[PSM模式对图像倾斜识别的影响]的搜索结果

...理Tesseract识别的错误和异常情况？ 在计算机视觉与光学字符识别（OCR）领域，Tesseract作为一款开源且功能强大的工具，被广泛应用。然而，在实际使用过程中，我们可能会遇到一些识别错误或异常情况，这时如何正确地理解和处理这些问题呢？本文将带你一起深入探讨，并通过实例代码来具体展示。 1. 理解Tesseract的局限性 首先，我们需要认识到即使是Tesseract这样的优秀OCR引擎，也无法做到100%准确。其性能受到图片质量、字体样式、背景复杂度等因素的影响。所以，当遇到识别出岔子的时候，咱首先别急着满世界找解决办法，而是要先稳住心态，理解和欣然接受这个实际情况。接下来，咱就可以对症下药，要么琢磨着优化一下输入的照片，要么灵活调整一下参数设定，这样就对啦！ python import pytesseract from PIL import Image 假设我们有一张较为复杂的图片需要识别 img = Image.open('complex_image.png') text = pytesseract.image_to_string(img) 如果输出的text有误，那可能是因为原始图片的质量问题 2. 图像预处理 为了提高识别准确性，对输入图像进行预处理是至关重要的一步。例如，我们可以进行灰度化、二值化、降噪、边界检测等操作。 python 对图片进行灰度化和二值化处理 img = img.convert('L').point(lambda x: 0 if x < 128 else 255, '1') 再次尝试识别 improved_text = pytesseract.image_to_string(img) 3. 调整识别参数 Tesseract提供了一系列丰富的可调参数以适应不同的场景。比如语言模型、是否启用特定字典、识别模式等。针对特定场景下的错误，可以通过调整这些参数来改善识别效果。 python 使用英语+数字的语言模型，同时启用多层识别 custom_config = r'--oem 3 --psm 6 -l eng' more_accurate_text = pytesseract.image_to_string(img, config=custom_config) 4. 结果后处理 即便进行了以上优化，识别结果仍可能出现瑕疵。这时候，我们可以灵活运用自然语言处理技术对结果进行深加工，比如纠错、分词、揪出关键词这些操作，这样一来，文本的实用性就能噌噌噌地往上提啦！ python import re from nltk.corpus import words 创建一个简单的英文单词库 english_words = set(words.words()) 对识别结果进行过滤，只保留英文单词 filtered_text = ' '.join([word for word in improved_text.split() if word.lower() in english_words]) 5. 针对异常情况的处理 当Tesseract抛出异常时，应遵循常规的异常处理原则。例如，捕获Image.open()可能导致的IOError，或者pytesseract.image_to_string()可能引发的RuntimeError等。 python try: img = Image.open('nonexistent_image.png') text = pytesseract.image_to_string(img) except IOError: print("无法打开图片文件！") except RuntimeError as e: print(f"运行时错误：{e}") 总结来说，处理Tesseract的错误和异常情况是一项涉及多个层面的工作，包括理解其内在局限性、优化输入图像、调整识别参数、结果后处理以及有效应对异常。在这个过程中，耐心调试、持续学习和实践反思都是非常关键的。让我们用人类特有的情感化思考和主观能动性去驾驭这一强大的工具，让Tesseract更好地服务于我们的需求吧！

