[项目打包时同步更新依赖的Gradle命令]的搜索结果

Gradle打包时如何正确包含依赖包? 当我们使用Gradle进行项目构建时，依赖管理是一项至关重要的任务。在我们日常开发过程中，经常会干这么一件事：为了给项目添砖加瓦，或者让开发速度嗖嗖提升，我们会引入各种第三方库来帮忙。这些库就像是我们的得力助手，让项目功能更强大，开发过程更省时省力。好嘞，那么问题来了，我们到底该怎样在打包这一步就把这些依赖包一个不落地给捎上呢？接下来，咱就一起手拉手，深入Gradle的世界，摸清楚怎么妥善管理这些依赖，确保打包全程顺顺利利的吧！ 1. 添加依赖到build.gradle文件 首先，你需要在你的项目模块下的build.gradle文件中声明和配置所需的依赖项。例如，如果你正在创建一个Java项目，并需要添加Apache Commons Lang库作为依赖，你可以这样做： groovy // 在你的module级别的build.gradle文件中 dependencies { implementation 'org.apache.commons:commons-lang3:3.12.0' // 这是一个示例依赖，版本号请根据实际情况调整 } 这里的implementation是Gradle的一种依赖范围，表示该依赖对于当前模块内部是可见的，但在编译生成的库或应用中将不会暴露给其他依赖此模块的项目。当然，还有其他的依赖范围，如api、compileOnly等，具体选择哪种取决于你的项目需求。 2. 使用Gradle命令同步依赖 添加了依赖后，我们需要让Gradle下载并同步这些依赖到本地仓库。这可以通过运行以下命令实现： bash $ gradle build --refresh-dependencies --refresh-dependencies标志会强制Gradle重新下载所有依赖，即使它们已经在本地缓存中存在。当首次添加依赖或更新依赖版本时，这个步骤至关重要。 3. 配置打包插件以包含依赖 为了确保依赖包能够被打包进最终的产品（如jar或war），你需要配置对应的打包插件。例如，对于Java项目，我们通常会用到java或application插件，而对于Web应用，可能会用到war插件。 groovy // 应用application插件以创建可执行的JAR，其中包含了所有依赖 apply plugin: 'application' // 或者，对于web应用，应用war插件 apply plugin: 'war' // 配置mainClass（仅对application插件有效） mainClassName = 'com.example.Main' // 确保构建过程包含所有依赖 jar { from { configurations.runtimeClasspath.collect { it.isDirectory() ? it : zipTree(it) } } } // 对于war插件，无需特殊配置，它会自动包含所有依赖 这段代码的作用是确保在构建JAR或WAR文件时，不仅包含你自己的源码编译结果，还包含所有runtimeClasspath上的依赖。 4. 深入理解依赖管理和打包机制 当你完成上述步骤后，Gradle将会在打包过程中自动处理依赖关系，并将必要的依赖包含在内。不过，在实际动手操作的时候，免不了会碰到些复杂状况。就好比在多个模块的项目间，它们之间的依赖关系错综复杂，像传球一样互相传递；又或者有时候你得像个侦探，专门找出并排除那些特定的、不需要的依赖项，这些情况都是有可能出现的。 这里有一个思考点：Gradle的强大之处在于其智能的依赖解析和冲突解决机制。当你在为各个模块设定依赖关系时，Gradle这个小帮手会超级聪明地根据每个依赖的“身份证”（也就是group、name和version）以及它们的依赖范围，精心挑选出最合适、最匹配的版本，然后妥妥地将它打包进构建出来的最终产物里。所以呢，摸清楚Gradle里面的依赖管理和生命周期这俩玩意儿，就等于在打包的时候给咱装上了一双慧眼，能更溜地驾驭这些依赖项的行为，让它们乖乖听话。 总结来说，通过在build.gradle文件中明确声明依赖、适时刷新依赖、以及合理配置打包插件，我们可以确保Gradle在打包阶段能准确无误地包含所有必要的依赖包。在实际动手捣鼓和不断尝试的过程中，你会发现Gradle这个超级灵活、威力强大的构建神器，不知不觉间已经给我们的工作带来了很多意想不到的便利，让事情变得更加轻松简单。

...发者头疼的问题——在Gradle构建脚本中使用了不支持的边缘计算库。这个问题不仅影响项目的构建效率，还可能导致一些不可预见的错误。我最近碰到了这么个事儿，想跟大家聊聊我的经历还有我是怎么解决的。 2. 问题背景 我遇到的麻烦 事情是这样的，我在开发一个项目时，需要用到一个最新的边缘计算库来提升数据处理能力。当时觉得这个库非常棒，因为它能显著提高边缘设备的数据处理速度。所以我兴奋地把库加到了项目的依赖里，然后满怀期待地敲下了gradle build命令。然而，结果却让我大跌眼镜——项目构建失败了！ groovy // 我在build.gradle文件中的依赖部分添加了这个边缘计算库 dependencies { implementation 'com.edge:edge-computing-lib:1.0.0' } 3. 初步调查 发现问题所在 开始我以为是库本身有问题，于是花了大半天时间查阅官方文档和GitHub上的Issue。但最终发现，问题出在我自己的Gradle配置上。原来，这个边缘计算库版本太新，还不被当前的Gradle版本所支持。这下子我明白了，问题的关键在于版本兼容性。 groovy // 查看Gradle版本 task showGradleVersion << { println "Gradle version is ${gradle.gradleVersion}" } 4. 探索解决方法 寻找替代方案 既然问题已经定位，接下来就是想办法解决它了。我想先升级Gradle版本，不过转念一想，其他依赖的库也可能有版本冲突的问题。所以，我还是先去找个更稳当的边缘计算库试试吧。 经过一番搜索，我发现了一个较为成熟的边缘计算库，它不仅功能强大，而且已经被广泛使用。于是我把原来的依赖替换成了新的库，并更新了Gradle的版本。 groovy // 在build.gradle文件中修改依赖 dependencies { implementation 'com.stable:stable-edge-computing-lib:1.2.3' } // 更新Gradle版本到最新稳定版 plugins { id 'org.gradle.java' version '7.5' } 5. 实践验证 看看效果如何 修改完之后，我重新运行了gradle build命令。这次，项目终于成功构建了！我兴奋地打开了IDE，查看了运行日志，一切正常。虽说新库的功能跟原来计划的有点出入，但它的表现真心不错，又快又稳。这次经历让我深刻认识到，选择合适的工具和库是多么重要。 groovy // 检查构建是否成功 task checkBuildSuccess << { if (new File('build/reports').exists()) { println "Build was successful!" } else { println "Build failed, check the logs." } } 6. 总结与反思 这次经历给我的启示 通过这次经历，我学到了几个重要的教训。首先，你得注意版本兼容性这个问题。在你添新的依赖前，记得看看它的版本，还得确认它跟你的现有环境合不合得来。其次，面对问题时，保持冷静和乐观的态度非常重要。最后，多花时间研究和测试不同的解决方案，往往能找到更好的办法。 希望我的分享对你有所帮助，如果你也有类似的经历或者有更好的解决方案，欢迎留言交流。让我们一起努力，成为更好的开发者吧！ --- 好了，以上就是我关于“构建脚本中使用了不支持的边缘计算库”的全部分享。希望你能从中获得一些启发和帮助。如果你有任何疑问或者建议，随时欢迎与我交流。

...行失败：构建任务在 Gradle 中的挑战与解决之道 引言 在软件开发的世界里，构建系统是一个至关重要的环节，它负责将源代码转换为可运行的应用程序。而 Gradle，作为一种强大的构建自动化工具，以其灵活性和可扩展性赢得了众多开发者的心。然而，在实际使用中，我们可能会遇到一些意料之外的问题，比如构建任务执行失败，这包括编译错误、打包失败或是测试未通过等。嘿，兄弟！这篇好东西是为你准备的，咱们要一起深度探索这个话题，从发现问题开始，一路找寻解决之道，让你在Gradle构建的路上畅通无阻，轻松解开那些可能让你头疼的谜题。跟上我，咱们一起玩转代码世界！ 问题识别：理解构建失败的信号 在 Gradle 中，构建失败通常伴随着具体的错误信息，这些信息是解决问题的关键线索。例如： groovy FAILURE: Build failed with an exception. What went wrong: Could not resolve all files for configuration ':app:releaseClasspath'. 这段错误信息告诉我们，Gradle 在尝试构建应用时遇到了无法解析所有指定的类路径文件的问题。这种失败可能是由于依赖冲突、版本不兼容或是网络问题导致的。 分析原因：深入问题的核心 构建失败的原因多种多样，以下是一些常见的原因及其分析： - 依赖冲突：项目中多个模块或外部库之间存在版本冲突。 - 版本不兼容：依赖的某个库的版本与项目本身或其他依赖的版本不匹配。 - 网络问题：Gradle 无法从远程仓库下载所需的依赖，可能是由于网络连接问题或远程服务器访问受限。 - 配置错误：Gradle 的构建脚本中可能存在语法错误或逻辑错误，导致构建过程无法正常进行。 解决策略：逐步排查与修复 面对构建失败的情况，我们可以采取以下步骤进行排查与修复： 1. 检查错误日志 仔细阅读错误信息，了解构建失败的具体原因。 2. 清理缓存 使用 gradlew clean 命令清除构建缓存，有时候缓存中的旧数据可能导致构建失败。 3. 更新依赖 检查并更新所有依赖的版本，确保它们之间不存在冲突或兼容性问题。 4. 调整网络设置 如果错误信息指向网络问题，尝试更换网络环境或调整代理设置。 5. 验证构建脚本 审查 .gradle 文件夹下的 build.gradle 或 build.gradle.kts 文件，确保没有语法错误或逻辑上的疏漏。 6. 使用调试工具 利用 Gradle 提供的诊断工具或第三方工具（如 IntelliJ IDEA 的 Gradle 插件）来辅助定位问题。 示例代码：实践中的应用 下面是一个简单的示例，展示了如何在 Gradle 中配置依赖管理，并处理可能的构建失败情况： groovy plugins { id 'com.android.application' version '7.2.2' apply false } android { compileSdkVersion 31 buildToolsVersion "32.0.0" defaultConfig { applicationId "com.example.myapp" minSdkVersion 21 targetSdkVersion 31 versionCode 1 versionName "1.0" } buildTypes { release { minifyEnabled false proguardFiles getDefaultProguardFile('proguard-android-optimize.txt'), 'proguard-rules.pro' } } } dependencies { implementation 'androidx.appcompat:appcompat:1.4.2' implementation 'com.google.android.material:material:1.4.0' } // 简单的构建任务配置，用于演示 task checkDependencies(type: Check) { description = 'Checks dependencies for any issues.' classpath = configurations.compile.get() } 在这个示例中，我们定义了一个简单的 Android 应用项目，并添加了对 AndroidX 库的基本依赖。哎呀，你这项目里的小伙伴们都还好吗？对了，咱们有个小任务叫做checkDependencies，就是专门用来查一查这些小伙伴之间是不是有啥不和谐的地方。这事儿挺重要的，就像咱们定期体检一样，能早点发现问题，比如某个小伙伴突然闹脾气不干活了，或者新来的小伙伴和老伙计们不太合拍，咱都能提前知道，然后赶紧处理，不让事情闹得更大。所以，这个checkDependencies啊，其实就是咱们的一个小预防针，帮咱们防患于未然，确保项目运行得顺溜溜的！ 结语 构建过程中的挑战是编程旅程的一部分，它们不仅考验着我们的技术能力，也是提升解决问题技巧的机会。通过细致地分析错误信息、逐步排查问题，以及灵活运用 Gradle 提供的工具和资源，我们可以有效地应对构建失败的挑战。嘿！兄弟，听好了，每次你栽跟头，那都不是白来的。那是你学习、进步的机会，让咱对这个叫 Gradle 的厉害构建神器用得更溜，做出超级棒的软件产品。别怕犯错，那可是通往成功的必经之路！

Gradle打包时如何正确包含依赖包? 当我们使用Gradle作为构建工具时，一个至关重要的环节就是处理项目中的依赖关系。在本文里，咱们要来好好唠唠，在Gradle打包这事儿上，怎么才能又准又溜地把依赖包塞进来，让你的项目能顺顺利利编译运行，一点儿都不带卡壳的。 1. 理解Gradle依赖管理 首先，Gradle的依赖管理机制非常强大，它允许我们以声明式的方式定义项目所需的各种库（或称依赖）。这些依赖项，你可以从本地的文件夹、Maven那个大仓库、Ivy的存储地，甚至其他远在天边的远程仓库里通通把它们捞出来。理解这一点是正确配置和打包依赖的关键。 1.1 在build.gradle文件中声明依赖 每个Gradle项目都有一个或多个build.gradle文件，这是配置项目构建过程的地方。在这里，我们可以用groovy或者kotlin DSL来声明依赖。例如： groovy dependencies { // 声明一个Java项目的编译期依赖 implementation 'com.google.guava:guava:30.1-jre' // 声明测试相关的依赖 testImplementation 'junit:junit:4.13.2' // 声明运行时需要但编译时不需要的依赖 runtimeOnly 'mysql:mysql-connector-java:8.0.26' } 上述代码中，我们在dependencies块内通过implementation、testImplementation和runtimeOnly等方式分别指定了不同类型的依赖。 2. 控制依赖范围与传递性 2.1 依赖范围 Gradle为依赖提供了多种范围，如implementation、api、compileOnly等，用于控制依赖在编译、测试及运行阶段的作用域。比方说，implementation这个家伙的作用，就好比你有一个小秘密，只告诉自己模块内部的成员，不会跑去跟依赖它的其他模块小伙伴瞎嚷嚷。但是，当你用上api的时候，那就相当于你不仅告诉了自家模块的成员，还大方地把这个接口分享给了所有下游模块的朋友。 2.2 依赖传递性 默认情况下，Gradle具有依赖传递性，即如果A模块依赖B模块，而B模块又依赖C模块，那么A模块间接依赖了C模块。有时我们需要控制这种传递性，可以通过transitive属性进行设置： groovy dependencies { implementation('org.hibernate:hibernate-core:5.6.9.Final') { transitive = false // 禁止传递依赖 } } 3. 使用定制化仓库 除了标准的Maven中央仓库，我们还可以添加自定义的仓库地址来下载依赖包： groovy repositories { mavenCentral() // 默认的Maven中央仓库 maven { url 'https://maven.example.com/repo' } // 自定义仓库 } 4. 打包时包含依赖 当执行gradle build命令时，Gradle会自动处理并包含所有已声明的依赖。对于Java应用，使用jar任务打包时，默认并不会将依赖打进生成的jar文件中。若需将依赖包含进去，可采用如下方式： groovy task fatJar(type: Jar) { archiveBaseName = 'my-fat-app' from { configurations.runtimeClasspath.collect { it.isDirectory() ? it : zipTree(it) } } with jar } 这段代码创建了一个名为fatJar的任务，它将运行时依赖一并打包进同一个jar文件中，便于部署和运行。 总结来说，掌握Gradle依赖管理的核心在于理解其声明式依赖配置以及对依赖范围、传递性的掌控。同时，咱们在打包的时候，得瞅准实际情况，灵活选择最合适的策略把依赖项一并打包进去，这样才能保证咱们的项目构建既一步到位，又快马加鞭，准确高效没商量。在整个开发过程中，Gradle就像个超级灵活、无比顺手的工具箱，让开发者能够轻轻松松解决各种乱七八糟、错综复杂的依赖关系难题，真可谓是个得力小助手。

