML5 教程对于我来说,Web 前端开发是最酷的职业之一,因为你可以用新的技术发挥,创造出一些惊人的东西.唯一的问题是,你需要跟上这个领域的发展脚步,因此,你必须不断的学习,不断的前进.本文将分享能够帮助您快速掌 ... HTML5教程之本地存储SessionStorage SessionStorage: 将数据保存在session对象中,所谓session是指用户在浏览某个网站时,从进入网站到浏览器关闭所经过的这段时间会话,也就是用户浏览这个网站所花费的时间就是sess ... 随机推荐【转】MySQL索引背后的数据结构及算法原理摘要本文以MySQL数据库为研究对象,讨论与数据库索引相关的一些话题.特别需要说明的是,MySQL支持诸多存储引擎,而各种存储引擎对索引的支持也各不相同,因此MySQL数据库支持多种索引类型,如BT ... IIS7 / IIS7.5 URL 重写 HTTP 重定向到 HTTPS(转) 转自: http://www.cnblogs.com/yipu/p/3880518.html 1.购买SSL证书,参考:http://www.cnblogs.com/yipu/p/3722135. ... OpenGL的glViewPort窗口设置函数实现分屏之前实现过全景图片查看(OpenGL的几何变换3之内观察全景图),那么我们需要进行分屏该如何实现呢?如下图: 没错就是以前提过的glViewPort函数,废话不多说了,我直接上代码: //从这里开始进 ... hdu 4764 Stone (巴什博弈，披着狼皮的羊，小样，以为换了身皮就不认识啦) 今天(2013/9/28)长春站,最后一场网络赛! 3~5分钟后有队伍率先发现伪装了的签到题(博弈) 思路: 与取石头的巴什博弈对比题目要求第一个人取数字在[1,k]间的某数x,后手取x加[1,k] ... android报表图形引擎(AChartEngine)demo解析与源码 AchartEngine支持多种图表样式,本文介绍两种:线状表和柱状表. AchartEngine有两种启动的方式:一种是通过ChartFactory.getView()方式来直接获取到view ... CSS长度单位及区别 em ex px pt in 1. css相对长度单位 Ø em 元素的字体高度 Ø ex 字体x的高度 Ø px ... es6的箭头函数 1.使用语法 : 参数 => 函数语句; 分为以下几种形式 : (1) ()＝>语句 ( )＝> statement 这是一种简写方法省略了花括号和return 相当于 ()＝&g ... pdfplumber库解析pdf格式参考地址:https://github.com/jsvine/pdfplumber 简单的pdf转换文本: import pdfplumber with pdfplumber.open(path) a ... KMP替代算法——字符串Hash 很久以前写的... 今天来谈谈一种用来替代KMP算法的奇葩算法--字符串Hash 例题:给你两个字符串p和s,求出p在s中出现的次数.(字符串长度小于等于1000000) 字符串的Hash 根据字面意 ... SSM_CRUD新手练习(5)测试mapper 上一篇我们使用逆向工程生成了所需要的bean.dao和对应的mapper.xml文件,并且修改好了我们需要的数据库查询方法. 现在我们来测试一下DAO层,在test包下新建一个MapperTest.j ... 本篇文章为转载内容。原文链接：https://blog.csdn.net/weixin_35666639/article/details/118169985。该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

2023-07-16 11:42:34

252

转载

HTML

兼容html5 代码

...着移动互联网的推广和HTML5的不断发展，越来越多的网页设计师开始使用HTML5代码来开发网站。HTML5代码拥有更好的阅读性和可维护性，而且可以达成更加雅观和逼近原生应用的用户体验。然而，在使用HTML5代码的同时，我们也遭遇着一些兼容性问题。因为不同的浏览器对HTML5代码的解析方式不一样，导致在不同的浏览器下，相同的网页效果会出现不同。为了处理这些问题，我们就需要做好HTML5代码的兼容性工作。 <!DOCTYPE html> <html> <head> <meta charset="UTF-8"> <title>兼容HTML5代码</title> </head> <body> <h1>HTML5代码</h1> <p>HTML5的代码最大的特征就是语义化，不同的HTML标签用于不同的语义，可以更加清晰地传达信息。而且，HTML5代码还兼容更多的多媒体元素，比如视频和音频。</p> </body> </html> 其中，我们可以通过以下方式达成HTML5代码的兼容性：使用HTML5 Shiv和Modernizr等工具，让旧版浏览器也兼容HTML5新特性。选择常用的HTML5标签和属性，避免使用一些在旧版浏览器中不被兼容的标签和属性。检测浏览器的版本和特性，根据不同的浏览器提供不同的兼容性代码。在处理HTML5代码的兼容性问题时，我们需要注意的是，在追求最新技术的同时，也要考虑到老旧浏览器的兼容性，这样才能达成更好的用户体验。

2023-10-08 13:53:02

408

算法侠

HTML

个人博客纯html代码

...我将讲解如何应用原始HTML代码建立个人博客。首先，我们需要建立一个html文件，并在头部信息中插入必需的metadata。以下是一个典型的html头部信息： <!DOCTYPE html> <html> <head> <meta charset="UTF-8"> <title>我的个人博客</title> </head> <body> </body> </html> 在body标签内，我们可以开始搭建我们的博客。首先，我们需要一个菜单栏，可以帮助读者便捷浏览网站。以下是一个简单的菜单栏代码样例： <nav> <ul> <li><a href="index.html">主页</a></li> <li><a href="about.html">个人简介</a></li> <li><a href="contact.html">联络方式</a></li> </ul> </nav> 接下来我们需要一个文章目录。以下是一个简单的列表代码样例： <h2>我的博客</h2> <ul> <li><a href="post1.html">我的第一篇博客</a></li> <li><a href="post2.html">我的第二篇博客</a></li> </ul> 最后，我们需要插入一个页脚，让我们的博客看起来更加完整。以下是一个简单的页脚代码样例： <footer> <p>版权所有 © 2021 我的个人博客</p> </footer> 到此为止，我们已经成功建立了一个基本的个人博客。应用p标签和pre标签可以使我们的代码更加清晰易懂。当然，这只是一个起点，我们可以根据自己的需求和兴趣不断地对博客进行改进。