... OS X等。它可以识别各种语言的文本，包括拉丁语系、斯拉夫语系、阿拉伯语、中文等。 三、如何使用Tesseract提取遮挡的文字？ 使用Tesseract提取遮挡的文字主要分为三个步骤：预处理图像、调用Tesseract进行识别、解析识别结果。 1. 预处理图像 在预处理图像的过程中，我们需要将图像转换为灰度图，然后进行二值化处理。这样可以使图像中的黑色文字更加突出，从而更容易被Tesseract识别。 python import cv2 import pytesseract 读取图像并转换为灰度图 img = cv2.imread('image.png', cv2.IMREAD_GRAYSCALE) 对图像进行二值化处理 _, thresholded = cv2.threshold(img, 127, 255, cv2.THRESH_BINARY) 2. 调用Tesseract进行识别 在调用Tesseract进行识别的过程中，我们需要指定要识别的语言，并设置一些参数，例如页面方向、字符间距等。 python text = pytesseract.image_to_string(thresholded, lang='eng', config='--psm 6') print(text) 3. 解析识别结果 在解析识别结果的过程中，我们可以使用正则表达式或其他方法来提取我们需要的信息。 python import re 使用正则表达式提取数字 pattern = r'\d+' numbers = re.findall(pattern, text) print(numbers) 四、总结 总的来说，使用Tesseract提取遮挡的文字是一个相对简单的过程。只要我们掌握了预处理图像、调用Tesseract进行识别和解析识别结果这三个步骤，就可以轻松地提取出被遮挡的文字信息。 最后，我想说，虽然Tesseract可以帮我们自动识别文字，但并不意味着它总是准确无误的。有时候，它的识别结果可能会有一些错误或者遗漏。这就意味着在实际操作时，咱们得灵活应对，做出一些适当的微调和优化，这样才能让识别的准确度噌噌往上涨。同时，咱们也得留意尊重别人的知识产权，别因为不小心用错了而惹来法律上的麻烦事儿。就像是别人的玩具不能随便拿过来玩一样，知识产权也是人家辛辛苦苦创造出来的成果，咱得好好保管和使用，别给自己招来不必要的官司纠纷。

OCR（光学字符识别） , OCR是一种计算机视觉技术，用于识别图像中的文本信息，并将其转换为可编辑、可搜索的数据格式。在本文的语境中，Tesseract作为一款强大的OCR工具，能够从图像中提取和识别出书面或打印的字符，以实现对图像中文本内容的理解和利用。 Page Segmentation Mode (PSM) , 在Tesseract中，Page Segmentation Mode是一项关键参数，用于控制页面布局分析的方式。它决定了Tesseract如何将图像分割成独立的区域进行文字识别，包括单行文本、多行文本、表格等不同类型的文档结构。文章中提到通过调整--psm参数可以帮助Tesseract更好地理解图像中的文本分布和排列方式，从而提高识别准确率。 Python Imaging Library (Pillow) , Pillow是Python编程语言的一个图像处理库，提供了一系列丰富的图像操作功能，如打开、保存、显示、转换颜色空间、图像裁剪、旋转等。在本文所探讨的问题情境下，开发者使用Pillow库对倾斜的图像进行了预处理，通过调用.rotate()方法手动校正了图像的角度，确保输入到Tesseract的图像已经处于合适的角度以便于识别。

光学字符识别（OCR） , 一种计算机视觉和模式识别技术，通过扫描或拍摄的方式将纸质文档、图像中的文本转换为可编辑的电子文本。在Tesseract应用中，OCR技术用于识别图像中的文字内容，包括但不限于英文、中文、日文等多种语言。 深度学习 , 一种机器学习方法，其灵感来源于人脑神经网络的工作原理，通过构建多层非线性模型对复杂数据进行高效学习与表示。在处理多语言混合文本的OCR场景中，深度学习可用于改进语言边界检测、提高文本识别准确率以及训练更强大的多语言混合识别模型。 高级配置选项（如--oem和--psm） , 在Tesseract OCR引擎中，--oem和--psm是两个重要的高级配置参数。--oem（OCR Engine Modes）定义了使用的OCR引擎模式，比如只使用内部的Tesseract引擎或者结合其他第三方引擎进行识别；而--psm（Page Segmentation Modes）则指定了页面分割模式，用于确定如何分析和识别图像中的文本布局，例如单行文本、多列文本、表格文本等不同结构。合理设置这些参数有助于优化Tesseract在处理多语言混合文本时的性能表现。