Gradle , 一种强大的构建工具，用于管理项目的依赖关系、编译代码以及生成最终的应用程序。在React Native项目中，Gradle负责将JavaScript代码转换为原生代码，并打包成APK（Android）或IPA（iOS）文件。如果Gradle配置出现问题，例如版本不匹配、环境变量未正确设置或者缓存故障，可能会导致App无法成功安装到模拟器上。 环境变量 , 操作系统中的一种机制，允许存储某些信息以便进程访问。在React Native开发中，环境变量通常用于指定开发所需的路径，例如Android SDK的位置。如果环境变量未正确配置，Gradle将无法找到必要的工具，从而引发构建失败的问题。文中提到需要设置ANDROID_HOME变量指向Android SDK的实际位置，并将其加入系统的PATH变量中，这样才能确保Gradle能够顺利运行。 缓存问题 , Gradle具有缓存机制，用于存储已经下载的依赖项以加快后续构建过程。然而，当某个依赖项下载失败时，Gradle可能会陷入反复尝试下载的状态，进而导致构建失败。为了解决这类问题，可以使用Gradle提供的清理命令清除缓存，例如通过进入项目根目录下的android文件夹并执行./gradlew clean来清理Gradle缓存，然后重新尝试构建项目。

...例代码帮助你理解如何更新Leptonica库以更好地利用Tesseract。 2. 了解Tesseract与Leptonica的关系 Tesseract的核心功能实现离不开辅助库的支持，其中Leptonica库就是不可或缺的一部分。Leptonica是一个用于图像处理和分析的C库，为Tesseract提供图像预处理和后处理功能，如二值化、降噪、边界检测等，这些对于提升Tesseract的OCR精度至关重要。当Leptonica版本过旧时，可能无法支持Tesseract新特性或导致兼容性问题。 3. “Outdated version of Leptonica library”问题的产生与影响 假设你正在尝试使用最新的Tesseract版本进行OCR识别，但在编译或运行时，系统提示“Outdated version of Leptonica library”。这就意味着你当前环境中的Leptonica版本有点过时了，跟不上你现在Tesseract版本的步伐。它可能没法提供所有需要的功能，甚至有可能会让程序闹脾气、罢工崩溃。 示例代码： bash ./configure --prefix=/usr/local --with-extra-libraries=/usr/local/lib/liblept.so.5 在这个配置阶段，如果发现/usr/local/lib/liblept.so.5是旧版Leptonica库文件，就可能出现上述问题。 4. 更新Leptonica库至最新版 解决这个问题的关键在于更新Leptonica到与Tesseract兼容的新版本。以下是一段详细的操作步骤： a. 首先，访问Leptonica项目的官方GitHub仓库（https://github.com/DanBloomberg/leptonica），查看并下载最新稳定版源码包。 b. 解压并进入源码目录，执行如下命令编译和安装： bash ./autobuild ./configure make sudo make install c. 安装完毕后，确认新版Leptonica是否已成功安装： bash leptinfo -v d. 最后，重新配置和编译Tesseract，指向新的Leptonica库路径，确保二者匹配： bash ./configure --prefix=/usr/local --with-extra-libraries=/usr/local/lib/liblept.so. make sudo make install 5. 结论与思考 通过以上操作，我们可以有效地解决“Outdated version of Leptonica library”带来的问题，让Tesseract得以在最新Leptonica的支持下更高效、准确地进行OCR识别。在这一整个过程中，我们完全可以亲身感受到，软件生态里的各个部分就像拼图一样密不可分，而且啊，及时给这些依赖库“打补丁”，那可是至关重要的。每一次我们更新版本，那不仅仅意味着咱们技术水平的升级、性能更上一层楼，更是实实在在地在为开发者们精心雕琢，让他们的使用体验越来越顺溜、越来越舒心，这是我们始终如一的追求。所以，兄弟们，咱们得养成一个好习惯，那就是定期检查并更新那些依赖库，这样才能够把像Tesseract这样的神器效能发挥到极致，让它们在咱们的项目开发和创新过程中大显身手，帮咱们更上一层楼。

...SpringBoot项目进行打包之后，我们进一步了解这一过程的相关技术和实践。近期，随着SpringBoot 2.5版本的发布，其在构建和打包方面引入了一些新特性与优化。例如，Spring Boot Maven插件现在支持自定义 layered JARs，这有助于满足更严格的容器需求，并允许在容器环境中解压层叠jar以节省空间和提高启动速度。 此外，对于云原生应用部署场景，Spring Boot也增强了对容器化工具Docker的支持，用户可以通过Maven或Gradle构建直接生成Docker镜像，简化了将SpringBoot应用部署到Kubernetes或其他容器环境的过程。例如，在pom.xml文件中配置spring-boot-maven-plugin的dockerBuild目标，可以自动化地完成从打包到构建Docker镜像的全流程。 同时，针对依赖管理，Spring Boot团队持续改进了依赖解析策略，确保开发者能更好地控制哪些依赖应包含在最终构建产物中，从而避免运行时依赖缺失的问题。为此，建议开发者密切关注Spring Boot官方文档及更新日志，以便及时掌握最新打包技术动态，提升开发效率并确保应用部署稳定可靠。

Gradle在持续集成中的使用 1. 引言 在现代软件开发过程中，持续集成（Continuous Integration, CI）作为一种重要的实践策略，它通过自动化构建和测试代码，确保每一次的变更都能够快速、可靠地整合到主分支中。Gradle这款构建工具，可以说是相当灵活、威力强大，在持续集成这个大家伙的工作链中，它可是起着不可或缺的关键作用。本文将深入探讨Gradle如何助力实现高效的持续集成流程，并结合实例进行详细说明。 2. Gradle简介 Gradle是一款基于Groovy或Kotlin DSL的开源构建工具，其灵活性与可扩展性深受开发者喜爱。你知道吗，跟那些老派的Maven和Ant不太一样，Gradle这个小家伙玩得更溜。它支持声明式和命令式混合编程模型，这就意味着你可以用一种既简单又强大的方式来编写构建脚本，就像魔法一样，让你轻松实现各种构建需求。这种特性让Gradle在应对复杂的项目构建难题，管理各种乱七八糟的依赖关系，以及处理多个项目同步构建时，简直就像个超能英雄，表现出色得不得了！尤其在持续集成这种高要求的环境下，它更是能够大显身手，发挥出令人惊艳的作用。 3. Gradle在持续集成中的关键作用 - 自动化构建：Gradle允许我们定义清晰、模块化的构建逻辑，包括编译、打包、测试等任务。例如： groovy task buildProject(type: Copy) { from 'src/main' into 'build/dist' include '/.java' doLast { println '项目已成功构建!' } } 上述代码定义了一个buildProject任务，用于从源码目录复制Java文件到构建输出目录。 - 依赖管理：Gradle拥有先进的依赖管理机制，能自动下载并解析项目所需的库文件，这对于持续集成中的频繁构建至关重要。例如： groovy dependencies { implementation 'org.springframework.boot:spring-boot-starter-web:2.5.4' testImplementation 'junit:junit:4.13.2' } 这段代码声明了项目的运行时依赖以及测试依赖。 - 多项目构建：对于大型项目，Gradle支持多项目构建，可以轻松应对复杂的模块化结构，便于在持续集成环境下按需构建和测试各个模块。 4. Gradle与CI服务器集成 在实际的持续集成流程中，Gradle常与Jenkins、Travis CI、CircleCI等CI服务器无缝集成。比如在Jenkins中，我们可以配置一个Job来执行Gradle的特定构建任务： bash Jenkins Job 配置示例 Invoke Gradle script: gradle clean build 当代码提交后，Jenkins会自动触发此Job，执行Gradle命令完成项目的清理、编译、测试等一系列构建过程。 5. 结论与思考 Gradle凭借其强大的构建能力和出色的灵活性，在持续集成实践中展现出显著优势。无论是把构建流程化繁为简，让依赖管理变得更溜，还是能同时hold住多个项目的构建，都实实在在地让持续集成工作跑得更欢、掌控起来更有底气。随着项目越做越大，复杂度越来越高，要想玩转持续集成，Gradle这门手艺可就得成为每位开发者包包里的必备神器了。理解它，掌握它，就像解锁了一个开发新大陆，让你在构建和部署的道路上走得更稳更快。不过呢，咱们也得把注意力转到提升构建速度、优化缓存策略这些点上，这样才能让持续集成的效果和效率更上一层楼。毕竟，让Gradle在CI中“跑得更快”，才能更好地赋能我们的软件开发生命周期。

...构建工具。它的模块化打包功能超级强大，而且插件机制灵活得不得了，这让我们能够轻轻松松应对各种千奇百怪、复杂的构建需求，一点儿也不费劲儿。今天，咱们要聊一聊一个实际操作的问题，就是在用 webpack --watch 实时监控文件变动并自动重新编译之后，怎么才能顺手牵羊地执行一个我们自定义的回调函数，把部分文件悄无声息地搬到我们指定的目录里去。这个功能在我们日常开发里头，尤其给力。比如当你需要同步更新那些静态资源、模板文件啥的，它就能派上大用场，超级实用嘞！ 1. 理解webpack-watch模式 首先，我们需要理解 webpack --watch 命令的作用。当你在项目根目录运行 webpack --watch 时，webpack 将持续监听你的源代码文件，一旦检测到有改动，它会立即重新进行编译打包。这是一种实时反馈开发成果的高效工作模式。 2. 使用webpack插件实现回调功能 webpack 的强大之处在于它的插件系统。我们可以编写自定义插件来扩展其功能。下面，我们将创建一个自定义webpack插件，用于在每次编译完成后执行文件拷贝操作。 javascript class CopyAfterCompilePlugin { constructor(options) { this.options = options || {}; } apply(compiler) { compiler.hooks.done.tap('CopyAfterCompilePlugin', (stats) => { if (!stats.hasErrors()) { const { copyFrom, copyTo } = this.options; // 这里假设copyFrom和copyTo是待拷贝文件和目标路径 fs.copyFileSync(copyFrom, copyTo); console.log(已成功将${copyFrom}拷贝至${copyTo}); } }); } } // 在webpack配置文件中引入并使用该插件 const CopyWebpackPlugin = require('./CopyAfterCompilePlugin'); module.exports = { // ... 其他webpack配置项 plugins: [ new CopyWebpackPlugin({ copyFrom: 'src/assets/myfile.js', copyTo: 'dist/static/myfile.js' }), ], }; 上述代码中，我们定义了一个名为 CopyAfterCompilePlugin 的webpack插件，它会在编译过程结束后触发 done 钩子，并执行文件拷贝操作。这里使用了 Node.js 的 fs 模块提供的 copyFileSync 方法进行文件拷贝。 3. 插件应用与思考 在实际开发中，你可能需要拷贝多个文件或整个目录，这时可以通过遍历文件列表或者递归调用 copyFileSync 来实现。同时，为了提高健壮性，可以增加错误处理逻辑，确保拷贝失败时能给出友好的提示信息。 通过这种方式，我们巧妙地利用了webpack的生命周期钩子，实现了编译完成后的自动化文件管理任务。这种做法，可不光是让手动操作变得省心省力，工作效率嗖嗖往上升，更重要的是，它让构建流程变得更聪明、更自动化了。就好比给生产线装上了智能小助手，让webpack插件系统那灵活多变、随时拓展的特性展现得淋漓尽致。 总结一下，面对“webpack --watch 编译完成之后执行一个callback，将部分文件拷贝到指定目录”的需求，通过编写自定义webpack插件，我们可以轻松解决这个问题，这也是前端工程化实践中的一个小技巧，值得我们在日常开发中加以运用和探索。当然啦，每个项目的个性化需求肯定是各不相同的，所以呢，咱们就可以在这个基础上灵活变通，根据实际情况来个“私人订制”，把咱们的构建过程打磨得更贴合项目的独特需求，让每一个环节都充满浓浓的人情味儿，更有温度。

...于开发一种新型的离线更新机制，通过定期打包发布语言数据更新包，并提供安全可靠的本地化部署方案，以满足用户在无网络或受限网络条件下也能获取最新OCR模型的需求。此外，对于特定行业如档案数字化、历史文献复原等应用场景，定制化的离线OCR解决方案也逐步崭露头角，通过深度学习和人工智能技术优化特定类型字符和手写体的识别能力。 与此同时，Google及其他科技巨头也在不断优化和完善自家的OCR产品，探索更加智能、自适应的离线数据管理模式。例如，结合边缘计算和物联网技术，设备可以在有限的网络交互中实现关键数据的同步更新，既保证了OCR服务的连续性，又减少了对云端依赖带来的潜在风险。 综上所述，在面对网络环境挑战及日益增长的数据安全需求时，OCR技术正逐步向更独立、更智能的离线模式演进，这不仅有助于提升用户体验，也为构建更为自主可控的信息处理系统提供了坚实的技术支撑。未来，我们期待更多创新性的离线OCR解决方案涌现，进一步推动这一领域的技术进步与发展。

依赖库缺失：为何缺少必要的依赖库会导致Spark无法正常运行？ 在大数据处理的世界里，Apache Spark作为一款高性能、通用的并行计算框架，凭借其对大规模数据处理的强大支持和优异性能赢得了广泛的赞誉。在实际操作Spark的过程中，咱们可能会碰上个让人头疼的问题。啥问题呢？就是由于关键的依赖库缺失了，导致Spark这个家伙没法正常启动或者执行任务，这确实挺让人挠头的。本文将深入探讨这一问题，并通过实例代码揭示它的重要性。 1. Spark与依赖库的关系 (1) 依赖库的重要性 在Spark的工作机制中，它自身提供了一系列核心功能库，如spark-core负责基本的分布式任务调度，spark-sql实现SQL查询等。为了应对各种业务需求，Spark往往需要和其他好伙伴——第三方库一起携手工作。比如，如果你想和数据库打交道，就可能得请出JDBC驱动这位“翻译官”。再比如，当你需要进行机器学习这类高大上的任务时，MLlib或者其他的深度学习库就成了你必不可少的得力助手啦。这些“依赖库”，你就想象成是Spark引擎运行必需的“小帮手”或者说是“关键零部件”。没有它们，就好比一辆汽车缺了心脏般的重要零件，哪怕引擎再猛如虎，也只能干瞪眼没法跑起来。 (2) 依赖传递性 在构建Spark应用时，我们需要通过构建工具（如Maven、Sbt）明确指定项目的依赖关系。这里说的依赖，可不是仅仅局限在Spark自己的核心组件里，还包括咱们应用“嗷嗷待哺”的其他第三方库。这些库之间，就好比是一群互相帮忙的朋友，关系错综复杂。如果其中任何一个朋友缺席了，那整个团队的工作可能就要乱套，咱们的应用也就没法正常运转啦。 2. 缺少依赖库引发的问题实例 假设我们要用Spark读取MySQL数据库中的数据，首先需要引入JDBC驱动依赖： scala // 在build.sbt文件中添加依赖 libraryDependencies += "mysql" % "mysql-connector-java" % "8.0.23" // 或在pom.xml文件中添加依赖 mysql mysql-connector-java 8.0.23 然后在代码中尝试连接MySQL： scala import org.apache.spark.sql.SparkSession val spark = SparkSession.builder.appName("mysqlExample").getOrCreate() val jdbcDF = spark.read.format("jdbc") .option("url", "jdbc:mysql://localhost:3306/mydatabase") .option("driver", "com.mysql.jdbc.Driver") .option("dbtable", "mytable") .load() jdbcDF.show() 如果此时没有正确引入并配置MySQL JDBC驱动，上述代码在运行时就会抛出类似于NoClassDefFoundError: com/mysql/jdbc/Driver的异常，表明Spark找不到相应的类定义，这就是典型的因缺少依赖库而导致的运行错误。 3. 如何避免和解决依赖库缺失问题 (1) 全面且精确地声明依赖 在项目初始化阶段，务必详细列出所有必需的依赖库及其版本信息，确保它们能在构建过程中被正确下载和打包。 (2) 利用构建工具管理依赖 利用Maven、Gradle或Sbt等构建工具，可以自动解析和管理项目依赖关系，减少手动管理带来的疏漏。 (3) 检查和更新依赖 定期检查和更新项目依赖库，以适应新版本API的变化以及修复潜在的安全漏洞。 (4) 理解依赖传递性 深入理解各个库之间的依赖关系，防止因间接依赖导致的问题。当遇到问题时，可通过查看构建日志或使用mvn dependency:tree命令来排查依赖树结构。 总结来说，依赖库对于Spark这类复杂的应用框架而言至关重要。只有妥善管理和维护好这些“零部件”，才能保证Spark引擎稳定高效地运转。所以，开发者们在尽情享受Spark带来的各种便捷时，也千万不能忽视对依赖库的管理和配置这项重要任务。只有这样，咱们的大数据探索之路才能走得更顺溜，一路绿灯，畅通无阻。