2023-04-28 09:03:31

417

电脑达人

转载文章

[转载]手机端页面自适应解决方案—rem布局进阶版

...7/5/3）放到 HTML 的 head 标签中即可（注:不要手动设置viewport，该方案自动帮你设置） <script>!function(e){function t(a){if(i[a])return i[a].exports;var n=i[a]={exports:{},id:a,loaded:!1};return e[a].call(n.exports,n,n.exports,t),n.loaded=!0,n.exports}var i={};return t.m=e,t.c=i,t.p="",t(0)}([function(e,t){"use strict";Object.defineProperty(t,"__esModule",{value:!0});var i=window;t["default"]=i.flex=function(normal,e,t){var a=e||100,n=t||1,r=i.document,o=navigator.userAgent,d=o.match(/Android[\S\s]+AppleWebkit\/(\d{3})/i),l=o.match(/U3\/((\d+|\.){5,})/i),c=l&&parseInt(l[1].split(".").join(""),10)>=80,p=navigator.appVersion.match(/(iphone|ipad|ipod)/gi),s=i.devicePixelRatio||1;p||d&&d[1]>534||c||(s=1);var u=normal?1:1/s,m=r.querySelector('meta[name="viewport"]');m||(m=r.createElement("meta"),m.setAttribute("name","viewport"),r.head.appendChild(m)),m.setAttribute("content","width=device-width,user-scalable=no,initial-scale="+u+",maximum-scale="+u+",minimum-scale="+u),r.documentElement.style.fontSize=normal?"50px": a/2sn+"px"},e.exports=t["default"]}]); flex(false,100, 1);</script> 代码原理这是阿里团队的高清方案布局代码，所谓高清方案就是利用rem的特性（我们知道默认情况下html的1rem = 16px），根据设备屏幕的DPR（设备像素比，又称DPPX，比如dpr=2时，表示1个CSS像素由4个物理像素点组成）根据设备DPR动态设置 html 的font-size为（50 dpr)，同时调整页面的压缩比率（即：1/dpr），进而达到高清效果。有何优势引用简单，布局简便根据设备屏幕的DPR,自动设置最合适的高清缩放。保证了不同设备下视觉体验的一致性。（老方案是，屏幕越大元素越大；此方案是，屏幕越大，看的越多）有效解决移动端真实1px问题（这里的1px 是设备屏幕上的物理像素）如何使用重要的事情说三遍！绝不是每个地方都要用rem，rem只适用于固定尺寸！绝不是每个地方都要用rem，rem只适用于固定尺寸！绝不是每个地方都要用rem，rem只适用于固定尺寸！在相当数量的布局情境中（比如底部导航元素平分屏幕宽，大尺寸元素），你必须使用百分比或者flex才能完美布局！看过《手机端页面自适应解决方案—rem布局》的朋友，应该对rem有所了解，这里不再赘述，此方案也是默认 1rem = 100px，所以你布局的时候，完全可以按照设计师给你的效果图写各种尺寸啦。比如你在效果图上量取的某个按钮元素长 55px, 宽37px ，那你直接可以这样写样式： .myBtn {width: 0.55rem;height: 0.37rem;} rem布局（进阶版）实践应用 iPhone5 下页面效果.png iPhone 6 Plus 下页面效果.png 为了让朋友们更清晰感受此方案的巨大优势，下面是源码和Demo 实践应用1（请在手机端或者手机模式下浏览效果更佳！）实践应用2（请在手机端或者手机模式下浏览效果更佳！）线上项目（请在手机端或者手机模式下浏览效果更佳！）示例源码在线Demo 常见问题说明，新手很有必要看一下（2017/1/19）许多同学对该方案存在不少误解导致使用出现各种问题，这里统一回复下。 1.问：为啥手机网页效果图宽度是要640或者750的，我非得弄个666的不行咩？答：老实说当然可以，不过为了规范，640或者750是相对合适的。拿Iphone 5s 举例，它的css像素宽度是320px，由于它的dpr=2，所以它的物理像素宽度为320 × 2 = 640px，这也就是为什么，你在5s上截了一张图，在电脑上打开，它的原始宽度是640px的原因。那 iphone 6 的截图宽度呢？ 375 × 2 = 750 那 iphone 6 sp 的截图宽度呢？ 414 × 3 = 1242 以此类推，你现在能明白效果图为什么一般是 640 ，750 甚至是 1242 的原因了么？（真没有歧视安卓机的意思。。。） 2.问：宽度用rem写的情况下，在 iphone6 上没问题，在 iphone5上会有横向滚动条，何解？答：假设你的效果图宽度是750，在这个效果图上可能有一个宽度为7rem（高清方案默认 1rem = 100px）的元素。我们知道，高清方案的特点就是几乎完美还原效果图，也就是说，你写了一个宽度为 7rem 的元素，那么在目前主流移动设备上都是7rem。然而，iphone 5 的宽度为640，也就是6.4rem。于是横向滚动条不可避免的出现了。怎么办呢？这是我目前推荐的比较安全的方式：如果元素的宽度超过效果图宽度的一半（效果图宽为640或750），果断使用百分比宽度，或者flex布局。就像把等屏宽的图片宽度设为100%一样。 3.问：不是 1rem = 100px吗，为什么我的代码写了一个宽度为3rem的元素，在电脑端的谷歌浏览器上宽度只有150px? 答：先说高清方案代码，再次强调咱们的高清方案代码是根据设备的dpr动态设置html 的 font-size，如果dpr=1(如电脑端），则html的font-size为50px，此时 1rem = 50px 如果dpr=2(如iphone 5 和 6），则html的font-size为100px，此时 1rem = 100px 如果dpr=3(如iphone 6 sp），则html的font-size为150px，此时 1rem = 150px 如果dpr为其他值，即便不是整数，如3.4 , 也是一样直接将dpr 乘以 50 。再来说说效果图，一般来讲，我们的效果图宽度要么是640，要么是750，无论哪一个，它们对应设备的dpr=2，此时，1 rem = 50 × 2 = 100px。这也就是为什么高清方案默认1rem = 100px。而将1rem默认100px也是好处多多，可以帮你快速换算单位，比如在750宽度下的效果图，某元素宽度为53px，那么css宽度直接设为53/100=0.53rem了。然而极少情况下，有设计师将效果图宽定为1242px，因为他手里只有一个iphone 6 sp (dpr = 3)，设计完效果图刚好可以在他的iphone 6 sp里查看调整。一切完毕之后，他将这个效果图交给你来切图。由于这个效果图对应设备的dpr=3，也就是1rem = 50 × 3 = 150px。所以如果你量取了一个宽度为90px的元素，它的css宽度应该为 90/150=0.6rem。由于咱们的高清方案默认1rem=100px，为了还原效果图，你需要这样换算。当然，一个技巧就是你可以直接修改咱们的高清方案的默认设置。在代码的最后你会看到 flex(false, 100, 1) ，将其修改成flex(false, 66.66667, 1)（感谢简友：V旅行指出此处错误！ 2017/3/24）就不用那么麻烦的换算了，此时那个90px的直接写成0.9rem就可以了。 4.问：在此方案下，我如果引用了别的UI库，那些UI库的元素会显得特别小，如何解决？答：可以这样去理解问题的原因，如果不用高清方案，别的UI库的元素在移动设备上（假设这个设备是iphone 5好了）显示是正常的，这没有问题，然后我们在这个设备上将该页面截图放到电脑上看，发现宽度是640（问答1解释过了），根据你的像素眼大致测量，你发现这个设备上的某个字体大小应该是12px，而你在电脑上测量应该是24px。现在我们使用高清方案去还原这个页面，那么字体大小应该写为 0.24rem 才对！所以，如果你引用了其他的UI库，为了兼容高清方案，你需要对该UI库里凡是应用px的地方做相应处理，即： a px => a0.02 rem (具体处理方式因人而异，有模块化开发经验的同学可使用类似的 px2rem 的插件去转化，也可以完全手动处理）（2017/9/9更新）然而真实情况往往更为复杂，比如，你引入了百度地图（N个样式需要处理转换）；或者你引入了一个 framework；又或者你使用了 video 标签，上面默认的尺寸样式很难处理。等等这些棘手问题面对这些情况，此时我们的高清方案如果不再压缩页面，那么以上问题将迎刃而解。基于这样的思路，笔者对高清方案的源码做了如下修改，即添加一个叫做 normal 的参数，由它来控制页面是否压缩。在文章顶部代码的最后，你会看到 flex(false, 100, 1)，默认情况下页面是开启压缩的。如果你需要禁止压缩，由于我们的源码执行后，直接将flex函数挂载到全局变量window上了，此时你直接在需要禁止压缩的页面执行 window.flex(true) 就可以了，而rem的用法保持不变。有一点美中不足的是，如果禁止了页面压缩，高清屏的1像素就不能实现了，如果你必须要实现1像素，那么自行谷歌：css 0.5像素，有N多的解决方案，这里不再赘述。 5.问：有时候字体会不受控制的变大，怎么办？答：在X5新内核Blink中，在排版页面的时候，会主动对字体进行放大，会检测页面中的主字体，当某一块字体在我们的判定规则中，认为字号较小，并且是页面中的主要字体，就会采取主动放大的操作。然而这不是我们想要的，可以采取给最大高度解决解决方案： , :before, :after { max-height: 100000px } 补充：有同学反映，在一些情况下 textarea 标签内的字体大小即便加上上面的方案，字体也会变大，无法控制。此时你需要给 textarea 的 display 设为 table 或者 inline-table 即可恢复正常。（感谢程序媛喵喵对此的补充！2017/7/7） 6.问：我在底部导航用的flex感觉更合适一些，请问这样子混着用可以吗？答：咱们的rem适合写固定尺寸。其余的根据需要换成flex或者百分比。源码示例中就有这三种的综合运用。 7.问：在高清方案下，一个标准的，较为理想的宽度为640的页面效果图应该是怎样的？点击浏览：一个标准的640手机页面设计稿参考（没错，在此方案中，你可以完全按照这张设计稿的尺寸写布局了。就是这么简单！） 8.问：用了这个方案如何使用媒体查询呢？一般来讲，使用了这个方案是没必要用媒体查询了，如果你必须要用，假设你要对 iphone5 （css像素宽度320px, 这里需要取其物理像素，也就是640）宽度下的类名做处理，你可以这样 @media screen and (max-width: 640px) {.yourLayout {width:100%;} } 9.问：可以提供下这个高清方案的源码吗？ 'use strict';/ @param {Boolean} [normal = false] - 默认开启页面压缩以使页面高清; @param {Number} [baseFontSize = 100] - 基础fontSize, 默认100px; @param {Number} [fontscale = 1] - 有的业务希望能放大一定比例的字体;/const win = window;export default win.flex = (normal, baseFontSize, fontscale) => {const _baseFontSize = baseFontSize || 100;const _fontscale = fontscale || 1;const doc = win.document;const ua = navigator.userAgent;const matches = ua.match(/Android[\S\s]+AppleWebkit\/(\d{3})/i);const UCversion = ua.match(/U3\/((\d+|\.){5,})/i);const isUCHd = UCversion && parseInt(UCversion[1].split('.').join(''), 10) >= 80;const isIos = navigator.appVersion.match(/(iphone|ipad|ipod)/gi);let dpr = win.devicePixelRatio || 1;if (!isIos && !(matches && matches[1] > 534) && !isUCHd) {// 如果非iOS, 非Android4.3以上, 非UC内核, 就不执行高清, dpr设为1;dpr = 1;}const scale = normal ? 1 : 1 / dpr;let metaEl = doc.querySelector('meta[name="viewport"]');if (!metaEl) {metaEl = doc.createElement('meta');metaEl.setAttribute('name', 'viewport');doc.head.appendChild(metaEl);}metaEl.setAttribute('content', width=device-width,user-scalable=no,initial-scale=${scale},maximum-scale=${scale},minimum-scale=${scale});doc.documentElement.style.fontSize = normal ? '50px' : ${_baseFontSize / 2 dpr _fontscale}px;}; 10.问：我在使用 rem 布局进阶方案的时候遇到了XXX的问题，如何解决？此方案久经考验，具有普遍适用性，自身出致命问题的情况很少，至少笔者是没遇到过。绝大多数你遇到的问题，都是由于对rem布局理解不到位导致的。本文对rem布局做了大量的解释说明，配置了若干 demo，你可以把你遇到的问题放到demo里测试。遇到问题时，首先问自己，为什么这明显的错误大家没遇到就我遇到了？？如果你真的经过充分验证，比对，确实是rem布局自身出了问题，那么请私信我，把还原问题场景的 demo 或者文件发给我。谢谢！本篇文章为转载内容。原文链接：https://blog.csdn.net/hjhfreshman/article/details/88864894。该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