...act OCR在处理图像时遇到的文本边缘模糊问题。这个问题就像我们在翻阅一本发黄的老书时，那些模糊不清的字迹让人看得直皱眉头，根本看不清上面写了啥。Tesseract是一款挺牛的开源OCR工具，但也不是全能的，在应对某些难题时也会犯难。别怕，我来带你一起搞定这个难题，让我们的OCR识别技术更上一层楼！ 2. 文本边缘模糊的影响 首先，我们得明白为什么文本边缘模糊会对识别造成困扰。你可以试试看，当你在读文章的时候，如果字的边缘糊糊的，那你就得眯起眼睛，凑近点才能看清每个单词到底说的是啥。就像我们用眼睛看东西一样，Tesseract这样的OCR工具也要能清晰地分辨出每个字母的形状和细节，这样才能准确无误地认出它们。不过呢，如果图片里的字边边糊糊的，Tesseract 就抓不住那些细节了，结果就是它可能会认错字，甚至压根儿认不出来。 3. 常见的解决方案 那么，我们应该如何应对这种问题呢？这里有几个常见的方法，我们可以尝试一下： 3.1 图像预处理 3.1.1 二值化 首先，我们可以对图像进行二值化处理。这就像给图像穿上一件黑白的外衣，使得图像中的文本更加突出。这样，Tesseract就能更容易地识别出文本的轮廓。 python import cv2 import numpy as np 读取图像 image = cv2.imread('example.jpg', cv2.IMREAD_GRAYSCALE) 二值化处理 _, binary_image = cv2.threshold(image, 127, 255, cv2.THRESH_BINARY) 保存结果 cv2.imwrite('binary_example.jpg', binary_image) 3.1.2 锐化 其次，我们可以使用图像锐化技术来增强图像的边缘。这就像给图像打了一剂强心针，让它看起来更加清晰。 python 使用自定义核进行锐化 kernel = np.array([[0, -1, 0], [-1, 5,-1], [0, -1, 0]], dtype=np.float32) sharpened_image = cv2.filter2D(binary_image, -1, kernel) 保存结果 cv2.imwrite('sharpened_example.jpg', sharpened_image) 3.2 调整Tesseract参数 除了图像预处理之外，我们还可以通过调整Tesseract的参数来提高识别精度。Tesseract提供了许多参数，我们可以根据实际情况进行调整。 3.2.1 设置Page Segmentation Mode Tesseract的Page Segmentation Mode（PSM）参数可以帮助我们更好地控制文本区域的分割方式。例如，如果我们知道图像中只有一行文本，可以设置为PSM_SINGLE_LINE，这样Tesseract就会更专注于这一行文本的识别。 python import pytesseract 设置PSM参数 custom_config = r'--psm 6' text = pytesseract.image_to_string(sharpened_image, config=custom_config) print(text) 3.2.2 提高字符分割精度 另一个参数是Char Whitespace，它可以帮助我们更好地控制字符之间的间距。要是文本行与行之间的距离比较大，你可以把这数值调大一点。这样一来，Tesseract这个工具就能更轻松地分辨出每个字母了。 python 提高字符分割精度 custom_config = r'--oem 1 --psm 6 -c tessedit_char_whitesp=1' text = pytesseract.image_to_string(sharpened_image, config=custom_config) print(text) 4. 实战案例 接下来，让我们来看一个实战案例。假设我们有一张边缘模糊的文本图像，我们需要使用Tesseract来进行识别。 4.1 图像预处理 首先，我们对图像进行二值化和锐化处理： python import cv2 import numpy as np 读取图像 image = cv2.imread('example.jpg', cv2.IMREAD_GRAYSCALE) 二值化处理 _, binary_image = cv2.threshold(image, 127, 255, cv2.THRESH_BINARY) 使用自定义核进行锐化 kernel = np.array([[0, -1, 0], [-1, 5,-1], [0, -1, 0]], dtype=np.float32) sharpened_image = cv2.filter2D(binary_image, -1, kernel) 保存结果 cv2.imwrite('sharpened_example.jpg', sharpened_image) 4.2 调整Tesseract参数 然后，我们使用Tesseract进行识别，并设置一些参数来提高识别精度： python import pytesseract 设置PSM参数 custom_config = r'--psm 6' text = pytesseract.image_to_string(sharpened_image, config=custom_config) print(text) 4.3 结果分析 经过上述处理，我们得到了较为清晰的图像，并且识别结果也更加准确。