...化技术将应用程序及其依赖打包成可移植的镜像，并可以在任何安装了Docker环境的操作系统上运行。在本文中，作者详细介绍了如何使用Docker部署Nginx、Tomcat以及Elasticsearch+kibana服务，包括下载镜像、启动容器、配置端口映射和数据卷等操作。 数据卷(-v) , 在Docker中，数据卷是一种持久化存储机制，允许在容器之间共享和重用数据，即使容器停止或被删除，数据也能得到保留。文中提到，在部署Nginx和Tomcat时，为了方便在容器外部修改配置文件并在容器内部自动更新，可以通过-v参数创建数据卷，将宿主机的某个目录与容器内的某个目录进行绑定挂载，实现数据同步。 端口映射(-p) , 在Docker容器网络配置中，端口映射是一项重要功能，它允许容器内部的服务端口与宿主机的端口建立连接关系。例如，通过-p 3344:80这样的命令行参数，可以将宿主机的3344端口流量转发至容器内部的80端口，使得外部客户端能够通过访问宿主机IP地址的指定端口来间接访问到容器内运行的服务（如Nginx服务器）。 Elasticsearch , Elasticsearch是一个基于Lucene的分布式、RESTful风格的搜索和数据分析引擎，常用于日志分析、监控数据展示、全文检索等领域。在文章中，作者提到了部署Elasticsearch时遇到的问题，包括其内存消耗大、需要暴露多个端口等，并演示了如何限制Elasticsearch容器的内存使用量以适应资源有限的环境。 Kibana , Kibana是一个开源的数据可视化平台，主要用于对Elasticsearch中的数据进行实时分析和可视化展现。在部署Elasticsearch之后，文中提出了如何思考Kibana如何连接至Elasticsearch的网络配置问题，以便于用户能够通过Kibana界面直观地管理和分析存储在Elasticsearch中的数据。