2023-03-23 12:01:53

133

转载

转载文章

[转载]web常见攻防

...入恶意可执行网页脚本代码，当用户浏览该页之时，嵌入其中 Web 里面的脚本代码会被执行，从而可以达到攻击者盗取用户信息或其他侵犯用户安全隐私的目的。XSS 的攻击方式千变万化，但还是可以大致细分为几种类型。非持久型 XSS 非持久型 XSS 漏洞，也叫反射型 XSS 漏洞，一般是通过给别人发送带有恶意脚本代码参数的 URL，当 URL 地址被打开时，特有的恶意代码参数被 HTML 解析、执行。非持久型 XSS 举一个例子，比如你的 Web 页面中包含有以下代码： Select your language:<select><script>document.write(''+ '<option value=1>'+ location.href.substring(location.href.indexOf('default=') + 8)+ '</option>');document.write('<option value=2>English</option>');</script></select> 攻击者可以直接通过 URL 类似：https://xx.com/xx?default=<script>alert(document.cookie)</script>) 注入可执行的脚本代码。非持久型 XSS 漏洞攻击有以下几点特征：即时性，不经过服务器存储，直接通过 HTTP 的 GET 和 POST 请求就能完成一次攻击，拿到用户隐私数据。攻击者需要诱骗点击反馈率低，所以较难发现和响应修复盗取用户敏感保密信息为了防止出现非持久型 XSS 漏洞，需要确保这么几件事情： Web 页面渲染的所有内容或者渲染的数据都必须来自于服务端。尽量不要从 URL，document.referrer，document.forms 等这种 DOM API 中获取数据直接渲染。尽量不要使用 eval, new Function()，document.write()，document.writeln()，window.setInterval()，window.setTimeout()，innerHTML，document.creteElement() 等可执行字符串的方法。如果做不到以上几点，也必须对涉及 DOM 渲染的方法传入的字符串参数做 escape 转义。前端渲染的时候对任何的字段都需要做 escape 转义编码。 escape 转义的目的是将一些构成 HTML 标签的元素转义，比如 <，>，空格等，转义成 <，>，等显示转义字符。有很多开源的工具可以协助我们做 escape 转义。持久型 XSS 持久型 XSS 漏洞，也被称为存储型 XSS 漏洞，一般存在于 Form 表单提交等交互功能，如发帖留言，提交文本信息等，黑客利用的 XSS 漏洞，将内容经正常功能提交进入数据库持久保存，当前端页面获得后端从数据库中读出的注入代码时，恰好将其渲染执行。主要注入页面方式和非持久型 XSS 漏洞类似，只不过持久型的不是来源于 URL，refferer，forms 等，而是来源于后端从数据库中读出来的数据。持久型 XSS 攻击不需要诱骗点击，黑客只需要在提交表单的地方完成注入即可，但是这种 XSS 攻击的成本相对还是很高。攻击成功需要同时满足以下几个条件： POST 请求提交表单后端没做转义直接入库。后端从数据库中取出数据没做转义直接输出给前端。前端拿到后端数据没做转义直接渲染成 DOM。持久型 XSS 有以下几个特点：持久性，植入在数据库中危害面广，甚至可以让用户机器变成 DDoS 攻击的肉鸡。盗取用户敏感私密信息为了防止持久型 XSS 漏洞，需要前后端共同努力：后端在入库前应该选择不相信任何前端数据，将所有的字段统一进行转义处理。后端在输出给前端数据统一进行转义处理。前端在渲染页面 DOM 的时候应该选择不相信任何后端数据，任何字段都需要做转义处理。基于字符集的 XSS 其实现在很多的浏览器以及各种开源的库都专门针对了 XSS 进行转义处理，尽量默认抵御绝大多数 XSS 攻击，但是还是有很多方式可以绕过转义规则，让人防不胜防。比如「基于字符集的 XSS 攻击」就是绕过这些转义处理的一种攻击方式，比如有些 Web 页面字符集不固定，用户输入非期望字符集的字符，有时会绕过转义过滤规则。以基于 utf-7 的 XSS 为例 utf-7 是可以将所有的 unicode 通过 7bit 来表示的一种字符集 (但现在已经从 Unicode 规格中移除)。这个字符集为了通过 7bit 来表示所有的文字, 除去数字和一部分的符号,其它的部分将都以 base64 编码为基础的方式呈现。 <script>alert("xss")</script>可以被解释为：+ADw-script+AD4-alert(+ACI-xss+ACI-)+ADw-/script+AD4- 可以形成「基于字符集的 XSS 攻击」的原因是由于浏览器在 meta 没有指定 charset 的时候有自动识别编码的机制，所以这类攻击通常就是发生在没有指定或者没来得及指定 meta 标签的 charset 的情况下。所以我们有什么办法避免这种 XSS 呢？记住指定 XML 中不仅要指定字符集为 utf-8，而且标签要闭合牛文推荐：http://drops.wooyun.org/papers/1327 （这个讲的很详细）基于 Flash 的跨站 XSS 基于 Flash 的跨站 XSS 也是属于反射型 XSS 的一种，虽然现在开发 ActionScript 的产品线几乎没有了，但还是提一句吧，AS 脚本可以接受用户输入并操作 cookie，攻击者可以配合其他 XSS（持久型或者非持久型）方法将恶意 swf 文件嵌入页面中。主要是因为 AS 有时候需要和 JS 传参交互，攻击者会通过恶意的 XSS 注入篡改参数，窃取并操作cookie。避免方法：严格管理 cookie 的读写权限对 Flash 能接受用户输入的参数进行过滤 escape 转义处理未经验证的跳转 XSS 有一些场景是后端需要对一个传进来的待跳转的 URL 参数进行一个 302 跳转，可能其中会带有一些用户的敏感（cookie）信息。如果服务器端做302 跳转，跳转的地址来自用户的输入，攻击者可以输入一个恶意的跳转地址来执行脚本。这时候需要通过以下方式来防止这类漏洞：对待跳转的 URL 参数做白名单或者某种规则过滤后端注意对敏感信息的保护, 比如 cookie 使用来源验证。 CSRF CSRF（Cross-Site Request Forgery），中文名称：跨站请求伪造攻击那么 CSRF 到底能够干嘛呢？你可以这样简单的理解：攻击者可以盗用你的登陆信息，以你的身份模拟发送各种请求。攻击者只要借助少许的社会工程学的诡计，例如通过 QQ 等聊天软件发送的链接(有些还伪装成短域名，用户无法分辨)，攻击者就能迫使 Web 应用的用户去执行攻击者预设的操作。例如，当用户登录网络银行去查看其存款余额，在他没有退出时，就点击了一个 QQ 好友发来的链接，那么该用户银行帐户中的资金就有可能被转移到攻击者指定的帐户中。所以遇到 CSRF 攻击时，将对终端用户的数据和操作指令构成严重的威胁。当受攻击的终端用户具有管理员帐户的时候，CSRF 攻击将危及整个 Web 应用程序。 CSRF 原理下图大概描述了 CSRF 攻击的原理，可以理解为有一个小偷在你配钥匙的地方得到了你家的钥匙，然后拿着要是去你家想偷什么偷什么。 csrf原理完成 CSRF 攻击必须要有三个条件：用户已经登录了站点 A，并在本地记录了 cookie 在用户没有登出站点 A 的情况下（也就是 cookie 生效的情况下），访问了恶意攻击者提供的引诱危险站点 B (B 站点要求访问站点A)。站点 A 没有做任何 CSRF 防御你也许会问：「如果我不满足以上三个条件中的任意一个，就不会受到 CSRF 的攻击」。其实可以这么说的，但你不能保证以下情况不会发生：你不能保证你登录了一个网站后，不再打开一个 tab 页面并访问另外的网站，特别现在浏览器都是支持多 tab 的。你不能保证你关闭浏览器了后，你本地的 cookie 立刻过期，你上次的会话已经结束。上图中所谓的攻击网站 B，可能是一个存在其他漏洞的可信任的经常被人访问的网站。预防 CSRF CSRF 的防御可以从服务端和客户端两方面着手，防御效果是从服务端着手效果比较好，现在一般的 CSRF 防御也都在服务端进行。服务端的预防 CSRF 攻击的方式方法有多种，但思路上都是差不多的，主要从以下两个方面入手：正确使用 GET，POST 请求和 cookie 在非 GET 请求中增加 token 一般而言，普通的 Web 应用都是以 GET、POST 请求为主，还有一种请求是 cookie 方式。我们一般都是按照如下规则设计应用的请求： GET 请求常用在查看，列举，展示等不需要改变资源属性的时候（数据库 query 查询的时候） POST 请求常用在 From 表单提交，改变一个资源的属性或者做其他一些事情的时候（数据库有 insert、update、delete 的时候）当正确的使用了 GET 和 POST 请求之后，剩下的就是在非 GET 方式的请求中增加随机数，这个大概有三种方式来进行：为每个用户生成一个唯一的 cookie token，所有表单都包含同一个伪随机值，这种方案最简单，因为攻击者不能获得第三方的 cookie(理论上)，所以表单中的数据也就构造失败，但是由于用户的 cookie 很容易由于网站的 XSS 漏洞而被盗取，所以这个方案必须要在没有 XSS 的情况下才安全。每个 POST 请求使用验证码，这个方案算是比较完美的，但是需要用户多次输入验证码，用户体验比较差，所以不适合在业务中大量运用。渲染表单的时候，为每一个表单包含一个 csrfToken，提交表单的时候，带上 csrfToken，然后在后端做 csrfToken 验证。 CSRF 的防御可以根据应用场景的不同自行选择。CSRF 的防御工作确实会在正常业务逻辑的基础上带来很多额外的开发量，但是这种工作量是值得的，毕竟用户隐私以及财产安全是产品最基础的根本。 SQL 注入 SQL 注入漏洞（SQL Injection）是 Web 开发中最常见的一种安全漏洞。可以用它来从数据库获取敏感信息，或者利用数据库的特性执行添加用户，导出文件等一系列恶意操作，甚至有可能获取数据库乃至系统用户最高权限。而造成 SQL 注入的原因是因为程序没有有效的转义过滤用户的输入，使攻击者成功的向服务器提交恶意的 SQL 查询代码，程序在接收后错误的将攻击者的输入作为查询语句的一部分执行，导致原始的查询逻辑被改变，额外的执行了攻击者精心构造的恶意代码。很多 Web 开发者没有意识到 SQL 查询是可以被篡改的，从而把 SQL 查询当作可信任的命令。殊不知，SQL 查询是可以绕开访问控制，从而绕过身份验证和权限检查的。更有甚者，有可能通过 SQL 查询去运行主机系统级的命令。 SQL 注入原理下面将通过一些真实的例子来详细讲解 SQL 注入的方式的原理。考虑以下简单的管理员登录表单： <form action="/login" method="POST"><p>Username: <input type="text" name="username" /></p><p>Password: <input type="password" name="password" /></p><p><input type="submit" value="登陆" /></p></form> 后端的 SQL 语句可能是如下这样的： let querySQL = SELECT FROM userWHERE username='${username}'AND psw='${password}'; // 接下来就是执行 sql 语句… 目的就是来验证用户名和密码是不是正确，按理说乍一看上面的 SQL 语句也没什么毛病，确实是能够达到我们的目的，可是你只是站在用户会老老实实按照你的设计来输入的角度来看问题，如果有一个恶意攻击者输入的用户名是 zoumiaojiang’ OR 1 = 1 --，密码随意输入，就可以直接登入系统了。