...统虚拟化有几个特点：打包既部署、镜像分层、应用资源调度。 打包即部署：打包即部署是指在容器镜像制作过程包含了传统软件包部署的过程（安装依赖的操作系统库或工具、创建用户、创建运行目录、解压、设置文件权限等等），这么做的好处是把应用及其依赖封装到了一个相对封闭的环境，减少了应用对外部环境的依赖，增强了应用在各种不同环境下的行为一致性，同时也减少了应用部署时间。 镜像分层：容器镜像包是分层结构，同一个主机上的镜像层是可以在多个容器之间共享的，这个机制可以极大减少镜像更新时候拉取镜像包的时间，通常应用程序更新升级都只是更新业务层（如Java程序的jar包），而镜像中的操作系统Lib层、运行时（如Jre）层等文件不会频繁更新。因此新版本镜像实质有变化的只有很小的一部分，在更新升级时候也只会从镜像仓库拉取很小的文件，所以速度很快。 应用资源调度：资源（计算/存储/网络）都是以应用为中心的，中心体现在资源分配是按照应用粒度分配资源、资源随应用迁移。 基于上述容器技术特点，可以推导出容器技术的3大使用场景：CI/CD、提升资源利用率、弹性伸缩。这3个使用场景自然推导出通用的商业层面收益：CI/CD提升研发效率、提升资源利用率降低成本、按需弹性伸缩在体验与成本之间达成平衡。 当然，除了商业目标之外，可能还有其他一些考虑因素，如基于容器技术实现计算任务调度平台、保持团队技术先进性等。 CI/CD提升研发效率 为什么容器技术适合CI/CD CI/CD是DevOps的关键组成部分，DevOps是一套软件工程的流程，用于持续提升软件开发效率与软件交付质量。DevOps流程来源于制造业的精益生产理念，在这个领域的领头羊是丰田公司，《丰田套路》这本书总结丰田公司如何通过PDCA(Plan-Do-Check-Act)方法实施持续改进。PDCA通常也称为PDCA循环，PDCA实施过程简要描述为：确定目标状态、分析当前状态、找出与目标状态的差距、制定实施计划、实施并总结、开始下一个PDCA过程。 DevOps基本也是这么一个PDCA流程循环，很容易认知到PDCA过程中效率是关键，同一时间段内，实施更多数量的PDCA过程，收益越高。在软件开发领域的DevOps流程中，各种等待（等待编译、等待打包、等待部署等）、各种中断（部署失败、机器故障）是影响DevOps流程效率的重要因素。 容器技术出来之后，将容器技术应用到DevOps场景下，可以从技术手段消除DevOps流程中的部分等待与中断，从而大幅度提升DevOps流程中CI/CD的效率。 容器的OCI标准定义了容器镜像规范，容器镜像包与传统的压缩包(zip/tgz等)相比有两个关键区别点：1）分层存储；2）打包即部署。 分层存储可以极大减少镜像更新时候拉取镜像包的时间，通常应用程序更新升级都只是更新业务层（如Java程序的jar包），而镜像中的操作系统Lib层、运行时（如Jre）层等文件不会频繁更新。因此新版本镜像实质有变化的只有很小的一部分，在更新升级时候也只会从镜像仓库拉取很小的文件，所以速度很快。 打包即部署是指在容器镜像制作过程包含了传统软件包部署的过程（安装依赖的操作系统库或工具、创建用户、创建运行目录、解压、设置文件权限等等），这么做的好处是把应用及其依赖封装到了一个相对封闭的环境，减少了应用对外部环境的依赖，增强了应用在各种不同环境下的行为一致性，同时也减少了应用部署时间。 基于容器镜像的这些优势，容器镜像用到CI/CD场景下，可以减少CI/CD过程中的等待时间，减少因环境差异而导致的部署中断，从而提升CI/CD的效率，提升整体研发效率。 CI/CD的关键诉求与挑战 快 开发人员本地开发调试完成后，提交代码，执行构建与部署，等待部署完成后验证功能。这个等待的过程尽可能短，否则开发人员工作容易被打断，造成后果就是效率降低。如果提交代码后几秒钟就能够完成部署，那么开发人员几乎不用等待，工作也不会被打断；如果需要好几分钟或十几分钟，那么可以想象，这十几分钟就是浪费了，这时候很容易做点别的事情，那么思路又被打断了。 所以构建CI/CD环境时候，快是第一个需要考虑的因素。要达到快，除了有足够的机器资源免除排队等待，引入并行编译技术也是常用做法，如Maven3支持多核并行构建。 自定义流程 不同行业存在不同的行业规范、监管要求，各个企业有一套内部质量规范，这些要求都对软件交付流程有定制需求，如要求使用商用的代码扫描工具做安全扫描，如构建结果与企业内部通信系统对接发送消息。 在团队协同方面，不同的公司，对DevOps流程在不同团队之间分工有差异，典型的有开发者负责代码编写构建出构建物（如jar包），而部署模板、配置由运维人员负责；有的企业开发人员负责构建并部署到测试环境；有的企业开发人员直接可以部署到生产环境。这些不同的场景，对CI/CD的流程、权限管控都有定制需求。 提升资源利用率 OCI标准包含容器镜像标准与容器运行时标准两部分，容器运行时标准聚焦在定义如何将镜像包从镜像仓库拉取到本地并更新、如何隔离运行时资源这些方面。得益于分层存储与打包即部署的特性，容器镜像从到镜像仓库拉取到本地运行速度非常快（通常小于30秒，依赖镜像本身大小等因素），基于此可以实现按需分配容器运行时资源（cpu与内存），并限定单个容器资源用量；然后根据容器进程资源使用率设定弹性伸缩规则，实现自动的弹性伸缩。 这种方式相对于传统的按峰值配置资源方式，可以提升资源利用率。 按需弹性伸缩在体验与成本之间达成平衡 联动弹性伸缩 应用运行到容器，按需分配资源之后，理想情况下，Kubernetes的池子里没有空闲的资源。这时候扩容应用实例数，新扩容的实例会因资源不足调度失败。这时候需要资源池能自动扩容，加入新的虚拟机，调度新扩容的应用。 由于应用对资源的配比与Flavor有要求，因此新加入的虚拟机，应当是与应用所需要的资源配比与Flavor一致的。缩容也是类似。 弹性伸缩还有一个诉求点是“平滑”，对业务做到不感知，也称为“优雅”扩容/缩容。 请求风暴 上面提到的弹性伸缩一般是有计划或缓慢增压的场景，存在另外一种无法预期的请求风暴场景，这种场景的特征是无法预测、突然请求量增大数倍或数十倍、持续时间短。典型的例子如行情交易系统，当行情突变的时候，用户访问量徒增，持续几十分钟或一个小时。 这种场景的弹性诉求，要求短时间内能将资源池扩大数倍，关键是速度要快（秒级），否则会来不及扩容，系统已经被冲垮（如果无限流的话）。 目前基于 Virtual Kubelet 与云厂家的 Serverless 容器，理论上可以提供应对请求风暴的方案。不过在具体实施时候，需要考虑传统托管式Kubernetes容器管理平台与Serverless容器之间互通的问题，需要基于具体厂家提供的能力来评估。 基于容器技术实现计算调度平台 计算（大数据/AI训练等）场景的特征是短时间内需要大量算力，算完即释放。容器的环境一致性以及调度便利性适合这种场景。 技术选型 容器技术是属于基础设施范围，但是与传统虚拟化技术（Xen/KVM）比较，容器技术是应用虚拟化，不是纯粹的资源虚拟化，与传统虚拟化存在差异。在容器技术选型时候，需要结合当前团队在应用管理与资源管理的现状，对照容器技术与虚拟化技术的差异，选择最合适的容器技术栈。 什么是容器技术 (1)容器是一种轻量化的应用虚拟化技术。 在讨论具体的容器技术栈的时候，先介绍目前几种常用的应用虚拟化技术，当前有3种主流的应用虚拟化技术: LXC，MicroVM，UniKernel（LibOS）。 LXC: Linux Container，通过 Linux的 namespace/cgroups/chroot 等技术隔离进程资源，目前应用最广的docker就是基于LXC实现应用虚拟化的。 MicroVM: MicroVM 介于 传统的VM 与 LXC之间，隔离性比LXC好，但是比传统的VM要轻量，轻量体现在体积小（几M到几十M）、启动快（小于1s）。 AWS Firecracker 就是一种MicroVM的实现，用于AWS的Serverless计算领域，Serverless要求启动快，租户之间隔离性好。 UniKernel: 是一种专用的（特定编程语言技术栈专用）、单地址空间、使用 library OS 构建出来的镜像。UniKernel要解决的问题是减少应用软件的技术栈层次，现代软件层次太多导致越来越臃肿：硬件+HostOS+虚拟化模拟+GuestOS+APP。UniKernel目标是：硬件+HostOS+虚拟化模拟+APP-with-libos。 三种技术对比表： 开销 体积 启动速度 隔离/安全 生态 LXC 低（几乎为0） 小 快（等同进程启动） 差（内核共享） 好 MicroVM 高 大 慢(小于1s) 好 中（Kata项目） UniKernel 中 中 中 好 差 根据上述对比来看，LXC是应用虚拟化首选的技术，如果LXC无法满足隔离性要，则可以考虑MicroVM这种技术。当前社区已经在着手融合LXC与MicroVM这两种技术，从应用打包/发布调度/运行层面统一规范，Kubernetes集成Kata支持混合应用调度特性可以了解一下。 UniKernel 在应用生态方面相对比较落后，目前在追赶中，目前通过 linuxkit 工具可以在UniKernel应用镜像中使用docker镜像。这种方式笔者还未验证过，另外docker镜像运行起来之后，如何监控目前还未知。 从上述三种应用虚拟化技术对比，可以得出结论: （2)容器技术与传统虚拟化技术不断融合中。 再从规范视角来看容器技术，可以将容器技术定义为: (3)容器=OCI+CRI+辅助工具。 OCI规范包含两部分，镜像规范与运行时规范。简要的说，要实现一个OCI的规范，需要能够下载镜像并解压镜像到文件系统上组成成一个文件目录结构，运行时工具能够理解这个目录结构并基于此目录结构管理（创建/启动/停止/删除）进程。 容器(container)的技术构成就是实现OCI规范的技术集合。 对于不同的操作系统（Linux/Windows），OCI规范的实现技术不同，当前docker的实现，支持Windows与Linux与MacOS操作系统。当前使用最广的是Linux系统，OCI的实现，在Linux上组成容器的主要技术： chroot: 通过分层文件系统堆叠出容器进程的rootfs，然后通过chroot设置容器进程的根文件系统为堆叠出的rootfs。 cgroups: 通过cgroups技术隔离容器进程的cpu/内存资源。 namesapce: 通过pid, uts, mount, network, user namesapce 分别隔离容器进程的进程ID，时间，文件系统挂载，网络，用户资源。 网络虚拟化: 容器进程被放置到独立的网络命名空间，通过Linux网络虚拟化veth, macvlan, bridge等技术连接主机网络与容器虚拟网络。 存储驱动: 本地文件系统，使用容器镜像分层文件堆叠的各种实现驱动，当前推荐的是overlay2。 广义的容器还包含容器编排，即当下很火热的Kubernetes。Kubernetes为了把控容器调度的生态，发布了CRI规范，通过CRI规范解耦Kubelet与容器，只要实现了CRI接口，都可以与Kubelet交互，从而被Kubernetes调度。OCI规范的容器实现与CRI标准接口对接的实现是CRI-O。 辅助工具用户构建镜像，验证镜像签名，管理存储卷等。 容器定义 容器是一种轻量化的应用虚拟化技术。 容器=OCI+CRI+辅助工具。 容器技术与传统虚拟化技术不断融合中。 什么是容器编排与调度 选择了应用虚拟化技术之后，还需要应用调度编排，当前Kubernetes是容器领域内编排的事实标准，不管使用何种应用虚拟化技术，都已经纳入到了Kubernetes治理框架中。 Kubernetes 通过 CRI 接口规范，将应用编排与应用虚拟化实现解耦：不管使用何种应用虚拟化技术（LXC, MicroVM, LibOS），都能够通过Kubernetes统一编排。 当前使用最多的是docker，其次是cri-o。docker与crio结合kata-runtime都能够支持多种应用虚拟化技术混合编排的场景，如LXC与MicroVM混合编排。 docker(now): Moby 公司贡献的 docker 相关部件，当前主流使用的模式。 docker(daemon) 提供对外访问的API与CLI(docker client) containerd 提供与 kubelet 对接的 CRI 接口实现 shim负责将Pod桥接到Host namespace。 cri-o: 由 RedHat/Intel/SUSE/IBM/Hyper 公司贡献的实现了CRI接口的符合OCI规范的运行时，当前包括 runc 与 kata-runtime ，也就是说使用 cir-o 可以同时运行LXC容器与MicroVM容器，具体在Kata介绍中有详细说明。 CRI-O: 实现了CRI接口的进程，与 kubelet 交互 crictl: 类似 docker 的命令行工具 conmon: Pod监控进程 other cri runtimes: 其他的一些cri实现，目前没有大规模应用到生产环境。 容器与传统虚拟化差异 容器(container)的技术构成 前面主要讲到的是容器与编排，包括CRI接口的各种实现，我们把容器领域的规范归纳为南向与北向两部分，CRI属于北向接口规范，对接编排系统，OCI就属于南向接口规范，实现应用虚拟化。 简单来讲，可以这么定义容器： 容器(container) ~= 应用打包(build) + 应用分发(ship) + 应用运行/资源隔离(run)。 build-ship-run 的内容都被定义到了OCI规范中，因此也可以这么定义容器： 容器(container) == OCI规范 OCI规范包含两部分，镜像规范与运行时规范。简要的说，要实现一个OCI的规范，需要能够下载镜像并解压镜像到文件系统上组成成一个文件目录结构，运行时工具能够理解这个目录结构并基于此目录结构管理（创建/启动/停止/删除）进程。 容器(container)的技术构成就是实现OCI规范的技术集合。 对于不同的操作系统（Linux/Windows），OCI规范的实现技术不同，当前docker的实现，支持Windows与Linux与MacOS操作系统。当前使用最广的是Linux系统，OCI的实现，在Linux上组成容器的主要技术： chroot: 通过分层文件系统堆叠出容器进程的rootfs，然后通过chroot设置容器进程的根文件系统为堆叠出的rootfs。 cgroups: 通过cgroups技术隔离容器进程的cpu/内存资源。 namesapce: 通过pid, uts, mount, network, user namesapce 分别隔离容器进程的进程ID，时间，文件系统挂载，网络，用户资源。 网络虚拟化: 容器进程被放置到独立的网络命名空间，通过Linux网络虚拟化veth, macvlan, bridge等技术连接主机网络与容器虚拟网络。 存储驱动: 本地文件系统，使用容器镜像分层文件堆叠的各种实现驱动，当前推荐的是overlay2。 广义的容器还包含容器编排，即当下很火热的Kubernetes。Kubernetes为了把控容器调度的生态，发布了CRI规范，通过CRI规范解耦Kubelet与容器，只要实现了CRI接口，都可以与Kubelet交互，从而被Kubernetes调度。OCI规范的容器实现与CRI标准接口对接的实现是CRI-O。 容器与虚拟机差异对比 容器与虚拟机的差异可以总结为2点：应用打包与分发的差异，应用资源隔离的差异。当然，导致这两点差异的根基是容器是以应用为中心来设计的，而虚拟化是以资源为中心来设计的，本文对比容器与虚拟机的差异，更多的是站在应用视角来对比。 从3个方面对比差异：资源隔离，应用打包与分发，延伸的日志/监控/DFX差异。 1.资源隔离 隔离机制差异 容器 虚拟化 mem/cpu cgroup, 使用时候设定 require 与 limit 值 QEMU, KVM network Linux网络虚拟化技术(veth,tap,bridge,macvlan,ipvlan), 跨虚拟机或出公网访问:SNAT/DNAT, service转发:iptables/ipvs, SR-IOV Linux网络虚拟化技术(veth,tap,bridge,macvlan,ipvlan), QEMU, SR-IOV storage 本地存储: 容器存储驱动 本地存储：virtio-blk 差异引入问题与实践建议 应用程序未适配 cgroup 的内存隔离导致问题: 典型的是 JVM 虚拟机，在 JVM 启动时候会根据系统内存自动设置 MaxHeapSize 值，通常是系统内存的1/4，但是 JVM 并未考虑 cgroup 场景，读系统内存时候任然读取主机的内存来设置 MaxHeapSize，这样会导致内存超过 cgroup 限制从而导致进程被 kill 。问题详细阐述与解决建议参考Java inside docker: What you must know to not FAIL。 多次网络虚拟化问题: 如果在虚拟机内使用容器，会多一层网络虚拟化，并加入了SNAT/DNAT技术, iptables/ipvs技术，对网络吞吐量与时延都有影响（具体依赖容器网络方案），对问题定位复杂度变高，同时还需要注意网络内核参数调优。 典型的网络调优参数有：转发表大小 /proc/sys/net/netfilter/nf_conntrack_max 使用iptables 作为service转发实现的时候，在转发规则较多的时候，iptables更新由于需要全量更新导致非常耗时，建议使用ipvs。详细参考[华为云在 K8S 大规模场景下的 Service 性能优化实践](https://zhuanlan.zhihu.com/p/37230013)。 容器IP地址频繁变化不固定，周边系统需要协调适配，包括基于IP地址的白名单或防火墙控制策略需要调整，CMDB记录的应用IP地址需要适配动态IP或者使用服务名替代IP地址。 存储驱动带来的性能损耗: 容器本地文件系统是通过联合文件系统方式堆叠出来的，当前主推与默认提供的是overlay2驱动，这种模式应用写本地文件系统文件或修改已有文件，使用Copy-On-Write方式，也就是会先拷贝源文件到可写层然后修改，如果这种操作非常频繁，建议使用 volume 方式。 2.应用打包与分发 应用打包/分发/调度差异 容器 虚拟化 打包 打包既部署 一般不会把应用程序与虚拟机打包在一起，通过部署系统部署应用 分发 使用镜像仓库存储与分发 使用文件存储 调度运行 使用K8S亲和/反亲和调度策略 使用部署系统的调度能力 差异引入问题与实践建议 部署提前到构建阶段，应用需要支持动态配置与静态程序分离；如果在传统部署脚本中依赖外部动态配置，这部分需要做一些调整。 打包格式发生变化，制作容器镜像需要注意安全/效率因素，可参考Dockerfile最佳实践 容器镜像存储与分发是按layer来组织的，镜像在传输过程中放篡改的方式是传统软件包有差异。 3.监控/日志/DFX 差异 容器 虚拟化 监控 cpu/mem的资源上限是cgroup定义的；containerd/shim/docker-daemon等进程的监控 传统进程监控 日志采集 stdout/stderr日志采集方式变化；日志持久化需要挂载到volume；进程会被随机调度到其他节点导致日志需要实时采集否则分散很难定位 传统日志采集 问题定位 进程down之后自动拉起会导致问题定位现场丢失；无法停止进程来定位问题因为停止即删除实例 传统问题定位手段 差异引入问题实践与建议 使用成熟的监控工具，运行在docker中的应用使用cadvisor+prometheus实现采集与警报，cadvisor中预置了常用的监控指标项 对于docker管理进程（containerd/shim/docker-daemon）也需要一并监控 使用成熟的日志采集工具，如果已有日志采集Agent，则可以考虑将日志文件挂载到volume后由Agent采集；需要注意的是stderr/stdout输出也要一并采集 如果希望容器内应用进程退出后保留现场定位问题，则可以将Pod的restartPolicy设置为never，进程退出后进程文件都还保留着(/var/lib/docker/containers)。但是这么做的话需要进程没有及时恢复，会影响业务，需要自己实现进程重拉起。 团队配合 与周边的开发团队、架构团队、测试团队、运维团队评审并交流方案，与周边团队达成一致。 落地策略与注意事项 逐步演进过程中网络互通 根据当前已经存在的基础实施情况，选择容器化落地策略。通常使用逐步演进的方式，由于容器化引入了独立的网络namespace导致容器与传统虚拟机进程网络隔离，逐步演进过程中如何打通隔离的网络是最大的挑战。 分两种场景讨论： 不同服务集群之间使用VIP模式互通: 这种模式相对简单，基于VIP做灰度发布。 不同服务集群之间使用微服务点对点模式互通(SpringCloud/ServiceComb/Dubbo都是这一类): 这种模式相对复杂，在逐步容器化过程中，要求容器网络与传统虚拟机网络能够互通（难点是在虚拟机进程内能够直接访问到容器网络的IP地址），当前解决这个问题有几种方法。 自建Kubernetes场景，可使用开源的kube-router，kube-router 使用BGP协议实现容器网络与传统虚拟机网络之间互通，要求网络交换机支持BGP协议。 使用云厂商托管Kubernetes场景，选择云厂商提供的VPC-Router互通的网络插件，如阿里云的Terway网络插件, 华为云的Underlay网络模式。 选择物理机还是虚拟机 选择物理机运行容器还是虚拟机运行容器，需要结合基础设施与业务隔离性要求综合考虑。分两种场景：自建IDC、租用公有云。 自建IDC: 理想情况是使用物理机组成一个大集群，根据业务诉求，对资源保障与安全性要求高的应用，使用MicorVM方式隔离；普通应用使用LXC方式隔离。所有物理机在一个大集群内，方便削峰填谷提升资源利用率。 租用公有云：当前公有云厂家提供的裸金属服务价格较贵且只能包周期，使用裸金属性价比并不高，使用虚拟机更合适。 集群规模与划分 选择集群时候，是多个应用共用一个大集群，还是按应用分组分成多个小集群呢？我们把节点规模数量>=1000的定义为大集群，节点数<1000的定义为小集群。 大集群的优点是资源池共享容器，方便资源调度（削峰填谷）；缺点是随着节点数量与负载数量的增多，会引入管理性能问题（需要量化）: DNS 解析表变大，增加/删除 Service 或 增加/删除 Endpoint 导致DNS表刷新慢 K8S Service 转发表变大，导致工作负载增加/删除刷新iptables/ipvs记录变慢 etcd 存储空间变大，如果加上ConfigMap，可能导致 etcd 访问时延增加 小集群的优点是不会有管理性能问题，缺点是会导致资源碎片化，不容易共享。共享分两种情况: 应用之间削峰填谷：目前无法实现 计算任务与应用之间削峰填谷：由于计算任务是短时任务，可以通过上层的任务调度软件，在多个集群之间分发计算任务，从而达到集群之间资源共享的目的。 选择集群规模的时候，可以参考上述分析，结合实际情况选择适合的集群划分。 Helm? Helm是为了解决K8S管理对象散碎的问题，在K8S中并没有"应用"的概念，只有一个个散的对象(Deployment, ConfigMap, Service, etc)，而一个"应用"是多个对象组合起来的，且这些对象之间还可能存在一定的版本配套关系。 Helm 通过将K8S多个对象打包为一个包并标注版本号形成一个"应用"，通过 Helm 管理进程部署/升级这个"应用"。这种方式解决了一些问题（应用分发更方便）同时也引入了一些问题（引入Helm增加应用发布/管理复杂度、在K8S修改了对象后如何同步到Helm）。对于是否需要使用Helm，建议如下： 在自运维模式下不使用Helm: 自运维模式下，很多场景是开发团队交付一个运行包，运维团队负责部署与配置下发，内部通过兼容性或软件包与配置版本配套清单、管理软件包与配置的配套关系。 在交付软件包模式下使用Helm: 交付软件包模式下，Helm 这种把散碎组件组装为一个应用的模式比较适合，使用Helm实现软件包分发/部署/升级场比较简单。 Reference DOCKER vs LXC vs VIRTUAL MACHINES Cgroup与LXC简介 Introducing Container Runtime Interface (CRI) in Kubernetes frakti rkt appc-spec OCI 和 runc：容器标准化和 docker Linux 容器技术史话：从 chroot 到未来 Linux Namespace和Cgroup Java inside docker: What you must know to not FAIL QEMU,KVM及QEMU-KVM介绍 kvm libvirt qemu实践系列(一)-kvm介绍 KVM 介绍（4）：I/O 设备直接分配和 SR-IOV [KVM PCI/PCIe Pass-Through SR-IOV] prometheus-book 到底什么是Unikernel？ The Rise and Fall of the Operating System The Design and Implementation of the Anykernel and Rump Kernels UniKernel Unikernel：从不入门到入门 OSv 京东如何打造K8s全球最大集群支撑万亿电商交易 Cloud Native App Hub 更多云最佳实践 https://best.practices.cloud 本篇文章为转载内容。原文链接：https://blog.csdn.net/sinat_33155975/article/details/118013855。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...002年关停实验室与项目，VNC开源发布。 VNC本被设计用在局域网环境，且诞生背景决定其更倾向研究性质，商用级安全的缺失始终是个问题。后续有若干新的实现软件，如TightVNC、RealVNC，在公众认知中，AT&T版本已死，后起之秀一定程度上修正了问题。 目前各种更优秀的远程控制和分享协议取代了VNC的位置，尽管例如苹果仍然系统內建VNC作为远程方式。但在非桌面领域，VNC还有我们想不到的重要性，比如工控领域需要远程屏幕传输的场景，这也是为什么这系列漏洞作者会关注这一块。 漏洞技术概况 Pavel总结到，在阶段漏洞挖掘中共上报11个漏洞。在披露邮件中描述了其中4个的技术细节，均在协议数据包处理代码中，漏洞类型古典，分别是全局缓冲区溢出、堆溢出和空指针解引用。其中缓冲区溢出类型漏洞可方便构造PoC，实现远程任意代码执行的漏洞利用。 漏洞本身原理简单，也并不是关键。以其中一个为例，Pavel在发现时负责任地向LibVNC作者提交了issue，并跟进漏洞修复过程；在第一次修复之后，复核并指出修复代码无效，给出了有效patch。这个过程是常规操作。 漏洞疑点 有意思的是，在漏洞披露邮件中，Pavel重点谈了自己对这系列漏洞的一些周边发现，也是这里提到的原因。其中，关于存在漏洞的代码，作者表述： 我最初认为，这些问题是libvnc开发者自己代码中的错误，但看起来并非如此。其中有一些（如CoRRE数据处理函数中的堆缓冲区溢出），出现在AT&T实验室1999年的代码中，而后被很多软件开发者原样复制（在Github上搜索一下HandleCoRREBPP函数，你就知道），LibVNC和TightVNC也是如此。 为了证实，翻阅了这部分代码，确实在其中数据处理相关代码文件看到了剑桥和AT&T实验室的文件头GPL声明注释，中国菜刀 这证实这些文件是直接从最初剑桥实验室版本VNC移植过来的，且使用方式是 直接代码包含，而非独立库引用方式。在官方开源发布并停止更新后，LibVNC使用的这部分代码基本没有改动——除了少数变量命名方式的统一，以及本次漏洞修复。通过搜索，我找到了2000年发布的相关代码文件，确认这些文件与LibVNC中引入的原始版本一致。 另外，Pavel同时反馈了TightVNC中相同的问题。TightVNC与LibVNC没有继承和直接引用关系，但上述VNC代码同样被TightVNC使用，问题的模式不约而同。Pavel测试发现在Ubuntu最新版本TightVNC套件（1.3.10版本）中同样存在该问题，上报给当前软件所有者GlavSoft公司，但对方声称目前精力放在不受GPL限制的TightVNC 2.x版本开发中，对开源的1.x版本漏洞代码“可能会进行修复”。看起来，这个问题被踢给了各大Linux发行版社区来焦虑了——如果他们愿意接锅。 问题思考 在披露邮件中，Pavel认为，这些代码bug“如此明显，让人无法相信之前没被人发现过……也许是因为某些特殊理由才始终没得到修复”。 事实上，我们都知道目前存在一些对开源基础软件进行安全扫描的大型项目，例如Google的OSS；同时，仍然存活的开源项目也越来越注重自身代码发布前的安全扫描，Fortify、Coverity的扫描也成为很多项目和平台的标配。在这样一些眼睛注视下，为什么还有这样的问题？我认为就这个具体事例来说，可能有如下两个因素： ·上游已死。仍然在被维护的代码，存在版本更迭，也存在外界的持续关注、漏洞报告和修复、开发的迭代，对于负责人的开发者，持续跟进、评估、同步代码的改动是可能的。但是一旦一份代码走完了生命周期，就像一段史实一样会很少再被改动。 ·对第三方上游代码的无条件信任。我们很多人都有过基础组件、中间件的开发经历，不乏有人使用Coverity开启全部规则进行代码扫描、严格修复所有提示的问题甚至编程规范warning；报告往往很长，其中也包括有源码形式包含的第三方代码中的问题。但是，我们一方面倾向于认为这些被广泛使用的代码不应存在问题（不然早就被人挖过了），一方面考虑这些引用的代码往往是组件或库的形式被使用，应该有其上下文才能认定是否确实有可被利用的漏洞条件，现在单独扫描这部分代码一般出来的都是误报。所以这些代码的问题都容易被忽视。 但是透过这个具体例子，再延伸思考相关的实践，这里最根本的问题可以总结为一个模式： 复制粘贴风险。复制粘贴并不简单意味着剽窃，实际是当前软件领域、互联网行业发展的基础模式，但其中有一些没人能尝试解决的问题： ·在传统代码领域，如C代码中，对第三方代码功能的复用依赖，往往通过直接进行库的引入实现，第三方代码独立而完整，也较容易进行整体更新；这是最简单的情况，只需要所有下游使用者保证仅使用官方版本，跟进官方更新即可；但在实践中很难如此贯彻，这是下节讨论的问题。 ·有些第三方发布的代码，模式就是需要被源码形式包含到其他项目中进行统一编译使用（例如腾讯的开源Json解析库RapidJSON，就是纯C++头文件形式）。在开源领域有如GPL等规约对此进行规范，下游开发者遵循协议，引用代码，强制或可选地显式保留其GPL声明，可以进行使用和更改。这样的源码依赖关系，结合规范化的changelog声明代码改动，侧面也是为开发过程中跟进考虑。但是一个成型的产品，比如企业自有的服务端底层产品、中间件，新版本的发版更新是复杂的过程，开发者在旧版本仍然“功能正常”的情况下往往倾向于不跟进新版本；而上游代码如果进行安全漏洞修复，通常也都只在其最新版本代码中改动，安全修复与功能迭代并存，如果没有类似Linux发行版社区的努力，旧版本代码完全没有干净的安全更新patch可用。 ·在特定场景下，有些开发实践可能不严格遵循开源代码协议限定，引入了GPL等协议保护的代码而不做声明（以规避相关责任），丢失了引入和版本的信息跟踪；在另一些场景下，可能存在对开源代码进行大刀阔斧的修改、剪裁、定制，以符合自身业务的极端需求，但是过多的修改、人员的迭代造成与官方代码严重的失同步，丧失可维护性。 ·更一般的情况是，在开发中，开发者个体往往心照不宣的存在对网上代码文件、代码片段的复制-粘贴操作。被参考的代码，可能有上述的开源代码，也可能有各种Github作者练手项目、技术博客分享的代码片段、正式开源项目仅用来说明用法的不完备示例代码。这些代码的引入完全无迹可寻，即便是作者自己也很难解释用了什么。这种情况下，上面两条认定的那些与官方安全更新失同步的问题同样存在，且引入了独特的风险：被借鉴的代码可能只是原作者随手写的、仅仅是功能成立的片段，甚至可能是恶意作者随意散布的有安全问题的代码。由此，问题进入了最大的发散空间。 在Synopsys下BLACKDUCK软件之前发布的《2018 Open Source Security and Risk Analysis Report》中分析，96%的应用中包含有开源组件和代码，开源代码在应用全部代码中的占比约为57%，78%的应用中在引用的三方开源代码中存在历史漏洞。也就是说，现在互联网上所有厂商开发的软件、应用，其开发人员自己写的代码都是一少部分，多数都是借鉴来的。而这还只是可统计、可追溯的；至于上面提到的非规范的代码引用，如果也纳入进来考虑，三方代码占应用中的比例会上升到多少？曾经有分析认为至少占80%，我们只期望不会更高。 Ⅱ. 从碎片到乱刃：OpenSSH在野后门一览 在进行基础软件梳理时，回忆到反病毒安全软件提供商ESET在2018年十月发布的一份白皮书《THE DARK SIDE OF THE FORSSHE: A landscape of OpenSSH backdoors》。其站在一个具有广泛用户基础的软件提供商角度，给出了一份分析报告，数据和结论超出我们对于当前基础软件使用全景的估量。以下以我的角度对其中一方面进行解读。 一些必要背景 SSH的作用和重要性无需赘言；虽然我们站在传统互联网公司角度，可以认为SSH是通往生产服务器的生命通道，但当前多样化的产业环境已经不止于此（如之前libssh事件中，不幸被我言中的，SSH在网络设备、IoT设备上（如f5）的广泛使用）。 OpenSSH是目前绝大多数SSH服务端的基础软件，有完备的开发团队、发布规范、维护机制，本身是靠谱的。如同绝大多数基础软件开源项目的做法，OpenSSH对漏洞有及时的响应，针对最新版本代码发出安全补丁，但是各大Linux发行版使用的有各种版本的OpenSSH，这些社区自行负责将官方开发者的安全补丁移植到自己系统搭载的低版本代码上。天空彩 白皮书披露的现状 如果你是一个企业的运维管理人员，需要向企业生产服务器安装OpenSSH或者其它基础软件，最简单的方式当然是使用系统的软件管理安装即可。但是有时候，出于迁移成本考虑，可能企业需要在一个旧版本系统上，使用较新版本的OpenSSL、OpenSSH等基础软件，这些系统不提供，需要自行安装；或者需要一个某有种特殊特性的定制版本。这时，可能会选择从某些rpm包集中站下载某些不具名第三方提供的现成的安装包，或者下载非官方的定制化源码本地编译后安装，总之从这里引入了不确定性。 这种不确定性有多大？我们粗估一下，似乎不应成为问题。但这份白皮书给我们看到了鲜活的数据。 ESET研究人员从OpenSSH的一次历史大规模Linux服务端恶意软件Windigo中获得启示，采用某种巧妙的方式，面向在野的服务器进行数据采集，主要是系统与版本、安装的OpenSSH版本信息以及服务端程序文件的一个特殊签名。整理一个签名白名单，包含有所有能搜索到的官方发布二进制版本、各大Linux发行版本各个版本所带的程序文件版本，将这些标定为正常样本进行去除。最终结论是： ·共发现了几百个非白名单版本的OpenSSH服务端程序文件ssh和sshd； ·分析这些样本，将代码部分完全相同，仅仅是数据和配置不同的合并为一类，且分析判定确认有恶意代码的，共归纳为 21个各异的恶意OpenSSH家族； ·在21个恶意家族中，有12个家族在10月份时完全没有被公开发现分析过；而剩余的有一部分使用了历史上披露的恶意代码样本，甚至有源代码； ·所有恶意样本的实现，从实现复杂度、代码混淆和自我保护程度到代码特征有很大跨度的不同，但整体看，目的以偷取用户凭证等敏感信息、回连外传到攻击者为主，其中有的攻击者回连地址已经存在并活跃数年之久； ·这些后门的操控者，既有传统恶意软件黑产人员，也有APT组织； ·所有恶意软件或多或少都在被害主机上有未抹除的痕迹。ESET研究者尝试使用蜜罐引诱出攻击者，但仍有许多未解之谜。这场对抗，仍未取胜。 白皮书用了大篇幅做技术分析报告，此处供细节分析，不展开分析，以下为根据恶意程序复杂度描绘的21个家族图谱： 问题思考 问题引入的可能渠道，我在开头进行了一点推测，主要是由人的原因切入的，除此以外，最可能的是恶意攻击者在利用各种方法入侵目标主机后，主动替换了目标OpenSSH为恶意版本，从而达成攻击持久化操作。但是这些都是止血的安全运维人员该考虑的事情；关键问题是，透过表象，这显露了什么威胁形式？ 这个问题很好回答，之前也曾经反复说过：基础软件碎片化。 如上一章节简单提到，在开发过程中有各种可能的渠道引入开发者不完全了解和信任的代码；在运维过程中也是如此。二者互相作用，造成了软件碎片化的庞杂现状。在企业内部，同一份基础软件库，可能不同的业务线各自定制一份，放到企业私有软件仓库源中，有些会有人持续更新供自己产品使用，有些由系统软件基础设施维护人员单独维护，有些则可能是开发人员临时想起来上传的，他们自己都不记得；后续用到的这个基础软件的开发和团队，在这个源上搜索到已有的库，很大概率会倾向于直接使用，不管来源、是否有质量背书等。长此以往问题会持续发酵。而我们开最坏的脑洞，是否可能有黑产人员入职到内部，提交个恶意基础库之后就走人的可能？现行企业安全开发流程中审核机制的普遍缺失给这留下了空位。 将源码来源碎片化与二进制使用碎片化并起来考虑，我们不难看到一个远远超过OpenSSH事件威胁程度的图景。但这个问题不是仅仅靠开发阶段规约、运维阶段规范、企业内部管控、行业自查、政府监管就可以根除的，最大的问题归根结底两句话： 不可能用一场战役对抗持续威胁；不可能用有限分析对抗无限未知。 Ⅲ. 从自信到自省：RHEL、CentOS backport版本BIND漏洞 2018年12月20日凌晨，在备战冬至的软件供应链安全大赛决赛时，我注意到漏洞预警平台捕获的一封邮件。但这不是一个漏洞初始披露邮件，而是对一个稍早已披露的BIND在RedHat、CentOS发行版上特定版本的1day漏洞CVE-2018-5742，由BIND的官方开发者进行额外信息澄(shuǎi)清(guō)的邮件。 一些必要背景 关于BIND 互联网的一个古老而基础的设施是DNS，这个概念在读者不应陌生。而BIND“是现今互联网上最常使用的DNS软件，使用BIND作为服务器软件的DNS服务器约占所有DNS服务器的九成。BIND现在由互联网系统协会负责开发与维护参考。”所以BIND的基础地位即是如此，因此也一向被大量白帽黑帽反复测试、挖掘漏洞，其开发者大概也一直处在紧绷着应对的处境。 关于ISC和RedHat 说到开发者，上面提到BIND的官方开发者是互联网系统协会（ISC）。ISC是一个老牌非营利组织，目前主要就是BIND和DHCP基础设施的维护者。而BIND本身如同大多数历史悠久的互联网基础开源软件，是4个UCB在校生在DARPA资助下于1984年的实验室产物，直到2012年由ISC接管。 那么RedHat在此中是什么角色呢？这又要提到我之前提到的Linux发行版和自带软件维护策略。Red Hat Enterprise Linux（RHEL）及其社区版CentOS秉持着稳健的软件策略，每个大的发行版本的软件仓库，都只选用最必要且质量久经时间考验的软件版本，哪怕那些版本实在是老掉牙。这不是一种过分的保守，事实证明这种策略往往给RedHat用户在最新漏洞面前提供了保障——代码总是跑得越少，潜在漏洞越多。 但是这有两个关键问题。一方面，如果开源基础软件被发现一例有历史沿革的代码漏洞，那么官方开发者基本都只为其最新代码负责，在当前代码上推出修复补丁。另一方面，互联网基础设施虽然不像其上的应用那样爆发性迭代，但依然持续有一些新特性涌现，其中一些是必不可少的，但同样只在最新代码中提供。两个刚需推动下，各Linux发行版对长期支持版本系统的软件都采用一致的策略，即保持其基础软件在一个固定的版本，但对于这些版本软件的最新漏洞、必要的最新软件特性，由发行版维护者将官方开发者最新代码改动“向后移植”到旧版本代码中，即backport。这就是基础软件的“官宣”碎片化的源头。 讲道理，Linux发行版维护者与社区具有比较靠谱的开发能力和监督机制，backport又基本就是一些复制粘贴工作，应当是很稳当的……但真是如此吗？ CVE-2018-5742漏洞概况 CVE-2018-5742是一个简单的缓冲区溢出类型漏洞，官方评定其漏洞等级moderate，认为危害不大，漏洞修复不积极，披露信息不多，也没有积极给出代码修复patch和新版本rpm包。因为该漏洞仅在设置DEBUG_LEVEL为10以上才会触发，由远程攻击者构造畸形请求造成BIND服务崩溃，在正常的生产环境几乎不可能具有危害，RedHat官方也只是给出了用户自查建议。 这个漏洞只出现在RHEL和CentOS版本7中搭载的BIND 9.9.4-65及之后版本。RedHat同ISC的声明中都证实，这个漏洞的引入原因，是RedHat在尝试将BIND 9.11版本2016年新增的NTA机制向后移植到RedHat 7系中固定搭载的BIND 9.9版本代码时，偶然的代码错误。NTA是DNS安全扩展（DNSSEC）中，用于在特定域关闭DNSSEC校验以避免不必要的校验失败的机制；但这个漏洞不需要对NTA本身有进一步了解。 漏洞具体分析 官方没有给出具体分析，但根据CentOS社区里先前有用户反馈的bug，我得以很容易还原漏洞链路并定位到根本原因。 若干用户共同反馈，其使用的BIND 9.9.4-RedHat-9.9.4-72.el7发生崩溃（coredump），并给出如下的崩溃时调用栈backtrace： 这个调用过程的逻辑为，在9 dns_message_logfmtpacket函数判断当前软件设置是否DEBUG_LEVEL大于10，若是，对用户请求数据包做日志记录，先后调用8 dns_message_totext、7 dns_message_sectiontotext、6 dns_master_rdatasettotext、5 rdataset_totext将请求进行按协议分解分段后写出。 由以上关键调用环节，联动RedHat在9.9.4版本BIND源码包中关于引入NTA特性的源码patch，进行代码分析，很快定位到问题产生的位置，在上述backtrace中的5，masterdump.c文件rdataset_totext函数。漏洞相关代码片段中，RedHat进行backport后，这里引入的代码为： 这里判断对于请求中的注释类型数据，直接通过isc_buffer_putstr宏对缓存进行操作，在BIND工程中自定义维护的缓冲区结构对象target上，附加一字节字符串（一个分号）。而漏洞就是由此产生：isc_buffer_putstr中不做缓冲区边界检查保证，这里在缓冲区已满情况下将造成off-by-one溢出，并触发了缓冲区实现代码中的assertion。 而ISC上游官方版本的代码在这里是怎么写的呢？找到ISC版本BIND 9.11代码，这里是这样的： 这里可以看到，官方代码在做同样的“附加一个分号”这个操作时，审慎的使用了做缓冲区剩余空间校验的str_totext函数，并额外做返回值成功校验。而上述提到的str_totext函数与RETERR宏，在移植版本的masterdump.c中，RedHat开发者也都做了保留。但是，查看代码上下文发现，在RedHat开发者进行代码移植过程中，对官方代码进行了功能上的若干剪裁，包括一些细分数据类型记录的支持；而这里对缓冲区写入一字节，也许开发者完全没想到溢出的可能，所以自作主张地简化了代码调用过程。 问题思考 这个漏洞本身几乎没什么危害，但是背后足以引起思考。 没有人在“借”别人代码时能不出错 不同于之前章节提到的那种场景——将代码文件或片段复制到自己类似的代码上下文借用——backport作为一种官方且成熟的做法，借用的代码来源、粘贴到的代码上下文，是具有同源属性的，而且开发者一般是追求稳定性优先的社区开发人员，似乎质量应该有足够保障。但是这里的关键问题是：代码总要有一手、充分的语义理解，才能有可信的使用保障；因此，只要是处理他人的代码，因为不够理解而错误使用的风险，只可能减小，没办法消除。 如上分析，本次漏洞的产生看似只是做代码移植的开发者“自作主张”之下“改错了”。但是更广泛且可能的情况是，原始开发者在版本迭代中引入或更新大量基础数据结构、API的定义，并用在新的特性实现代码中；而后向移植开发人员仅需要最小规模的功能代码，所以会对增量代码进行一定规模的修改、剪裁、还原，以此适应旧版本基本代码。这些过程同样伴随着第三方开发人员不可避免的“望文生义”，以及随之而来的风险。后向移植操作也同样助长了软件碎片化过程，其中每一个碎片都存在这样的问题；每一个碎片在自身生命周期也将有持续性影响。 多级复制粘贴无异于雪上加霜 这里简单探讨的是企业通行的系统和基础软件建设实践。一些国内外厂商和社区发布的定制化Linux发行版，本身是有其它发行版，如CentOS特定版本渊源的，在基础软件上即便同其上游发行版最新版本间也存在断层滞后。RedHat相对于基础软件开发者之间已经隔了一层backport，而我们则人为制造了二级风险。 在很多基础而关键的软件上，企业系统基础设施的维护者出于与RedHat类似的初衷，往往会决定自行backport一份拷贝；通过早年心脏滴血事件的洗礼，即暴露出来OpenSSL一个例子。无论是需要RHEL还没来得及移植的新版本功能特性，还是出于对特殊使用上下文场景中更高执行效率的追求，企业都可能自行对RHEL上基础软件源码包进行修改定制重打包。这个过程除了将风险幂次放大外，也进一步加深了代码的不可解释性（包括基础软件开发人员流动性带来的不可解释）。 Ⅳ. 从武功到死穴：从systemd-journald信息泄露一窥API误用 1月10日凌晨两点，漏洞预警平台爬收取一封漏洞披露邮件。披露者是Qualys，那就铁定是重型发布了。最后看披露漏洞的目标，systemd？这就非常有意思了。 一些必要背景 systemd是什么，不好简单回答。Linux上面软件命名，习惯以某软件名后带个‘d’表示后台守护管理程序；所以systemd就可以说是整个系统的看守吧。而即便现在描述了systemd是什么，可能也很快会落伍，因为其初始及核心开发者Lennart Poettering（供职于Red Hat）描述它是“永无开发完结完整、始终跟进技术进展的、统一所有发行版无止境的差异”的一种底层软件。笼统讲有三个作用：中央化系统及设置管理；其它软件开发的基础框架；应用程序和系统内核之间的胶水。如今几乎所有Linux发行版已经默认提供systemd，包括RHEL/CentOS 7及后续版本。总之很基础、很底层、很重要就对了。systemd本体是个主要实现init系统的框架，但还有若干关键组件完成其它工作；这次被爆漏洞的是其journald组件，是负责系统事件日志记录的看守程序。 额外地还想简单提一句Qualys这个公司。该公司创立于1999年，官方介绍为信息安全与云安全解决方案企业，to B的安全业务非常全面，有些也是国内企业很少有布局的方面；例如上面提到的涉及碎片化和代码移植过程的历史漏洞移动，也在其漏洞管理解决方案中有所体现。但是我们对这家公司粗浅的了解来源于其安全研究团队近几年的发声，这两年间发布过的，包括有『stack clash』、『sudo get_tty_name提权』、『OpenSSH信息泄露与堆溢出』、『GHOST：glibc gethostbyname缓冲区溢出』等大新闻（仅截至2017年年中）。从中可见，这个研究团队专门啃硬骨头，而且还总能开拓出来新的啃食方式，往往爆出来一些别人没想到的新漏洞类型。从这个角度，再联想之前刷爆朋友圈的《安全研究者的自我修养》所倡导的“通过看历史漏洞、看别人的最新成果去举一反三”的理念，可见差距。 CVE-2018-16866漏洞详情 这次漏洞披露，打包了三个漏洞： ·16864和16865是内存破坏类型 ·16866是信息泄露 ·而16865和16866两个漏洞组和利用可以拿到root shell。 漏洞分析已经在披露中写的很详细了，这里不复述；而针对16866的漏洞成因来龙去脉，Qualys跟踪的结果留下了一点想象和反思空间，我们来看一下。 漏洞相关代码片段是这样的（漏洞修复前）： 读者可以先肉眼过一遍这段代码有什么问题。实际上我一开始也没看出来，向下读才恍然大悟。 这段代码中，外部信息输入通过buf传入做记录处理。输入数据一般包含有空白字符间隔，需要分隔开逐个记录，有效的分隔符包括空格、制表符、回车、换行，代码中将其写入常量字符串；在逐字符扫描输入数据字符串时，将当前字符使用strchr在上述间隔符字符串中检索是否匹配，以此判断是否为间隔符；在240行，通过这样的判断，跳过记录单元字符串的头部连续空白字符。 但是问题在于，strchr这个极其基础的字符串处理函数，对于C字符串终止字符'\0'的处理上有个坑：'\0'也被认为是被检索字符串当中的一个有效字符。所以在240行，当当前扫描到的字符为字符串末尾的NULL时，strchr返回的是WHITESPACE常量字符串的终止位置而非NULL，这导致了越界。 看起来，这是一个典型的问题：API误用（API mis-use），只不过这个被误用的库函数有点太基础，让我忍不住想是不是还会有大量的类似漏洞……当然也反思我自己写的代码是不是也有同样情况，然而略一思考就释然了——我那么笨的代码都用for循环加if判断了:) 漏洞引入和消除历史 有意思的是，Qualys研究人员很贴心地替我做了一步漏洞成因溯源，这才是单独提这个漏洞的原因。漏洞的引入是在2015年的一个commit中： 在GitHub中，定位到上述2015年的commit信息，这里commit的备注信息为： journald: do not strip leading whitespace from messages. Keep leading whitespace for compatibility with older syslog implementations. Also useful when piping formatted output to the logger command. Keep removing trailing whitespace. OK，看起来是一个兼容性调整，对记录信息不再跳过开头所有连续空白字符，只不过用strchr的简洁写法比较突出开发者精炼的开发风格（并不），说得过去。 之后在2018年八月的一个当时尚未推正式版的另一次commit中被修复了，先是还原成了ec5ff4那次commit之前的写法，然后改成了加校验的方式： 虽然Qualys研究者认为上述的修改是“无心插柳”的改动，但是在GitHub可以看到，a6aadf这次commit是因为有外部用户反馈了输入数据为单个冒号情况下journald堆溢出崩溃的issue，才由开发者有目的性地修复的；而之后在859510这个commit再次改动回来，理由是待记录的消息都是使用单个空格作为间隔符的，而上一个commit粗暴地去掉了这种协议兼容性特性。 如果没有以上纠结的修改和改回历史，也许我会倾向于怀疑，在最开始漏洞引入的那个commit，既然改动代码没有新增功能特性、没有解决什么问题（毕竟其后三年，这个改动的代码也没有被反映issue），也并非出于代码规范等考虑，那么这么轻描淡写的一次提交，难免有人为蓄意引入漏洞的嫌疑。当然，看到几次修复的原因，这种可能性就不大了，虽然大家仍可以保留意见。但是抛开是否人为这个因素，单纯从代码的漏洞成因看，一个传统但躲不开的问题仍值得探讨：API误用。 API误用：程序员何苦为难程序员 如果之前的章节给读者留下了我反对代码模块化和复用的印象，那么这里需要正名一下，我们认可这是当下开发实践不可避免的趋势，也增进了社会开发速度。而API的设计决定了写代码和用代码的双方“舒适度”的问题，由此而来的API误用问题，也是一直被当做单纯的软件工程课题讨论。在此方面个人并没有什么研究，自然也没办法系统地给出分类和学术方案，只是谈一下自己的经验和想法。 一篇比较新的学术文章总结了API误用的研究，其中一个独立章节专门分析Java密码学组件API误用的实际，当中引述之前论文认为，密码学API是非常容易被误用的，比如对期望输入数据（数据类型，数据来源，编码形式）要求的混淆，API的必需调用次序和依赖缺失（比如缺少或冗余多次调用了初始化函数、主动资源回收函数）等。凑巧在此方面我有一点体会：曾经因为业务方需要，需要使用C++对一个Java的密码基础中间件做移植。Java对密码学组件支持，有原生的JDK模块和权威的BouncyCastle包可用；而C/C++只能使用第三方库，考虑到系统平台最大兼容和最小代码量，使用Linux平台默认自带的OpenSSL的密码套件。但在开发过程中感受到了OpenSSL满满的恶意：其中的API设计不可谓不反人类，很多参数没有明确的说明（比如同样是表示长度的函数参数，可能在不同地方分别以字节/比特/分组数为计数单位）；函数的线程安全没有任何解释标注，需要自行试验；不清楚函数执行之后，是其自行做了资源释放还是需要有另外API做gc，不知道资源释放操作时是否规规矩矩地先擦除后释放……此类问题不一而足，导致经过了漫长的测试之后，这份中间件才提供出来供使用。而在业务场景中，还会存在比如其它语言调用的情形，这些又暴露出来OpenSSL API误用的一些完全无从参考的问题。这一切都成为了噩梦；当然这无法为我自己开解是个不称职开发的指责，但仅就OpenSSL而言其API设计之恶劣也是始终被人诟病的问题，也是之后其他替代者宣称改进的地方。 当然，问题是上下游都脱不了干系的。我们自己作为高速迭代中的开发人员，对于二方、三方提供的中间件、API，又有多少人能自信地说自己仔细、认真地阅读过开发指南和API、规范说明呢？做过通用产品技术运营的朋友可能很容易理解，自己产品的直接用户日常抛出不看文档的愚蠢问题带来的困扰。对于密码学套件，这个问题还好办一些，毕竟如果在没有背景知识的情况下对API望文生义地一通调用，绝大多数情况下都会以抛异常形式告终；但还是有很多情况，API误用埋下的是长期隐患。 不是所有API误用情形最终都有机会发展成为可利用的安全漏洞，但作为一个由人的因素引入的风险，这将长期存在并困扰软件供应链（虽然对安全研究者、黑客与白帽子是很欣慰的事情）。可惜，传统的白盒代码扫描能力，基于对代码语义的理解和构建，但是涉及到API则需要预先的抽象，这一点目前似乎仍然是需要人工干预的事情；或者轻量级一点的方案，可以case by case地分析，为所有可能被误用的API建模并单独扫描，这自然也有很强局限性。在一个很底层可信的开发者还对C标准库API存在误用的现实内，我们需要更多的思考才能说接下来的解法。 Ⅴ. 从规则到陷阱：NASA JIRA误配置致信息泄露血案 软件的定义包括了代码组成的程序，以及相关的配置、文档等。当我们说软件的漏洞、风险时，往往只聚焦在其中的代码中；关于软件供应链安全风险，我们的比赛、前面分析的例子也都聚焦在了代码的问题；但是真正的威胁都来源于不可思议之处，那么代码之外有没有可能存在来源于上游的威胁呢？这里就借助实例来探讨一下，在“配置”当中可能栽倒的坑。 引子：发不到500英里以外的邮件？ 让我们先从一个轻松愉快的小例子引入。这个例子初见于Linux中国的一篇译文。 简单说，作者描述了这么一个让人啼笑皆非的问题：单位的邮件服务器发送邮件，发送目标距离本地500英里范围之外的一律失败，邮件就像悠悠球一样只能飞出一定距离。这个问题本身让描述者感到尴尬，就像一个技术人员被老板问到“为什么从家里笔记本上Ctrl-C后不能在公司台式机上Ctrl-V”一样。 经过令人窒息的分析操作后，笔者定位到了问题原因：笔者作为负责的系统管理员，把SunOS默认安装的Senmail从老旧的版本5升级到了成熟的版本8，且对应于新版本诸多的新特性进行了对应配置，写入配置文件sendmail.cf；但第三方服务顾问在对单位系统进行打补丁升级维护时，将系统软件“升级”到了系统提供的最新版本，因此将Sendmail实际回退到了版本5，却为了软件行为一致性，原样保留了高版本使用的配置文件。但Sendmail并没有在大版本间保证配置文件兼容性，这导致很多版本5所需的配置项不存在于保留下来的sendmail.cf文件中，程序按默认值0处理；最终引起问题的就是，邮件服务器与接收端通信的超时时间配置项，当取默认配置值0时，邮件服务器在1个单位时间（约3毫秒）内没有收到网络回包即认为超时，而这3毫秒仅够电信号打来回飞出500英里。 这个“故事”可能会给技术人员一点警醒，错误的配置会导致预期之外的软件行为，但是配置如何会引入软件供应链方向的安全风险呢？这就引出了下一个重磅实例。 JIRA配置错误致NASA敏感信息泄露案例 我们都听过一个事情，马云在带队考察美国公司期间问Google CEO Larry Page自视谁为竞争对手，Larry的回答是NASA，因为最优秀的工程师都被NASA的梦想吸引过去了。由此我们显然能窥见NASA的技术水位之高，这样的人才团队大概至少是不会犯什么低级错误的。 但也许需要重新定义“低级错误”……1月11日一篇技术文章披露，NASA某官网部署使用的缺陷跟踪管理系统JIRA存在错误的配置，可分别泄漏内部员工（JIRA系统用户）的全部用户名和邮件地址，以及内部项目和团队名称到公众，如下： 问题的原因解释起来也非常简单：JIRA系统的过滤器和配置面板中，对于数据可见性的配置选项分别选定为All users和Everyone时，系统管理人员想当然地认为这意味着将数据对所有“系统用户”开放查看，但是JIRA的这两个选项的真实效果逆天，是面向“任意人”开放，即不限于系统登录用户，而是任何查看页面的人员。看到这里，我不厚道地笑了……“All users”并不意味着“All ‘users’”，意不意外，惊不惊喜？ 但是这种字面上把戏，为什么没有引起NASA工程师的注意呢，难道这样逆天的配置项没有在产品手册文档中加粗标红提示吗？本着为JIRA产品设计找回尊严的态度，我深入挖掘了一下官方说明，果然在Atlassian官方的一份confluence文档（看起来更像是一份增补的FAQ）中找到了相关说明： 所有未登录访客访问时，系统默认认定他们是匿名anonymous用户，所以各种权限配置中的all users或anyone显然应该将匿名用户包括在内。在7.2及之后版本中，则提供了“所有登录用户”的选项。 可以说是非常严谨且贴心了。比较讽刺的是，在我们的软件供应链安全大赛·C源代码赛季期间，我们设计圈定的恶意代码攻击目标还包括JIRA相关的敏感信息的窃取，但是却想不到有这么简单方便的方式，不动一行代码就可以从JIRA中偷走数据。 软件的使用，你“配”吗？ 无论是开放的代码还是成型的产品，我们在使用外部软件的时候，都是处于软件供应链下游的消费者角色，为了要充分理解上游开发和产品的真实细节意图，需要我们付出多大的努力才够“资格”？ 上一章节我们讨论过源码使用中必要细节信息缺失造成的“API误用”问题，而软件配置上的“误用”问题则复杂多样得多。从可控程度上讨论，至少有这几种因素定义了这个问题： ·软件用户对必要配置的现有文档缺少了解。这是最简单的场景，但又是完全不可避免的，这一点上我们所有有开发、产品或运营角色经验的应该都曾经体会过向不管不顾用户答疑的痛苦，而所有软件使用者也可以反省一下对所有软件的使用是否都以完整细致的文档阅读作为上手的准备工作，所以不必多说。 ·软件拥有者对配置条目缺少必要明确说明文档。就JIRA的例子而言，将NASA工程师归为上一条错误有些冤枉，而将JIRA归为这条更加合适。在边角但重要问题上的说明通过社区而非官方文档形式发布是一种不负责任的做法，但未引发安全事件的情况下还有多少这样的问题被默默隐藏呢？我们没办法要求在使用软件之前所有用户将软件相关所有文档、社区问答实现全部覆盖。这个问题范围内一个代表性例子是对配置项的默认值以及对应效果的说明缺失。 ·配置文件版本兼容性带来的误配置和安全问题。实际上，上面的SunOS Sendmail案例足以点出这个问题的存在性，但是在真实场景下，很可能不会以这么戏剧性形式出现。在企业的系统运维中，系统的版本迭代常见，但为软件行为一致性，配置的跨版本迁移是不可避免的操作；而且软件的更新迭代也不只会由系统更新推动，还有大量出于业务性能要求而主动进行的定制化升级，对于中小企业基础设施建设似乎是一个没怎么被提及过的问题。 ·配置项组合冲突问题。尽管对于单个配置项可能明确行为与影响，但是特定的配置项搭配可能造成不可预知的效果。这完全有可能是由于开发者与用户在信息不对等的情况下产生：开发者认为用户应该具有必需的背景知识，做了用户应当具备规避配置冲突能力的假设。一个例子是，对称密码算法在使用ECB、CBC分组工作模式时，从密码算法上要求输入数据长度必须是分组大小的整倍数，但如果用户搭配配置了秘钥对数据不做补齐（nopadding），则引入了非确定性行为：如果密码算法库对这种组合配置按某种默认补齐方式操作数据则会引起歧义，但如果在算法库代码层面对这种组合抛出错误则直接影响业务。 ·程序对配置项处理过程的潜在暗箱操作。这区别于简单的未文档化配置项行为，仅特指可能存在的蓄意、恶意行为。从某种意义上，上述“All users”也可以认为是这样的一种陷阱，通过浅层次暗示，引导用户做出错误且可能引起问题的配置。另一种情况是特定配置组合情况下触发恶意代码的行为，这种触发条件将使恶意代码具有规避检测的能力，且在用户基数上具有一定概率的用户命中率。当然这种情况由官方开发者直接引入的可能性很低，但是在众包开发的情况下如果存在，那么扫描方案是很难检测的。 Ⅵ. 从逆流到暗流：恶意代码溯源后的挑战 如果说前面所说的种种威胁都是面向关键目标和核心系统应该思考的问题，那么最后要抛出一个会把所有人拉进赛场的理由。除了前面所有那些在软件供应链下游被动污染受害的情况，还有一种情形：你有迹可循的代码，也许在不经意间会“反哺”到黑色产业链甚至特殊武器中；而现在研究用于对程序进行分析和溯源的技术，则会让你陷入百口莫辩的境地。 案例：黑产代码模块溯源疑云 1月29日，猎豹安全团队发布技术分析通报文章《电信、百度客户端源码疑遭泄漏，驱魔家族窃取隐私再起波澜》，矛头直指黑产上游的恶意信息窃取代码模块，认定其代码与两方产品存在微妙的关联：中国电信旗下“桌面3D动态天气”等多款软件，以及百度旗下“百度杀毒”等软件（已不可访问）。 文章中举证有三个关键点。 首先最直观的，是三者使用了相同的特征字符串、私有文件路径、自定义内部数据字段格式； 其次，在关键代码位置，三者在二进制程序汇编代码层面具有高度相似性； 最终，在一定范围的非通用程序逻辑上，三者在经过反汇编后的代码语义上显示出明显的雷同，并提供了如下两图佐证（图片来源）： 文章指出的涉事相关软件已经下线，对于上述样本文件的相似度试验暂不做复现，且无法求证存在相似、疑似同源的代码在三者中占比数据。对于上述指出的代码雷同现象，猎豹安全团队认为： 我们怀疑该病毒模块的作者通过某种渠道(比如“曾经就职”)，掌握有中国电信旗下部分客户端/服务端源码，并加以改造用于制作窃取用户隐私的病毒，另外在该病毒模块的代码中，我们还发现“百度”旗下部分客户端的基础调试日志函数库代码痕迹，整个“驱魔”病毒家族疑点重重，其制作传播背景愈发扑朔迷离。 这样的推断，固然有过于直接的依据（例如三款代码中均使用含有“baidu”字样的特征注册表项）；但更进一步地，需要注意到，三个样本在所指出的代码位置，具有直观可见的二进制汇编代码结构的相同，考虑到如果仅仅是恶意代码开发者先逆向另外两份代码后借鉴了代码逻辑，那么在面临反编译、代码上下文适配重构、跨编译器和选项的编译结果差异等诸多不确定环节，仍能保持二进制代码的雷同，似乎确实是只有从根本上的源代码泄漏（抄袭）且保持相同的开发编译环境才能成立。 但是我们却又无法做出更明确的推断。这一方面当然是出于严谨避免过度解读；而从另一方面考虑，黑产代码的一个关键出发点就是“隐藏自己”，而这里居然如此堂而皇之地照搬了代码，不但没有进行任何代码混淆、变形，甚至没有抹除疑似来源的关键字符串，如果将黑产视为智商在线的对手，那这里背后是否有其它考量，就值得琢磨了。 代码的比对、分析、溯源技术水准 上文中的安全团队基于大量样本和粗粒度比对方法，给出了一个初步的判断和疑点。那么是否有可能获得更确凿的分析结果，来证实或证伪同源猜想呢？ 无论是源代码还是二进制，代码比对技术作为一种基础手段，在软件供应链安全分析上都注定仍然有效。在我们的软件供应链安全大赛期间，针对PE二进制程序类型的题目，参赛队伍就纷纷采用了相关技术手段用于目标分析，包括：同源性分析，用于判定与目标软件相似度最高的同软件官方版本；细粒度的差异分析，用于尝试在忽略编译差异和特意引入的混淆之外，定位特意引入的恶意代码位置。当然，作为比赛中针对性的应对方案，受目标和环境引导约束，这些方法证明了可行性，却难以保证集成有最新技术方案。那么做一下预言，在不计入情报辅助条件下，下一代的代码比对将能够到达什么水准？ 这里结合近一年和今年内，已发表和未发表的学术领域顶级会议的相关文章来简单展望： ·针对海量甚至全量已知源码，将可以实现准确精细化的“作者归属”判定。在ACM CCS‘18会议上曾发表的一篇文章《Large-Scale and Language-Oblivious Code Authorship Identification》，描述了使用RNN进行大规模代码识别的方案，在圈定目标开发者，并预先提供每个开发者的5-7份已知的代码文件后，该技术方案可以很有效地识别大规模匿名代码仓库中隶属于每个开发者的代码：针对1600个Google Code Jam开发者8年间的所有代码可以实现96%的成功识别率，而针对745个C代码开发者于1987年之后在GitHub上面的全部公开代码仓库，识别率也高达94.38%。这样的结果在当下的场景中，已经足以实现对特定人的代码识别和跟踪（例如，考虑到特定开发人员可能由于编码习惯和规范意识，在时间和项目跨度上犯同样的错误）；可以预见，在该技术方向上，完全可以期望摆脱特定已知目标人的现有数据集学习的过程，并实现更细粒度的归属分析，例如代码段、代码行、提交历史。 ·针对二进制代码，更准确、更大规模、更快速的代码主程序分析和同源性匹配。近年来作为一项程序分析基础技术研究，二进制代码相似性分析又重新获得了学术界和工业界的关注。在2018年和2019（已录用）的安全领域四大顶级会议上，每次都会有该方向最新成果的展示，如S&P‘2019上录用的《Asm2Vec: Boosting Static Representation Robustness for Binary Clone Search against Code Obfuscation and Compiler Optimization》，实现无先验知识的条件下的最优汇编代码级别克隆检测，针对漏洞库的漏洞代码检测可实现0误报、100%召回。而2018年北京HITB会议上，Google Project Zero成员、二进制比对工具BinDiff原始作者Thomas Dullien，探讨了他借用改造Google自家SimHash算法思想，用于针对二进制代码控制流图做相似性检测的尝试和阶段结果；这种引入规模数据处理的思路，也可期望能够在目前其他技术方案大多精细化而低效的情况下，为高效、快速、大规模甚至全量代码克隆检测勾出未来方案。 ·代码比对方案对编辑、优化、变形、混淆的对抗。近年所有技术方案都以对代码“变种”的检测有效性作为关键衡量标准，并一定程度上予以保证。上文CCS‘18论文工作，针对典型源代码混淆（如Tigress）处理后的代码，大规模数据集上可有93.42%的准确识别率；S&P‘19论文针对跨编译器和编译选项、业界常用的OLLVM编译时混淆方案进行试验，在全部可用的混淆方案保护之下的代码仍然可以完成81%以上的克隆检测。值得注意的是以上方案都并非针对特定混淆方案单独优化的，方法具有通用价值；而除此以外还有很多针对性的的反混淆研究成果可用；因此，可以认为在采用常规商用代码混淆方案下，即便存在隐藏内部业务逻辑不被逆向的能力，但仍然可以被有效定位代码复用和开发者自然人。 代码溯源技术面前的“挑战” 作为软件供应链安全的独立分析方，健壮的代码比对技术是决定性的基石；而当脑洞大开，考虑到行业的发展，也许以下两种假设的情景，将把每一个“正当”的产品、开发者置于尴尬的境地。 代码仿制 在本章节引述的“驱魔家族”代码疑云案例中，黑产方面通过某种方式获得了正常代码中，功能逻辑可以被自身复用的片段，并以某种方法将其在保持原样的情况下拼接形成了恶意程序。即便在此例中并非如此，但这却暴露了隐忧：将来是不是有这种可能，我的正常代码被泄漏或逆向后出现在恶意软件中，被溯源后扣上黑锅？ 这种担忧可能以多种渠道和形式成为现实。 从上游看，内部源码被人为泄漏是最简单的形式（实际上，考虑到代码的完整生命周期似乎并没有作为企业核心数据资产得到保护，目前实质上有没有这样的代码在野泄漏还是个未知数），而通过程序逆向还原代码逻辑也在一定程度上可获取原始代码关键特征。 从下游看，则可能有多种方式将恶意代码伪造得像正常代码并实现“碰瓷”。最简单地，可以大量复用关键代码特征（如字符串，自定义数据结构，关键分支条件，数据记录和交换私有格式等）。考虑到在进行溯源时，分析者实际上不需要100%的匹配度才会怀疑，因此仅仅是仿造原始程序对于第三方公开库代码的特殊定制改动，也足以将公众的疑点转移。而近年来类似自动补丁代码搜索生成的方案也可能被用来在一份最终代码中包含有二方甚至多方原始代码的特征和片段。 基于开发者溯源的定点渗透 既然在未来可能存在准确将代码与自然人对应的技术，那么这种技术也完全可能被黑色产业利用。可能的忧患包括强针对性的社会工程，结合特定开发者历史代码缺陷的漏洞挖掘利用，联动第三方泄漏人员信息的深层渗透，等等。这方面暂不做联想展开。 〇. 没有总结 作为一场旨在定义“软件供应链安全”威胁的宣言，阿里安全“功守道”大赛将在后续给出详细的分解和总结，其意义价值也许会在一段时间之后才能被挖掘。 但是威胁的现状不容乐观，威胁的发展不会静待；这一篇随笔仅仅挑选六个侧面做摘录分析，可即将到来的趋势一定只会进入更加发散的境地，因此这里，没有总结。 本篇文章为转载内容。原文链接：https://blog.csdn.net/systemino/article/details/90114743。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...像是我们的瑞士军刀，Gradle就是其中的一款神器。它以其强大的灵活性和模块化特性，深受开发者们的喜爱。你知道的，就像所有厉害的家伙一样，Gradle这家伙其实也有点让人头大的时候，特别是第一次打交道或者遇到麻烦的时候。嘿，今天咱们来开个话题，就是那个烦人的Gradle构建出错问题，就像找宝藏一样，咱们一起探索解谜，看看怎么把它搞定！ 二、Gradle简介 Gradle是一个基于Apache Ant和Ivy的构建工具，它使用Groovy语言编写，支持Java、Kotlin等多种编程语言的项目构建。它超级棒，就像积木一样灵活，你可以随心所欲地拼装自己的想法。而且这家伙特别聪明，内置的插件库多到让你眼花缭乱，不管你的项目再怎么复杂，都能轻松应对，就像是为它量身打造的解决方案。 groovy // 一个简单的Gradle配置文件（build.gradle） plugins { id 'java' } dependencies { implementation 'org.springframework.boot:spring-boot-starter-web' } 三、常见报错及原因分析 1. 找不到依赖 groovy Error:Failed to resolve: com.example:library:1.0.0 这通常是因为你的项目依赖的库版本不存在，或者网络问题导致的。哥们儿，看看你的build.gradle里引用的那些库对不对头，就像淘宝搜商品一样，得确保那些库都能在网上畅通无阻地找到！ 2. Gradle版本冲突 groovy A problem occurred evaluating project ':app'. All com.android.support dependencies must use the Android Plugin for Gradle v7.0.0 or higher. 这表示你的项目中还存在com.android.support库，需要更新为Android Gradle插件的最新版本。 3. 编译错误 groovy Error:(1, 13) Gradle DSL method not found: 'implementation' 这是因为你使用的Gradle版本不支持implementation关键字，你需要升级到至少2.0及以上版本。 四、解决策略 1. 查阅文档 当遇到问题时，首先查阅官方文档（https://gradle.org/docs/）或StackOverflow等社区，可能会找到现成的答案。 2. 逐步调试 分析错误信息，一步步排查，如查看构建脚本、查找依赖、确认环境变量等。 3. 使用Gradle Wrapper 如果是网络问题，尝试创建Gradle Wrapper，这样你的开发环境就包含了Gradle，避免了因网络不稳定带来的问题。 4. 更新插件 对于插件版本过旧导致的问题，及时更新相关插件，确保与项目的兼容性。 五、结语 Gradle构建报错并不意味着绝望，反而是一次学习和成长的机会。你知道吗，要想真正摸清Gradle这家伙的脾气，就得先跟那些小错误打打交道，这样咱们的功力就能越来越深厚！记住，每一个挑战都是通往更强大开发者的阶梯。愿你在Gradle的世界里越走越远，构建出更加出色的项目！