WFT! 冷静下来思考一下，我们之前预想的真实 SQL 语句是: SELECT FROM user WHERE username='zoumiaojiang' AND psw='mypassword' 可以恶意攻击者的奇怪用户名将你的 SQL 语句变成了如下形式： SELECT FROM user WHERE username='zoumiaojiang' OR 1 = 1 --' AND psw='xxxx' 在 SQL 中，-- 是注释后面的内容的意思，所以查询语句就变成了： SELECT FROM user WHERE username='zoumiaojiang' OR 1 = 1 这条 SQL 语句的查询条件永远为真，所以意思就是恶意攻击者不用我的密码，就可以登录进我的账号，然后可以在里面为所欲为，然而这还只是最简单的注入，牛逼的 SQL 注入高手甚至可以通过 SQL 查询去运行主机系统级的命令，将你主机里的内容一览无余，这里我也没有这个能力讲解的太深入，毕竟不是专业研究这类攻击的，但是通过以上的例子，已经了解了 SQL 注入的原理，我们基本已经能找到防御 SQL 注入的方案了。如何预防 SQL 注入防止 SQL 注入主要是不能允许用户输入的内容影响正常的 SQL 语句的逻辑，当用户的输入的信息将要用来拼接 SQL 语句的话，我们应该永远选择不相信，任何内容都必须进行转义过滤，当然做到这个还是不够的，下面列出防御 SQL 注入的几点注意事项：严格限制Web应用的数据库的操作权限，给此用户提供仅仅能够满足其工作的最低权限，从而最大限度的减少注入攻击对数据库的危害后端代码检查输入的数据是否符合预期，严格限制变量的类型，例如使用正则表达式进行一些匹配处理。对进入数据库的特殊字符（’，"，\，<，>，&，，; 等）进行转义处理，或编码转换。基本上所有的后端语言都有对字符串进行转义处理的方法，比如 lodash 的 lodash._escapehtmlchar 库。所有的查询语句建议使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到 SQL 语句中，即不要直接拼接 SQL 语句。例如 Node.js 中的 mysqljs 库的 query 方法中的 ? 占位参数。 mysql.query(SELECT FROM user WHERE username = ? AND psw = ?, [username, psw]); 在应用发布之前建议使用专业的 SQL 注入检测工具进行检测，以及时修补被发现的 SQL 注入漏洞。网上有很多这方面的开源工具，例如 sqlmap、SQLninja 等。避免网站打印出 SQL 错误信息，比如类型错误、字段不匹配等，把代码里的 SQL 语句暴露出来，以防止攻击者利用这些错误信息进行 SQL 注入。不要过于细化返回的错误信息，如果目的是方便调试，就去使用后端日志，不要在接口上过多的暴露出错信息，毕竟真正的用户不关心太多的技术细节，只要话术合理就行。碰到要操作的数据库的代码，一定要慎重，小心使得万年船，多找几个人多来几次 code review，将问题都暴露出来，而且要善于利用工具，操作数据库相关的代码属于机密，没事不要去各种论坛晒自家站点的 SQL 语句，万一被人盯上了呢？命令行注入命令行注入漏洞，指的是攻击者能够通过 HTTP 请求直接侵入主机，执行攻击者预设的 shell 命令，听起来好像匪夷所思，这往往是 Web 开发者最容易忽视但是却是最危险的一个漏洞之一，看一个实例：假如现在需要实现一个需求：用户提交一些内容到服务器，然后在服务器执行一些系统命令去产出一个结果返回给用户，接口的部分实现如下： // 以 Node.js 为例，假如在接口中需要从 github 下载用户指定的 repoconst exec = require('mz/child_process').exec;let params = {/ 用户输入的参数 /};exec(git clone ${params.repo} /some/path); 这段代码确实能够满足业务需求，正常的用户也确实能从指定的 git repo 上下载到想要的代码，可是和 SQL 注入一样，这段代码在恶意攻击者眼中，简直就是香饽饽。如果 params.repo 传入的是 https://github.com/zoumiaojiang/zoumiaojiang.github.io.git 当然没问题了。可是如果 params.repo 传入的是 https://github.com/xx/xx.git && rm -rf / && 恰好你的服务是用 root 权限起的就惨了。具体恶意攻击者能用命令行注入干什么也像 SQL 注入一样，手法是千变万化的，比如「反弹 shell 注入」等，但原理都是一样的，我们绝对有能力防止命令行注入发生。防止命令行注入需要做到以下几件事情：后端对前端提交内容需要完全选择不相信，并且对其进行规则限制（比如正则表达式）。在调用系统命令前对所有传入参数进行命令行参数转义过滤。不要直接拼接命令语句，借助一些工具做拼接、转义预处理，例如 Node.js 的 shell-escape npm 包。还是前面的例子，我们可以做到如下： const exec = require('mz/child_process').exec;// 借助 shell-escape npm 包解决参数转义过滤问题const shellescape = require('shell-escape');let params = {/ 用户输入的参数 /};// 先过滤一下参数，让参数符合预期if (!/正确的表达式/.test(params.repo)) {return;}let cmd = shellescape(['git','clone',params.repo,'/some/path']);// cmd 的值: git clone 'https://github.com/xx/xx.git && rm -rf / &&' /some/path// 这样就不会被注入成功了。exec(cmd); DDoS 攻击 DDoS 又叫分布式拒绝服务，全称 Distributed Denial of Service，其原理就是利用大量的请求造成资源过载，导致服务不可用，这个攻击应该不能算是安全问题，这应该算是一个另类的存在，因为这种攻击根本就是耍流氓的存在，「伤敌一千，自损八百」的行为。出于保护 Web App 不受攻击的攻防角度，还是介绍一下 DDoS 攻击吧，毕竟也是挺常见的。 DDoS 攻击可以理解为：「你开了一家店，隔壁家点看不惯，就雇了一大堆黑社会人员进你店里干坐着，也不消费，其他客人也进不来，导致你营业惨淡」。为啥说 DDoS 是个「伤敌一千，自损八百」的行为呢？毕竟隔壁店还是花了不少钱雇黑社会但是啥也没得到不是？DDoS 攻击的目的基本上就以下几个：深仇大恨，就是要干死你敲诈你，不给钱就干你忽悠你，不买我防火墙服务就会有“人”继续干你也许你的站点遭受过 DDoS 攻击，具体什么原因怎么解读见仁见智。DDos 攻击从层次上可分为网络层攻击与应用层攻击，从攻击手法上可分为快型流量攻击与慢型流量攻击，但其原理都是造成资源过载，导致服务不可用。网络层 DDoS 网络层 DDos 攻击包括 SYN Flood、ACK Flood、UDP Flood、ICMP Flood 等。 SYN Flood 攻击 SYN flood 攻击主要利用了 TCP 三次握手过程中的 Bug，我们都知道 TCP 三次握手过程是要建立连接的双方发送 SYN，SYN + ACK，ACK 数据包，而当攻击方随意构造源 IP 去发送 SYN 包时，服务器返回的 SYN + ACK 就不能得到应答（因为 IP 是随意构造的），此时服务器就会尝试重新发送，并且会有至少 30s 的等待时间，导致资源饱和服务不可用，此攻击属于慢型 DDoS 攻击。 ACK Flood 攻击 ACK Flood 攻击是在 TCP 连接建立之后，所有的数据传输 TCP 报文都是带有 ACK 标志位的，主机在接收到一个带有 ACK 标志位的数据包的时候，需要检查该数据包所表示的连接四元组是否存在，如果存在则检查该数据包所表示的状态是否合法，然后再向应用层传递该数据包。如果在检查中发现该数据包不合法，例如该数据包所指向的目的端口在本机并未开放，则主机操作系统协议栈会回应 RST 包告诉对方此端口不存在。 UDP Flood 攻击 UDP flood 攻击是由于 UDP 是一种无连接的协议，因此攻击者可以伪造大量的源 IP 地址去发送 UDP 包，此种攻击属于大流量攻击。正常应用情况下，UDP 包双向流量会基本相等，因此发起这种攻击的攻击者在消耗对方资源的时候也在消耗自己的资源。 ICMP Flood 攻击 ICMP Flood 攻击属于大流量攻击，其原理就是不断发送不正常的 ICMP 包（所谓不正常就是 ICMP 包内容很大），导致目标带宽被占用，但其本身资源也会被消耗。目前很多服务器都是禁 ping 的（在防火墙在可以屏蔽 ICMP 包），因此这种攻击方式已经落伍。网络层 DDoS 防御网络层的 DDoS 攻击究其本质其实是无法防御的，我们能做得就是不断优化服务本身部署的网络架构，以及提升网络带宽。当然，还是做好以下几件事也是有助于缓解网络层 DDoS 攻击的冲击：网络架构上做好优化，采用负载均衡分流。确保服务器的系统文件是最新的版本，并及时更新系统补丁。添加抗 DDos 设备，进行流量清洗。限制同时打开的 SYN 半连接数目，缩短 SYN 半连接的 Timeout 时间。限制单 IP 请求频率。防火墙等防护设置禁止 ICMP 包等。严格限制对外开放的服务器的向外访问。运行端口映射程序或端口扫描程序，要认真检查特权端口和非特权端口。关闭不必要的服务。认真检查网络设备和主机/服务器系统的日志。只要日志出现漏洞或是时间变更,那这台机器就可能遭到了攻击。限制在防火墙外与网络文件共享。这样会给黑客截取系统文件的机会，主机的信息暴露给黑客，无疑是给了对方入侵的机会。加钱堆机器。。报警。。应用层 DDoS 应用层 DDoS 攻击不是发生在网络层，是发生在 TCP 建立握手成功之后，应用程序处理请求的时候，现在很多常见的 DDoS 攻击都是应用层攻击。应用层攻击千变万化，目的就是在网络应用层耗尽你的带宽，下面列出集中典型的攻击类型。 CC 攻击当时绿盟为了防御 DDoS 攻击研发了一款叫做 Collapasar 的产品，能够有效的防御 SYN Flood 攻击。黑客为了挑衅，研发了一款 Challenge Collapasar 攻击工具（简称 CC）。 CC 攻击的原理，就是针对消耗资源比较大的页面不断发起不正常的请求，导致资源耗尽。因此在发送 CC 攻击前，我们需要寻找加载比较慢，消耗资源比较多的网页，比如需要查询数据库的页面、读写硬盘文件的等。通过 CC 攻击，使用爬虫对某些加载需要消耗大量资源的页面发起 HTTP 请求。 DNS Flood DNS Flood 攻击采用的方法是向被攻击的服务器发送大量的域名解析请求，通常请求解析的域名是随机生成或者是网络世界上根本不存在的域名，被攻击的DNS 服务器在接收到域名解析请求的时候首先会在服务器上查找是否有对应的缓存，如果查找不到并且该域名无法直接由服务器解析的时候，DNS 服务器会向其上层 DNS 服务器递归查询域名信息。