Gradle打包时如何正确包含依赖包? Gradle，作为一款现代化、高度灵活的构建工具，在Java开发中扮演着至关重要的角色。它以其强大的依赖管理机制深受开发者喜爱。然而，在实际项目中，尤其对于刚入门的小白来说，如何在用Gradle打包时把依赖包给整明白、放对地方，绝对是个需要你去深入探索、亲手实践一番的挑战。这篇东西咱们要来好好唠唠这个话题，咱会结合实际的代码案例，掰开了、揉碎了详细讲讲，让你能更扎实地掌握Gradle依赖管理这块知识。 1. 理解Gradle依赖声明 在Gradle的世界里，依赖包的引入和管理主要在build.gradle文件中的dependencies块进行。想象一下，当你像拼乐高积木一样搭建你的项目结构时，Gradle就是那个帮你找到并装配好每个“积木”（依赖包）的智能助手。 例如，如果你想在项目中添加对Junit单元测试框架的依赖，只需如下声明： groovy dependencies { testImplementation 'junit:junit:4.13' } 上述代码中，testImplementation是配置名称，用于指定依赖的作用范围（这里是只在测试编译阶段使用）。'junit:junit:4.13'则是标准的Maven坐标格式，由groupId、artifactId和version三部分组成，分别代表组织名、模块名和版本号。 2. 不同依赖范围的选择 Gradle提供了多种依赖范围，以适应不同的应用场景： - implementation：这是最常用的配置，表示编译和运行时都依赖这个库，但不会传递给依赖该项目的其他模块。 - api：类似于implementation，但它的接口会暴露给依赖此项目的模块。 - compileOnly：仅在编译时需要此依赖，运行时不需要。 - runtimeOnly：仅在运行时需要此依赖，编译时不需要。 - testImplementation：只在测试编译和执行阶段需要此依赖。 根据实际需求选择合适的依赖范围，有助于提高构建效率和避免不必要的依赖冲突。 3. 多项目依赖与子项目引用 在大型多模块项目中，各个子项目间可能存在相互依赖关系。在Gradle中，可以这样声明子项目依赖： groovy dependencies { implementation project(':moduleA') } 这里的:moduleA代表项目中的子模块，Gradle会自动处理这些内部模块间的依赖关系。 4. 版本控制与动态版本 为了保持依赖库的更新，Gradle允许使用动态版本号，如1.+或latest.release等。不过，这种方法可能导致构建结果不一致，建议在生产环境中锁定具体版本。 groovy dependencies { implementation 'com.google.guava:guava:29.0-jre' // 或者使用动态版本 implementation 'com.squareup.retrofit2:retrofit:2.+' } 5. 总结与思考 理解并熟练掌握Gradle的依赖管理，就像掌握了项目构建过程中的关键钥匙。每一个正确的依赖声明，都是项目稳健运行的重要基石。在实际操作的时候，咱们不仅要瞅瞅怎么把依赖引入进来，更得留意如何给这些依赖设定合适的“地盘”，把握好更新和固定版本的时机，还有就是要妥善处理各个模块之间的“你离不开我、我离不开你”的依赖关系。这是一个不断探索和优化的过程，让我们共同在这个过程中享受Gradle带来的高效与便捷吧！

Gradle打包时如何正确包含依赖包? Gradle，这个强大的构建工具，在Java和Android开发领域中占据了核心地位。它以其灵活、高效的依赖管理机制深受开发者喜爱。不过呢，对于刚开始接触的新手朋友，或者在某些特定场合下，要想确保打包时把所有依赖项都准确无误地塞进去，确实可能是个挺让人头疼的小挑战。本文将带你手把手地探索Gradle这个神奇工具的依赖管理秘籍，咱们会通过实实在在的例子，一起揭秘在打包过程中如何聪明又巧妙地搞定这些依赖关系，让你彻底告别纠结和困惑。 1. 理解Gradle依赖声明 在Gradle的世界里，依赖是项目构建的基石。在build.gradle文件中，我们使用dependencies块来声明项目所需的各种依赖。例如： groovy dependencies { implementation 'com.google.guava:guava:29.0-jre' // 声明对Guava库的依赖 testImplementation 'junit:junit:4.13' // 在测试代码中使用的JUnit依赖 } 这里的implementation和testImplementation是配置名称，它们分别表示主源码编译依赖与测试源码编译依赖。后面的字符串则是依赖的具体描述，遵循“groupId:artifactId:version”的格式。 2. 依赖传递性理解与控制 Gradle支持依赖的传递性，这意味着如果你直接依赖的库又依赖了其他库，那么那些间接依赖也会自动被包含进来。不过，在某些情况下，你可能需要控制或排除某些传递性依赖，可以使用exclude关键字实现： groovy dependencies { implementation('org.springframework.boot:spring-boot-starter-data-jpa') { exclude group: 'org.hibernate', module: 'hibernate-entitymanager' } } 上述代码表示我们在引入Spring Boot Data JPA starter时，明确排除了Hibernate Entity Manager。 3. 打包时确保依赖包含无遗漏 当执行Gradle的jar任务（或Android的assemble任务）打包项目时，Gradle会自动处理所有已声明的依赖关系。一般来说，如果没啥特殊设定，那些直接用到的依赖关系会自动被塞进类路径里。而那些间接、传递过来的依赖关系，是否会被纳入其中，就得看具体的配置策略怎么安排了。 但是请注意，Gradle并不会将依赖库的.jar文件物理地打包进你的主.jar文件中，而是会在生成的.jar文件的META-INF/MANIFEST.MF文件中记录依赖信息，以供运行时解析。如果你想创建一个包含所有依赖的“fat jar”（或称为"uber jar"），可以使用如shadow插件或原生的bootJar任务（针对Spring Boot项目）： groovy plugins { id 'com.github.johnrengelman.shadow' version '6.1.0' } jar { manifest { attributes 'Main-Class': 'com.example.Main' } } task shadowJar(type: ShadowJar) { archiveBaseName = 'my-app' archiveClassifier = 'all' mergeServiceFiles() } 以上代码片段展示了如何应用Shadow插件并创建一个包含所有依赖的自包含.jar文件。 总结起来，要确保Gradle打包时正确包含依赖包，关键在于合理地在build.gradle中声明和管理依赖，并根据实际需求选择合适的打包策略。Gradle这个家伙的设计理念啊，就是让构建项目这件事儿变得瞅一眼就明白，摸一下就能灵活运用，甭管多复杂的依赖关系网，都能轻松玩转。这样一来，咱们就能麻溜地把项目打包工作给搞定了，高效又省心！在你亲自上手捣鼓和尝试Gradle的过程中，你会发现这玩意儿的强大程度绝对超乎你的想象，它会像个给力的小助手一样，陪你一起砍断开发道路上的各种难题荆棘，勇往直前地一路狂奔。