域名解析的过程给服务器带来了很大的负载，每秒钟域名解析请求超过一定的数量就会造成 DNS 服务器解析域名超时。根据微软的统计数据，一台 DNS 服务器所能承受的动态域名查询的上限是每秒钟 9000 个请求。而我们知道，在一台 P3 的 PC 机上可以轻易地构造出每秒钟几万个域名解析请求，足以使一台硬件配置极高的 DNS 服务器瘫痪，由此可见 DNS 服务器的脆弱性。 HTTP 慢速连接攻击针对 HTTP 协议，先建立起 HTTP 连接，设置一个较大的 Conetnt-Length，每次只发送很少的字节，让服务器一直以为 HTTP 头部没有传输完成，这样连接一多就很快会出现连接耗尽。应用层 DDoS 防御判断 User-Agent 字段（不可靠，因为可以随意构造）针对 IP + cookie，限制访问频率（由于 cookie 可以更改，IP 可以使用代理，或者肉鸡，也不可靠) 关闭服务器最大连接数等，合理配置中间件，缓解 DDoS 攻击。请求中添加验证码，比如请求中有数据库操作的时候。编写代码时，尽量实现优化，并合理使用缓存技术，减少数据库的读取操作。加钱堆机器。。报警。。应用层的防御有时比网络层的更难，因为导致应用层被 DDoS 攻击的因素非常多，有时往往是因为程序员的失误，导致某个页面加载需要消耗大量资源，有时是因为中间件配置不当等等。而应用层 DDoS 防御的核心就是区分人与机器（爬虫），因为大量的请求不可能是人为的，肯定是机器构造的。因此如果能有效的区分人与爬虫行为，则可以很好地防御此攻击。其他 DDoS 攻击发起 DDoS 也是需要大量的带宽资源的，但是互联网就像森林，林子大了什么鸟都有，DDoS 攻击者也能找到其他的方式发起廉价并且极具杀伤力的 DDoS 攻击。利用 XSS 举个例子，如果 12306 页面有一个 XSS 持久型漏洞被恶意攻击者发现，只需在春节抢票期间在这个漏洞中执行脚本使得往某一个小站点随便发点什么请求，然后随着用户访问的增多，感染用户增多，被攻击的站点自然就会迅速瘫痪了。这种 DDoS 简直就是无本万利，不用惊讶，现在大站有 XSS 漏洞的不要太多。来自 P2P 网络攻击大家都知道，互联网上的 P2P 用户和流量都是一个极为庞大的数字。如果他们都去一个指定的地方下载数据，成千上万的真实 IP 地址连接过来，没有哪个设备能够支撑住。拿 BT 下载来说，伪造一些热门视频的种子，发布到搜索引擎，就足以骗到许多用户和流量了，但是这只是基础攻击。高级的 P2P 攻击，是直接欺骗资源管理服务器。如迅雷客户端会把自己发现的资源上传到资源管理服务器，然后推送给其它需要下载相同资源的用户，这样，一个链接就发布出去。通过协议逆向，攻击者伪造出大批量的热门资源信息通过资源管理中心分发出去，瞬间就可以传遍整个 P2P 网络。更为恐怖的是，这种攻击是无法停止的，即使是攻击者自身也无法停止，攻击一直持续到 P2P 官方发现问题更新服务器且下载用户重启下载软件为止。最后总结下，DDoS 不可能防的住，就好比你的店只能容纳 50 人，黑社会有 100 人，你就换一家大店，能容纳 500 人，然后黑社会又找来了 1000 人，这种堆人头的做法就是 DDoS 本质上的攻防之道，「道高一尺，魔高一丈，魔高一尺，道高一丈」，讲真，必要的时候就答应勒索你的人的条件吧，实在不行就报警吧。流量劫持流量劫持应该算是黑产行业的一大经济支柱了吧？简直是让人恶心到吐，不吐槽了，还是继续谈干货吧，流量劫持基本分两种：DNS 劫持和 HTTP 劫持，目的都是一样的，就是当用户访问 zoumiaojiang.com 的时候，给你展示的并不是或者不完全是 zoumiaojiang.com 提供的 “内容”。 DNS 劫持 DNS 劫持，也叫做域名劫持，可以这么理解，「你打了一辆车想去商场吃饭，结果你打的车是小作坊派来的，直接给你拉到小作坊去了」，DNS 的作用是把网络地址域名对应到真实的计算机能够识别的 IP 地址，以便计算机能够进一步通信，传递网址和内容等。如果当用户通过某一个域名访问一个站点的时候，被篡改的 DNS 服务器返回的是一个恶意的钓鱼站点的 IP，用户就被劫持到了恶意钓鱼站点，然后继而会被钓鱼输入各种账号密码信息，泄漏隐私。 dns劫持这类劫持，要不就是网络运营商搞的鬼，一般小的网络运营商与黑产勾结会劫持 DNS，要不就是电脑中毒，被恶意篡改了路由器的 DNS 配置，基本上做为开发者或站长却是很难察觉的，除非有用户反馈，现在升级版的 DNS 劫持还可以对特定用户、特定区域等使用了用户画像进行筛选用户劫持的办法，另外这类广告显示更加随机更小，一般站长除非用户投诉否则很难觉察到，就算觉察到了取证举报更难。无论如何，如果接到有 DNS 劫持的反馈，一定要做好以下几件事：取证很重要，时间、地点、IP、拨号账户、截屏、URL 地址等一定要有。可以跟劫持区域的电信运营商进行投诉反馈。如果投诉反馈无效，直接去工信部投诉，一般来说会加白你的域名。 HTTP 劫持 HTTP 劫持您可以这么理解，「你打了一辆车想去商场吃饭，结果司机跟你一路给你递小作坊的广告」，HTTP 劫持主要是当用户访问某个站点的时候会经过运营商网络，而不法运营商和黑产勾结能够截获 HTTP 请求返回内容，并且能够篡改内容，然后再返回给用户，从而实现劫持页面，轻则插入小广告，重则直接篡改成钓鱼网站页面骗用户隐私。能够实施流量劫持的根本原因，是 HTTP 协议没有办法对通信对方的身份进行校验以及对数据完整性进行校验。如果能解决这个问题，则流量劫持将无法轻易发生。所以防止 HTTP 劫持的方法只有将内容加密，让劫持者无法破解篡改，这样就可以防止 HTTP 劫持了。 HTTPS 协议就是一种基于 SSL 协议的安全加密网络应用层协议，可以很好的防止 HTTP 劫持。这里有篇文章讲的不错。HTTPS 在这就不深讲了，后面有机会我会单独好好讲讲 HTTPS。如果不想站点被 HTTP 劫持，赶紧将你的站点全站改造成 HTTPS 吧。服务器漏洞服务器除了以上提到的那些大名鼎鼎的漏洞和臭名昭著的攻击以外，其实还有很多其他的漏洞，往往也很容易被忽视，在这个小节也稍微介绍几种。越权操作漏洞如果你的系统是有登录控制的，那就要格外小心了，因为很有可能你的系统越权操作漏洞，越权操作漏洞可以简单的总结为「A 用户能看到或者操作 B 用户的隐私内容」，如果你的系统中还有权限控制就更加需要小心了。所以每一个请求都需要做 userid 的判断以下是一段有漏洞的后端示意代码： // ctx 为请求的 context 上下文let msgId = ctx.params.msgId;mysql.query('SELECT FROM msg_table WHERE msg_id = ?',[msgId]); 以上代码是任何人都可以查询到任何用户的消息，只要有 msg_id 就可以，这就是比较典型的越权漏洞，需要如下这么改进一下： // ctx 为请求的 context 上下文let msgId = ctx.params.msgId;let userId = ctx.session.userId; // 从会话中取出当前登陆的 userIdmysql.query('SELECT FROM msg_table WHERE msg_id = ? AND user_id = ?',[msgId, userId]); 嗯，大概就是这个意思，如果有更严格的权限控制，那在每个请求中凡是涉及到数据库的操作都需要先进行严格的验证，并且在设计数据库表的时候需要考虑进 userId 的账号关联以及权限关联。目录遍历漏洞目录遍历漏洞指通过在 URL 或参数中构造 …/，./ 和类似的跨父目录字符串的 ASCII 编码、unicode 编码等，完成目录跳转，读取操作系统各个目录下的敏感文件，也可以称作「任意文件读取漏洞」。目录遍历漏洞原理：程序没有充分过滤用户输入的 …/ 之类的目录跳转符，导致用户可以通过提交目录跳转来遍历服务器上的任意文件。使用多个… 符号，不断向上跳转，最终停留在根 /，通过绝对路径去读取任意文件。目录遍历漏洞几个示例和测试，一般构造 URL 然后使用浏览器直接访问，或者使用 Web 漏洞扫描工具检测，当然也可以自写程序测试。 http://somehost.com/../../../../../../../../../etc/passwdhttp://somehost.com/some/path?file=../../Windows/system.ini 借助 %00 空字符截断是一个比较经典的攻击手法http://somehost.com/some/path?file=../../Windows/system.ini%00.js 使用了 IIS 的脚本目录来移动目录并执行指令http://somehost.com/scripts/..%5c../Windows/System32/cmd.exe?/c+dir+c:\ 防御方法就是需要对 URL 或者参数进行 …/，./ 等字符的转义过滤。物理路径泄漏物理路径泄露属于低风险等级缺陷，它的危害一般被描述为「攻击者可以利用此漏洞得到信息，来对系统进一步地攻击」，通常都是系统报错 500 的错误信息直接返回到页面可见导致的漏洞。得到物理路径有些时候它能给攻击者带来一些有用的信息，比如说：可以大致了解系统的文件目录结构；可以看出系统所使用的第三方软件；也说不定会得到一个合法的用户名（因为很多人把自己的用户名作为网站的目录名）。防止这种泄漏的方法就是做好后端程序的出错处理，定制特殊的 500 报错页面。源码暴露漏洞和物理路径泄露类似，就是攻击者可以通过请求直接获取到你站点的后端源代码，然后就可以对系统进一步研究攻击。那么导致源代码暴露的原因是什么呢？基本上就是发生在服务器配置上了，服务器可以设置哪些路径的文件才可以被直接访问的，这里给一个 koa 服务起的例子，正常的 koa 服务器可以通过 koa-static 中间件去指定静态资源的目录，好让静态资源可以通过路径的路由访问。比如你的系统源代码目录是这样的： |- project|- src|- static|- ...|- server.js 你想要将 static 的文件夹配成静态资源目录，你应该会在 server.js 做如下配置： const Koa = require('koa');const serve = require('koa-static');const app = new Koa();app.use(serve(__dirname + '/project/static')); 但是如果配错了静态资源的目录，可能就出大事了，比如： // ...app.use(serve(__dirname + '/project')); 这样所有的源代码都可以通过路由访问到了，所有的服务器都提供了静态资源机制，所以在通过服务器配置静态资源目录和路径的时候，一定要注意检验，不然很可能产生漏洞。最后，希望 Web 开发者们能够管理好自己的代码隐私，注意代码安全问题，比如不要将产品的含有敏感信息的代码放到第三方外部站点或者暴露给外部用户，尤其是前端代码，私钥类似的保密性的东西不要直接输出在代码里或者页面中。也许还有很多值得注意的点，但是归根结底还是绷住安全那根弦，对待每一行代码都要多多推敲。请关注我的订阅号本篇文章为转载内容。原文链接：https://blog.csdn.net/MrCoderStack/article/details/88547919。该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