Gradle打包时如何正确包含依赖包? 在现代Java开发中，Gradle已经成为一个不可或缺的构建工具。Gradle这个工具，凭借它的灵活、高效和可扩展性，简直就成了开发者们的心头好。特别是在对付项目依赖关系这块儿，它那牛哄哄的依赖管理功能，就像个超级管家，保证我们在打包的时候，一个不落、准确无误地把所有需要的小弟——依赖包，都招呼齐全了。这篇东西，咱们会手把手，用超级详细的实例代码和接地气的探讨方式，一步步带你玩转Gradle项目中的依赖管理和打包技巧，包你学得明明白白、稳稳妥妥。 1. 初始化Gradle项目 首先，我们需要创建一个新的Gradle项目。这里我们采用的是初始化一个简单的Java项目为例： bash mkdir my_project cd my_project gradle init --type java-application 这将在当前目录下生成一个基本的Gradle Java应用项目结构，其中build.gradle文件就是我们用来配置项目依赖的地方。 2. 添加依赖到build.gradle文件 2.1 添加本地库依赖 如果你有一个本地的JAR包需要添加为依赖，可以如下操作： groovy dependencies { implementation files('libs/my-local-library.jar') } 上述代码意味着Gradle在编译和打包时会自动将'libs/my-local-library.jar'包含进你的项目中。 2.2 添加远程仓库依赖 通常情况下，我们会从Maven Central或JCenter等远程仓库获取依赖。例如，要引入Apache Commons Lang库，我们可以这样做： groovy repositories { mavenCentral() // 或者 jcenter() } dependencies { implementation 'org.apache.commons:commons-lang3:3.9' } 在这里，Gradle会在mavenCentral仓库查找指定groupId（org.apache.commons）、artifactId（commons-lang3）和version（3.9）的依赖，并将其包含在最终的打包结果中。 3. 理解依赖范围 Gradle中的依赖具有不同的范围，如implementation、api、runtime等，它们会影响依赖包在不同构建阶段是否被包含以及如何传递给其他模块。例如： groovy dependencies { implementation 'com.google.guava:guava:29.0-jre' // 只对本模块编译和运行有效 api 'junit:junit:4.13' // 不仅对本模块有效，还会暴露给依赖此模块的其他模块 runtime 'mysql:mysql-connector-java:8.0.25' // 只在运行时提供，编译阶段不需 } 4. 执行打包并验证依赖 完成依赖配置后，我们可以通过执行gradle build命令来编译并打包项目。Gradle会根据你在build.gradle中声明的依赖进行解析和下载，最后将依赖与你的源码一起打包至输出的.jar或.war文件中。 为了验证依赖是否已成功包含，你可以解压生成的.jar文件（或者查看.war文件中的WEB-INF/lib目录），检查相关的依赖库是否存在。 结语 Gradle的依赖管理机制使得我们在打包项目时能轻松应对各种复杂场景下的依赖问题。掌握这项技能，可不只是提升开发效率那么简单，更能像给项目构建上了一层双保险，让其稳如磐石，始终如一。在整个捣鼓配置和打包的过程中，如果你能时刻把握住Gradle构建逻辑的脉络，一边思考一边调整优化，你就会发现Gradle这家伙在应对个性化需求时，展现出了超乎想象的灵活性和强大的力量，就像一个无所不能的变形金刚。所以，让我们带着探索和实践的热情，深入挖掘Gradle更多的可能性吧！