2023-01-03 14:51:12

493

转载

HTML

做html代码吗

做HTML代码是网站创建中的重要步骤。HTML（超文本标记语言）是一种用于创建网页的规范语言。创建HTML代码需要一定的基本知识和方法。 <!DOCTYPE html> <html> <head> <title>网页标题</title> </head> <body> <h1>这是顶级标题</h1> <p>这是一段文字。</p> <img src="图片地址"> </body> </html> 在HTML代码中，<!DOCTYPE html>是声明文件类型的声明，<html>元素是包括所有HTML代码的顶层元素。<head>元素包括文档的metadata，如标题和脚本。<title>元素设定了文档的标题，该元素必需包括在head元素中。<body>元素设定了HTML包括的文本内容，如文字、图片、链接等。<h1>元素是一种标题元素，h1~h6共6种级别，用于设定不同级别的标题。<p>元素设定文本段落，可以包括文字、图片、链接等。在编写HTML代码时，需要遵守语法规则，如元素必需成对出现，元素名要小写，属性值要用引号包括等。同时，也需要了解常用元素的属性和使用方法。例如，<img>元素用于显示图片，需要声明图片的地址和大小等属性；<a>元素用于创建链接，需要声明链接的地址和文本等属性。在学习HTML代码时，可以参考相关教程和文档，也可以参考其他网站的源代码，学习其结构和语法。同时，还需要不断实践，编写代码才能够更好地掌握方法和规则。

2023-05-02 11:53:31

469

码农

转载文章

[转载]prettyPhoto

...ript库，它简化了HTML文档遍历、事件处理、动画和Ajax交互，使开发者能够更快速、简洁地编写JavaScript代码，从而实现丰富的动态网页效果。在文章中，prettyPhoto插件是基于jQuery构建的，意味着开发者需要先引入jQuery核心库，才能正常使用prettyPhoto的功能。 lightbox效果 , lightbox效果是一种常见的网页设计技术，用于图片或多媒体内容的展示方式。当用户点击某个链接或图片时，会在当前页面上层以弹出窗口的形式展示大图或视频等内容，同时背景部分会变暗以突出显示焦点内容，营造沉浸式的浏览体验。prettyPhoto插件即实现了这种轻量级的lightbox效果。 AJAX（Asynchronous JavaScript and XML） , AJAX是一种创建动态网页应用的技术，允许网页在不刷新整个页面的情况下与服务器交换数据并更新部分网页内容。在prettyPhoto插件中，它支持通过AJAX加载内容，这意味着可以实现在同一个lightbox窗口内加载异步获取的数据或页面片段，为用户提供流畅的无刷新页面交互体验。

2024-01-14 22:09:23

279

转载

转载文章

[转载]Selenium-WebDriverApi介绍

...具集，主要用于自动化浏览器操作，支持多种浏览器（如Chrome、Firefox等）以及多种编程语言（如Python、Java等）。在本文中，Selenium通过webdriver接口与浏览器进行交互，实现页面加载、元素定位、属性操作、JavaScript执行等功能，为Web自动化测试提供了一套完整的解决方案。 WebDriver BiDi协议 , WebDriver BiDi (Bidirectional) 协议是Selenium 4版本引入的新特性，它使得浏览器与测试脚本之间的通信更加实时和双向。在该协议下，不仅测试脚本可以向浏览器发送指令以模拟用户操作，浏览器也能主动向测试脚本推送状态变化或事件信息，从而增强了自动化测试的响应性和灵活性。 Shadow DOM , Shadow DOM是现代Web组件技术中的一个重要概念，用于封装组件内部结构及样式，保证组件的独立性并减少全局命名空间污染。在Selenium中，强化对Shadow DOM的支持意味着能够更准确地定位和操作嵌入在Shadow DOM树中的元素，这对于针对采用Web组件技术构建的复杂应用进行自动化测试具有重要意义。持续集成（CI/CD） , 持续集成（Continuous Integration, CI）是一种软件开发实践，强调开发人员频繁地将代码更改合并到共享主分支，并通过自动化的构建和测试确保这些更改能够顺利集成。持续部署（Continuous Deployment, CD）则是指在完成测试后，自动将软件新版本部署到生产环境。文中提到的Jenkins、Travis CI等工具可与Selenium结合，在持续集成流程中执行自动化测试，确保每一次代码变更后的快速反馈与质量保障。视觉回归测试 , 视觉回归测试是一种自动化测试方法，旨在检测Web界面在不同条件下的视觉效果是否符合预期。在文中提及的Applitools Eyes、PerceptualDiff等工具，它们能配合Selenium捕获页面截图，并通过算法比较前后两次截图的差异，以此判断UI界面是否有异常变化。这种测试方式对于维护跨平台、响应式设计的网站界面一致性极其重要。

2023-12-03 12:51:11

转载

JQuery插件下载

jQuery响应式图片无缝轮播插件

...绍这款jQuery响应式图片无缝轮播插件是一款专为实现平滑、连续且无明显过渡断点的图片展示效果而设计的轻量级JavaScript工具。该插件不仅具备高度的响应式布局能力，能够根据不同的屏幕尺寸和设备类型自动调整其展示样式和行为，确保在桌面、平板和手机等各种终端上都能提供优秀的用户体验，而且特别强调了对老旧浏览器如InternetExplorer8及更高版本的良好兼容性。此插件的核心功能是将一组图片转换为背景图片并进行无缝循环播放，营造出一种无限滚动的视觉效果。开发者只需按照规定的HTML结构来组织内容，并调用相应的jQuery方法，即可轻松实现动态、吸引人的轮播图组件。另外，其简洁实用的设计理念使得配置与使用十分便捷，无需过多繁复的代码编写。总之，这款插件凭借出色的响应式特性和跨浏览器兼容性，特别是对IE8+的支持，成为网页设计师和前端开发者构建现代化网站时，优化图像展示和增强用户交互体验的理想选择。点我下载文件大小：300.96 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下：本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。若擅自商用导致的一切后果，由使用者承担责任。

2023-03-12 13:51:53

118

本站

VUE

vue后缀名.vue

...明式编程范式，并以其响应式的数据绑定和可组合的视图组件而著称，使得开发者能够更高效地创建交互式的单页应用程序。 .vue文件 , 在Vue.js开发环境中，.vue文件是一种特殊格式的文件，它将一个Vue组件的模板（HTML）、逻辑（JavaScript）和样式（CSS）整合在一个单独的文件中。Vue Loader是webpack的一个加载器，它可以解析这种单文件组件（SFC, Single File Component），并将其转换为可在浏览器中运行的代码。 Webpack , Webpack是一个流行的前端资源模块打包工具，它能处理项目中的各种静态资源（如JavaScript、CSS、图片等），并通过loader和plugins机制进行编译、转换、打包等工作。在Vue开发中，通过配置webpack及vue-loader插件，可以实现对.vue文件的解析和打包，最终生成可在浏览器环境下运行的JavaScript代码，方便Vue组件的复用和管理。

2023-01-09 09:32:33

逻辑鬼才

HTML

光头强代码html

...业人员，他们主要运用HTML、CSS和JavaScript等技术构建网站的视觉层、交互逻辑以及动态功能。在本文中，光头强就是一名优秀的前端开发工程师，他精通多种编程语言并熟练编写HTML代码来构建清晰且结构化的网页内容。 HTML , 超文本标记语言（HyperText Markup Language），是一种用于创建网页的标准标记语言，通过一系列标签（如<p>、<pre>等）来描述网页结构和内容，使浏览器能够解析并正确展示网页信息。在文章中，光头强使用HTML语言编写了段落和预格式化文本的示例代码，展示了其在前端开发中的基础性和重要性。预格式化文本 , 在HTML中，预格式化文本是指保留原始文本所有空格、换行和缩进格式的文本内容。通过使用<pre>标签可以实现预格式化文本的展示，确保源代码、诗歌、地址等需要特定格式的文本在网页上显示时保持原有格式不变。文中提到，光头强在编写HTML代码时运用了<pre>标签来清晰地展示代码片段或其他需要保持原样式的文本内容。

2023-05-13 09:23:43

468

软件工程师

CSS

css模糊半径什么意思

...样式表）的第3个主要版本，是一种用于描述网页中HTML元素样式的样式表语言。在本文语境中，CSS3引入了滤镜属性和模糊半径功能，使得开发者能够更加灵活地控制网页元素（如图片、文字和边框）的视觉效果，通过设置滤镜filter: blur(5px);来实现不同程度的模糊处理。模糊半径（Blur Radius） , 在CSS3滤镜功能中，模糊半径是一个关键参数，它决定了应用滤镜后的元素模糊程度。当为某个元素设置模糊滤镜时，通过调整模糊半径数值（例如5px），可以增强或减弱该元素的模糊效果。数值越大，模糊效果越明显，反之则模糊程度越低。浏览器前缀 , 为了兼容不同浏览器对新特性的支持差异，在编写CSS代码时可能需要添加特定前缀。例如，在使用CSS3滤镜属性时，针对Safari和Chrome等基于WebKit内核的浏览器，需在其前面加上-webkit-前缀，即 -webkit-filter: blur(5px);。这样做的目的是确保在这些浏览器中也能正确识别并应用相应的CSS样式规则，从而实现跨浏览器兼容性。

2023-01-02 20:52:05

510

逻辑鬼才

HTML

一个网站的html代码是什么

在了解了HTML代码的基本结构和一个示例网站的HTML5标准编写方式后，我们可以进一步探索网页开发的前沿技术和最佳实践。近期，W3C组织发布了最新的Web组件规范草案，这一更新有望让开发者通过自定义元素、模板和 Shadow DOM 等特性更高效地构建复用性强、维护性好的组件化网页。例如，Google的Material Design Lite和 Polymer项目就是基于Web组件技术实现的，它们提供了一系列可复用的UI组件，极大地提升了开发效率和用户体验。同时，随着互联网对无障碍访问要求的提高，HTML5中的语义化标签如、、等在SEO优化和辅助技术支持方面的价值日益凸显。根据2022年的一项研究显示，符合WCAG 2.1标准的网站不仅有助于提升搜索引擎排名，还能为视障用户提供更好的浏览体验。此外，对于初学者来说，掌握CSS Grid布局与Flexbox布局是目前网页设计的基础技能之一。这两项技术使得响应式网页设计更加灵活易控，能够适应不同屏幕尺寸和设备类型。许多在线教育资源如MDN Web Docs和W3Schools都在不断更新教程，帮助开发者跟上潮流，熟练运用这些现代前端技术。总之，在深入学习HTML代码的同时，紧跟行业发展趋势和技术革新动态，结合实战案例研究最新网页开发工具与框架，将有利于我们构建出更具交互性、兼容性和可用性的现代化网站。

2023-03-25 10:33:55

460

码农

JQuery

jquery控制input显示隐藏

...库，其设计目标是简化HTML文档遍历、事件处理、动画以及Ajax交互等操作。在本文中，JQuery通过提供便捷易用的API，如hide()、show()和toggle()函数，使得开发者能够高效地控制input元素的显示与隐藏状态。 DOM（Document Object Model） , DOM是浏览器为HTML和XML文档定义的一个编程接口，它将网页内容表示为树形结构，允许开发者通过JavaScript等脚本语言动态访问和修改页面的内容、结构和样式。在文章中提到的$(document).ready()函数就是在确保DOM完全加载后才执行相应的jQuery代码，以避免因DOM未准备好而无法找到或操作预期的元素。 JavaScript库 , JavaScript库是一系列预先编写的、可重用的JavaScript代码集合，它们通常封装了一些常用功能，旨在简化开发过程并提高开发效率。在本文语境下，JQuery即是一个JavaScript库，它提供了丰富的API，帮助开发者解决常见的Web前端问题，比如控制input元素的显示与隐藏，从而降低了直接使用原生JavaScript进行此类操作的复杂度。

2023-08-16 12:28:27

109

键盘勇士

JQuery

jquery控制当前视频播放

...ipt库是一系列预先编写的、可复用的JavaScript代码集合，用于简化和加速Web开发过程。在本文中，jQuery被定义为一种流行的JavaScript库，它提供了一种更易于理解和操作DOM元素（如HTML5 <video> 元素）的方式，通过封装复杂的JavaScript功能，使得开发者可以快速实现网页动态效果、事件处理、Ajax交互等功能，从而提高开发效率并保持代码的简洁性。 HTML5 <video> 元素 , <video> 是HTML5引入的一个核心标签，用于在网页中嵌入视频内容，无需依赖任何插件（如Flash）。这个元素允许开发者直接在浏览器中播放视频文件，并提供了丰富的API接口供JavaScript进行控制，包括播放、暂停、跳转到指定时间点、获取当前播放时间和视频总时长等。在本文中，jQuery库被用来简化对HTML5 <video> 元素的各种操作。 DOM元素选择器 , 文档对象模型（DOM）是浏览器解析HTML文档后形成的树状结构，其中每个节点代表一个HTML元素。DOM元素选择器则是JavaScript或jQuery提供的工具，允许开发者通过CSS选择器语法来选取特定的DOM元素。例如，在文中提到的var video = $( video ) 0 ;，就是使用了jQuery的选择器功能找到页面中的所有<video> 元素，并选取第一个元素实例。这种方式极大地增强了对DOM元素进行增删改查等操作的灵活性与便捷性。

2023-12-29 08:15:24

314

键盘勇士

HTML

公司网站html5源代码

...来研究一下公司网站的HTML5底层代码。首先我们启动网站，使用浏览器的开发者工具查阅底层代码，可以看到以下代码: <!DOCTYPE html> <html> <head> <meta charset="utf-8"> <title>企业名称</title> <meta name="viewport" content="width=device-width, initial-scale=1.0"> <meta name="description" content="公司网站概述"> <meta name="keywords" content="关键字1, 关键字2, 关键字3"> <link rel="stylesheet" type="text/css" href="styles.css"> </head> <body> <header> <nav> <ul> <li><a href="">菜单1</a></li> <li><a href="">菜单2</a></li> <li><a href="">菜单3</a></li> <li><a href="">菜单4</a></li> </ul> </nav> </header> <main> <section> <h1>公司简介</h1> <p>我们是一家创新广告公司，专注于为客户供给最优质的业务。</p> </section> <section> <h1>最新动态</h1> <ul> <li><a href="">动态1</a></li> <li><a href="">动态2</a></li> <li><a href="">动态3</a></li> </ul> </section> <section> <h1>业务内容</h1> <p>我们供给品牌策略、广告创意、媒体发布等业务。</p> </section> </main> <footer> <p>版权信息 © 2021 企业名称。</p> </footer> </body> </html> 这是一个基本的HTML5模板，我们可以看到一些基本的标签： <!DOCTYPE html>：规定文档类型为HTML5 <html>：顶级标签，包括网站页面的所有内容 <head>：页眉部分，包括网站页面的元数据和样式 <body>：网站页面的主体内容 <header>：网站页面的页眉部分，通常包括菜单栏等 <nav>：菜单栏 <main>：网站页面的主体内容区域 <section>：主体内容区域中的块级区域 <h1>：题目 <p>：文本段落 <a>：链接地址 <ul>：项目列表 <li>：项目符号 <footer>：网站页面的页脚部分通过研究这些基本的HTML5标签，我们可以更好地理解公司网站的底层代码，也可以更好地掌握HTML5的基础知识。