Gradle打包时如何正确包含依赖包? 在Java开发的世界里，Gradle无疑是一款强大且灵活的构建工具，它通过简洁明了的Groovy或Kotlin DSL语法，帮助开发者高效地管理和自动化项目构建流程。在这篇文章里，我们要好好唠一唠在用Gradle打包项目时，如何稳稳地把依赖包给正确塞进去这个核心环节。咱不仅会摆出一堆实用的代码实例，还会带着大家伙儿一起脑洞大开，进行一番深度探索和思考。 1. 理解Gradle依赖管理 首先，我们需要理解Gradle依赖管理的基本原理。Gradle依赖可以分为两种类型：本地依赖和远程依赖。本地依赖这个概念，就像是你项目里的“自给自足小菜园”，通常是指那些项目内部或者在你电脑本地文件系统中的jar包，它们就在你触手可及的地方，随用随取。而远程依赖呢，就好比是“远方的超市”，你需要从Maven仓库、Ivy仓库或者其他类似的远程仓库中把这些依赖项下载下来才能使用。这就像是你开车去超市采购食材一样，虽然不是家门口就有，但种类丰富，能满足更多样的需求。在实际项目中，我们更多时候是处理远程依赖。 例如，在Gradle脚本（build.gradle）中声明一个远程依赖，如添加对spring-boot-starter-web的依赖： groovy dependencies { implementation 'org.springframework.boot:spring-boot-starter-web:2.5.0' } 上述代码中，implementation是配置作用域，用于指定该依赖在编译和运行时的行为；'org.springframework.boot:spring-boot-starter-web:2.5.0'则遵循“group:module:version”的格式，分别表示组织名、模块名和版本号。 2. 配置依赖源与仓库 为了能够成功下载远程依赖，需要在Gradle脚本中配置依赖源（Repository）。一般来说，Gradle这家伙默认会先去Maven Central这个大仓库里找你需要的依赖项。但如果它发现你要的东西在这个仓库里找不到的话，你就得告诉它其他可以淘宝的地方，也就是添加其他的仓库地址啦。以下是如何添加JCenter仓库的例子： groovy repositories { mavenCentral() jcenter() // 或者maven { url 'https://jcenter.bintray.com/' } } 3. 特殊依赖处理 传递依赖与排除依赖 - 传递依赖：当你直接依赖某个库时，Gradle也会自动引入该库的所有依赖项（即传递依赖）。这虽然方便，但也可能带来版本冲突的问题。此时，Gradle允许你查看并管理这些传递依赖： groovy configurations.compileClasspath.resolvedConfiguration.resolvedArtifacts.each { artifact -> println "Dependency: ${artifact.name} - ${artifact.moduleVersion.id}" } - 排除依赖：对于不希望引入的传递依赖，可以通过exclude关键字来排除： groovy dependencies { implementation('com.example.library:A') { exclude group: 'com.example', module: 'B' } } 这段代码表示在引入A库的同时，明确排除掉来自同一组织的B模块。 4. 打包时包含依赖 当使用Gradle打包项目（如创建可执行的jar/war文件）时，确保所有依赖都被正确包含至关重要。Gradle提供了多种插件支持这种需求，比如在Spring Boot项目中，我们可以使用bootJar或bootWar任务： groovy plugins { id 'org.springframework.boot' version '2.5.0' } jar { archiveBaseName = 'my-project' archiveVersion = '1.0.0' } task bootJar(type: BootJar) { classifier = 'boot' } 在这个例子中，BootJar任务会自动将所有必需的依赖项打入到生成的jar文件中，使得应用具备自包含、独立运行的能力。 总结来说，Gradle打包时正确包含依赖包是一个涉及依赖声明、仓库配置以及特殊依赖处理的过程。经过对Gradle依赖管理机制的深入理解和亲手实践，我们不仅能够轻而易举地搞定那些恼人的依赖问题，更能进一步把项目构建过程玩转得溜溜的，从而大大提升开发效率，让工作效率飞起来。同时，在不断摸爬滚打、亲自上手实践的过程中，我们越发能感受到Gradle设计的超级灵活性和满满的人性化关怀，这也是为啥众多开发者对它爱得深沉，情有独钟的原因所在。

...今天我要聊一聊在使用Gradle构建项目时可能会遇到的一个头疼问题：“Could not find 'META-INF/services/javax.annotation.processing.Processor'”。这个问题往往发生在尝试使用注解处理器时，特别是在构建过程中。这种情况通常是找不到特定的处理器类文件，可能是因为各种各样的问题，比如依赖设置不对头、用的构建工具版本不搭调，或者是资源文件打包没整利索之类的。 首先，让我们稍微深入了解一下背景知识。在Java里，注解处理器就像是编译器的一个小帮手，专门用来处理代码里的那些特别标记（注解）。它们就像是程序里的小精灵，通过解读那些注解，变出额外的代码或者资源文件，让程序变得更强大。为了使这些处理器工作，我们需要确保它们被正确地识别和加载。而META-INF/services/javax.annotation.processing.Processor文件就是用来列出所有可用注解处理器的地方。这个文件一般会列出一个或多个处理器类的完整名字，就像是给编译器指路的路标，告诉它这些处理器在哪儿待着。 2. 探索解决方案 从配置到实践 2.1 检查依赖 最直接的方法是检查你的项目依赖。确保你把所有必需的库都加进去了，尤其是那些带有注解处理器的库。举个例子，如果你正在使用Lombok，那么你需要在你的build.gradle文件中添加对应的依赖： groovy dependencies { compileOnly 'org.projectlombok:lombok:1.18.24' annotationProcessor 'org.projectlombok:lombok:1.18.24' } 这里的关键在于同时添加compileOnly和annotationProcessor依赖，这样既可以避免在运行时出现类冲突，又能确保编译时能够找到所需的处理器。 2.2 配置Gradle插件 有时候，问题可能出在Gradle插件的配置上。确保你使用的是最新版本的Gradle插件，并且根据需要调整插件配置。例如，如果你使用的是Android插件，确保你的build.gradle文件中有类似这样的配置： groovy android { ... compileOptions { annotationProcessorOptions.includeCompileClasspath = true } } 这条配置确保了编译类路径中的注解处理器可以被正确地发现和应用。 2.3 手动指定处理器位置 如果上述方法都不能解决问题，你还可以尝试手动指定处理器的位置。这可以通过修改build.gradle文件来实现。例如： groovy tasks.withType(JavaCompile) { options.compilerArgs << "-processorpath" << configurations.annotationProcessorPath.asPath } 这段代码告诉编译器去特定路径寻找处理器，而不是默认路径。这样做的好处是你可以在不同环境中灵活地控制处理器的位置。 3. 实战演练 从错误走向成功 在这个过程中，我遇到了不少挑战。一开始，我还以为这只是个简单的依赖问题，结果越挖越深，才发现事情比我想象的要复杂多了。我渐渐明白，光是加个依赖可不够，还得琢磨插件版本啊、编译选项这些玩意儿，配置这事儿真没那么简单。这个过程让我深刻体会到了软件开发中的细节决定成败的道理。 经过一番探索后，我终于找到了解决问题的关键所在——正确配置注解处理器的路径。这样做不仅把眼前的问题搞定了，还让我以后遇到类似情况时心里有谱，知道该怎么应对了。 4. 总结与展望 总之，“Could not find 'META-INF/services/javax.annotation.processing.Processor'”是一个常见但又容易让人困惑的问题。读完这篇文章，我们知道了怎么通过检查依赖、配置Gradle插件，还有手动指定处理器路径等方法来搞定这个难题。虽然过程中遇到了不少挑战，但正是这些问题推动着我们不断学习和成长。 未来，我希望继续深入研究更多高级主题，比如如何优化构建流程、提升构建效率等。我觉得每次努力试一试，都能让我们变得更牛，也让咱们的项目变得更强更溜！希望我的分享能帮助你在面对类似问题时不再感到迷茫，而是充满信心地去解决问题！ --- 希望这篇文章除了提供解决问题的技术指导外，还能让你感受到作为开发者探索未知的乐趣。编程之路虽长，但每一步都值得珍惜。

...lar框架的不断迭代更新，Angular（即Angular 2+）对表单处理提供了更为强大且灵活的支持。例如，Angular采用了响应式表单和模板驱动表单两种模式，允许开发者根据项目需求选择最适合的方案。 近期，Angular团队发布了Angular 13版本，其中对表单控件和验证机制进行了优化升级，新增了对可访问性规范的严格遵循以及更细致的错误提示，从而帮助开发者更好地处理表单提交行为异常，提高用户体验。同时，Angular Material库也同步更新了一系列UI组件，为表单设计与交互提供了丰富的、符合Material Design规范的选择。 此外，在实际项目中，如何结合最新的前端安全策略来防止XSS攻击和CSRF攻击也是表单提交时不可忽视的一环。开发者应确保在表单数据提交前后进行有效的验证与清理，并合理利用Angular提供的依赖注入和HTTP服务模块来进行安全的数据交互。 综上所述，掌握Angular（包括AngularJS及后续版本）中表单处理的最佳实践，不仅能够有效避免类似ngsubmit异常这样的问题，更能助力开发者构建出高效稳定、安全易用的现代Web应用。

...化技术将应用程序及其依赖环境打包成独立、可移植的软件单元。在Docker中，每个容器都是一个轻量级、隔离的操作系统层，可以在任何支持Docker的主机上运行，确保了应用在不同环境下的一致性和可移植性。 Volumes , 在Docker中，Volumes是用于持久化存储的一种机制，允许将宿主机的文件系统与容器内部的文件系统进行挂载映射。即使容器停止或重新创建，通过Volumes机制绑定的数据也能得到持久保存，实现容器内外数据的共享和持久化存储。 Dockerfile , Dockerfile是一个文本文件，包含了一系列用于构建Docker镜像的指令集合。开发人员可以通过编写Dockerfile来定义应用程序如何被封装到Docker容器中，包括所需的基础镜像、安装依赖、配置环境变量以及复制本地文件到容器内等操作步骤。通过执行docker build命令基于Dockerfile生成的镜像，可以保证每次部署时，容器内的应用程序环境一致且可重复构建。