2023-11-14 23:39:03

529

算法侠

JQuery

jquery插件库使用教程交流

...开发者可以将这些预先编写好的代码模块直接应用到项目中，以快速实现特定功能，减少重复开发工作，并提升整体项目的开发效率和质量。 GitHub仓库 , GitHub是一个面向开源及私有软件项目的托管平台，其中的“仓库”（Repository）是指用于存储项目源代码、文档、问题追踪等功能的空间。在本文上下文中，每个jQuery插件通常都有自己的GitHub仓库，用户可以在这个平台上查看插件源码，提交问题报告（issue），与插件作者或其他贡献者进行交流和合作，共同维护和改进插件。 $(document).ready()函数 , 在jQuery框架中，$(document).ready()是一个核心函数，表示DOM（Document Object Model）结构加载完毕后触发的回调函数。在网页中使用该函数，可以确保在此函数内部执行的所有JavaScript代码都在HTML元素完全加载并解析之后运行，从而避免因元素未加载完成导致的操作错误或功能失效。在文章中，当需要初始化jQuery插件时，通常会将其放置于$(document).ready()函数内执行，以确保插件作用于完整的页面元素上。

2023-05-31 19:01:22

669

电脑达人

JQuery

jquery控制div块隐藏

...jQuery 3.6版本发布，继续优化性能并保持向后兼容性，同时强调了对现代浏览器特性的支持，这意味着即使在不依赖jQuery的情况下也能写出高性能代码，但在简化DOM操作、事件处理等方面，jQuery依然发挥着无可替代的作用。总结来说，从基础的div块显示隐藏到复杂的UI交互构建，再到响应式设计与无障碍访问，JQuery及其理念在不断演进的Web开发世界中持续发挥价值。通过持续关注相关领域的最新动态和技术发展，我们可以更好地利用JQuery及其他前端工具提升网站互动性和用户体验。

2023-01-31 18:25:30

373

软件工程师

AngularJS

AngularJS组件化开发：实现单一职责原则，使用NgModule与自定义指令的最佳实践

...gularJS的迭代版本）的广泛采用，其对组件化的支持更加成熟和完善。Angular提倡使用@Component装饰器创建可复用的组件，并通过模块化机制实现更精细的代码组织和依赖管理。此外，React和Vue等其他主流前端框架同样强调组件化开发的重要性，它们各自独特的设计哲学为开发者提供了更多元化的组件化实现方案。例如，React中的函数组件和 hooks 的引入使得组件逻辑更易于理解和维护，而Vue则凭借其直观的模板语法和响应式数据绑定机制，在组件化方面展现出高效易用的特点。值得关注的是，Web Components标准也在不断发展，它为浏览器原生层面提供了一套跨框架的组件化解决方案。这意味着未来开发者编写的组件可以在任何遵循此标准的框架中无缝集成，极大地提高了代码复用性和项目协作效率。综上所述，了解并掌握AngularJS乃至现代前端框架中的组件化开发方式，结合最新技术动态及最佳实践，无疑将使我们在构建复杂单页面应用时如虎添翼，持续提升开发效率和应用质量。同时，紧跟行业发展趋势，不断更新知识体系，也是每一位前端开发者保持竞争力的关键所在。

2023-01-15 10:15:11

389

月下独酌-t

HTML

代码写的html网红钟表

HTML , 超文本标记语言（HyperText Markup Language），是一种用于创建网页的标准标记语言，通过标签来组织和格式化网页内容，并可以嵌入如JavaScript等脚本语言以实现动态功能。在本文中，作者使用HTML编写了网红钟表的基本结构，定义了时钟各部分的div元素及其属性。 CSS3 , 层叠样式表第3级（Cascading Style Sheets Level 3），是CSS规范的一个版本，为网页提供丰富的样式控制，包括颜色、布局、字体和动画等效果。文中作者运用CSS3技术设计了网红钟表的样式，例如设置背景色、边框圆角、定位以及旋转动画等，以达到时尚且实用的视觉效果。 JavaScript , 一种广泛应用于网页客户端编程的解释型脚本语言，它使得网页能够对用户交互做出响应并实现动态更新。在这篇文章中，JavaScript代码负责获取系统当前时间，并计算出时针、分针和秒针应有的旋转角度，然后通过修改DOM元素的style.transform属性值，实时更新HTML中的钟表指针位置，从而实现了动态显示时间的功能。 setInterval , JavaScript内置函数，用于按照指定的毫秒间隔重复执行某段函数。文中，setInterval被用来每秒钟调用一次setTime函数，确保了网红钟表能持续获取并反映当前的准确时间。 transform: rotate , CSS3中的transform属性及rotate方法，允许开发者对元素进行2D或3D变换操作。在文章中，作者利用transform: rotate($ angle deg)这一CSS规则来动态改变时钟指针（小时、分钟、秒针）的旋转角度，使其能够随时间变化而转动。

2023-12-18 18:42:28

505

编程狂人

Bootstrap

Bootstrap 5下拉菜单无法收回？使用data-bs-toggle属性实现正确收回方法解析

...帮助开发者快速地开发响应式的网站和Web应用。它的设计理念就是要把复杂的网页制作过程变得像玩儿似的轻松简单，让每一位Web开发人员，无论新手老手，都能轻轻松松地捣鼓出既好看又功能强大的网页来。在我们的日常工作中，我们经常会使用到下拉菜单这种交互元素。嘿，你知道吗？当你在用Bootstrap 5捣鼓下拉菜单的时候，可能会遇到一个让人挠头的小状况——辛辛苦苦创建的下拉菜单，关键时刻却没法顺利地收回去。这个问题可能会给我们的工作带来一些小麻烦，所以今天我想借这个机会，和大伙儿一块儿琢磨琢磨，看看怎么把它给解决了哈！接下来，我会通过一个具体的实例来详细解释这个问题以及解决方案。假设我们要创建一个下拉菜单，其内容包括“主页”、“关于我们”、“联系我们”三个选项。我们可以在HTML文件中编写如下代码： html 下拉菜单主页关于我们联系我们这段代码会生成一个下拉菜单，并显示“主页”、“关于我们”、“联系我们”三个选项。但是，当我们试着点了一下下拉菜单那个小按钮，嘿，你猜怎么着？菜单竟然没缩回去，反而倔强地挂在屏幕底部，始终不肯离开视线。这是因为在Bootstrap 5中，data-toggle="dropdown"这个属性的作用是用来触发下拉菜单的打开和关闭。但是在我们的例子中，我们没有正确地配置这个属性。为了使下拉菜单能够正常地收回，我们需要将data-toggle="dropdown"修改为data-bs-toggle="dropdown"。这是因为Bootstrap 5改变了这一属性的命名方式，从data-toggle改为了data-bs-toggle。更改后的代码如下所示： html 下拉菜单主页关于我们联系我们这样，当我们在浏览器中运行这段代码时，就可以看到下拉菜单能够在点击按钮后成功地打开和收回了。总的来说，虽然Bootstrap 5带来了很多方便的功能，但是在实际使用过程中，我们还是需要注意一些细节问题。就拿这个例子来说吧，我们要知道Bootstrap 5这位小哥对一些常用的属性名字做了些小改动，这样一来，我们在使用这些属性的时候，就得紧跟潮流，按照它最新版本的规则来调整啦。希望这篇文章能帮助你更好地理解和使用Bootstrap 5，如果你还有其他的问题或者疑惑，欢迎留言和我一起讨论。让我们一起学习，共同进步！

2023-12-02 15:43:55

558

彩虹之上_t

Bootstrap

Bootstrap 5 下拉菜单无法收回：定位属性冲突与性能解决方案，兼顾浏览器兼容性与滚动条优化

... 框架，用于快速构建响应式网站和 Web 应用程序。它提供了丰富的预定义 HTML 类、JavaScript 插件以及设计模板，使开发者能够便捷地创建出风格统一且功能完善的网页元素，如导航栏、下拉菜单、按钮、表单等。在本文的语境中，Bootstrap 5 版本被用来构建下拉菜单，并通过其预设类（如 .dropdown 和 .dropdown-menu）实现菜单的显示与隐藏。 CSS 样式的冲突 , CSS（层叠样式表）样式冲突是指在同一网页中，针对同一 HTML 元素应用了多条相互矛盾或抵消的 CSS 规则，导致浏览器无法确定究竟应采用哪一条规则来渲染该元素样式的现象。在文章中，由于开发者可能为 Bootstrap 的下拉菜单添加了特定的 CSS 定位属性（例如 position: fixed 或 overflow: hidden），这些额外的样式可能会与 Bootstrap 内置的下拉菜单行为产生冲突，进而导致下拉菜单无法正常收回。浏览器兼容性问题 , 浏览器兼容性问题是前端开发过程中经常遇到的问题，指的是网页在不同浏览器上展示效果不一致或者某些功能无法正常使用的情况。由于各大浏览器厂商对 Web 标准的理解和实现存在差异，对于同一种 CSS 属性、JavaScript API 等的支持程度和方式可能存在不同，这可能导致基于某一浏览器编写的代码在其他浏览器上无法正确执行或渲染。在本文中，解决 Bootstrap 下拉菜单无法收回的问题时，考虑到了浏览器兼容性因素，并推荐使用 BrowserStack 这样的工具进行跨浏览器测试以确保页面在各种浏览器上的表现一致性。

2023-02-17 13:08:07

510

梦幻星空_t

知识学习

实践的时候请根据实际情况谨慎操作。

随机学习一条linux命令：

xz -d file.txt.xz - 解压xz格式的压缩文件。