当然，实际效果可能会因图像质量的不同而有所差异，但至少我们已经尽力了！ 5. 总结 总之，面对文本边缘模糊的问题，我们可以通过图像预处理和调整Tesseract参数来提高识别精度。虽然这招不是啥灵丹妙药，但在很多麻烦事儿上，它已经挺管用了。希望大家在使用Tesseract时能够多尝试不同的方法，找到最适合自己的方案。

... 当我们谈论光学字符识别（OCR）技术时，Tesseract作为一款强大的开源工具，无疑在众多解决方案中占据了一席之地。然而，在实际使用过程中，我们可能会遇到一个让人困扰的错误提示——"RecognitionTimeoutExceeded"。这篇文会手牵手地带你漫游在Tesseract的奇妙天地，咱们要把它掰开揉碎，把这个问题讲得透透彻彻。不仅如此，咱还会通过实实在在的代码实例，教你如何见招拆招，巧妙地避开并解决这类问题，就像个武林高手那样。 2. Tesseract 强大且易用的OCR引擎 Tesseract，由Google支持并维护，是一个拥有极高准确率和广泛语言支持的OCR引擎。它能够识别图像中的文本信息，并将其转换为可编辑、可搜索的数据格式。就像生活中的各种复杂玩意儿一样，Tesseract这家伙在对付某些刁钻场景或是处理大工程时，也有可能会“卡壳”，闹个小脾气，这就引出了我们今天要讨论的“RecognitionTimeoutExceeded”这个问题啦。 3. “RecognitionTimeoutExceeded”：问题解析 - 定义：当Tesseract在规定的时间内无法完成对输入图像的识别工作时，就会抛出“RecognitionTimeoutExceeded”异常。这个时间限制是Tesseract自己内部定的一个规矩，主要是为了避免在碰到那些耗时又没啥结果，或者根本就解不开的难题时，它没完没了地运转下去。 - 原因：这种超时可能由于多种因素引起，例如图像质量差、字体复杂度高、文字区域过于密集或者识别参数设置不当等。尤其是对于复杂的、难以解析的图片，Tesseract可能需要更多的时间来尝试识别。 4. 代码示例及解决策略 (a) 示例一：调整识别超时时间 python import pytesseract from PIL import Image 加载图像 img = Image.open('complex_image.png') 设置Tesseract识别超时时间为60秒（默认通常为5秒） pytesseract.pytesseract.tesseract_cmd = 'path_to_your_tesseract_executable' config = '--oem 3 --psm 6 -c tessedit_timeout=60' text = pytesseract.image_to_string(img, config=config) print(text) 在这个例子中，我们通过修改tessedit_timeout配置项，将识别超时时间从默认的5秒增加到了60秒，以适应更复杂的识别场景。 (b) 示例二：优化图像预处理 有时，即使延长超时时间也无法解决问题，这时我们需要关注图像本身的优化。以下是一个简单的预处理步骤示例： python import cv2 import pytesseract 加载图像并灰度化 img = cv2.imread('complex_image.png', cv2.IMREAD_GRAYSCALE) 使用阈值进行二值化处理 _, img = cv2.threshold(img, 180, 255, cv2.THRESH_BINARY_INV) 再次尝试识别 text = pytesseract.image_to_string(img) print(text) 通过图像预处理（如灰度化、二值化等），可以显著提高Tesseract的识别效率和准确性，从而避免超时问题。 5. 思考与讨论 虽然调整超时时间和优化图像预处理可以在一定程度上缓解“RecognitionTimeoutExceeded”问题，但我们也要意识到，这并非万能良药。对于某些极其复杂的图像识别难题，我们可能还需要更进一步，捣鼓出更高阶的算法优化手段，或者考虑给硬件设备升个级，甚至可以试试分布式计算这种“大招”，来搞定它。 总之，面对Tesseract的“RecognitionTimeoutExceeded”，我们需要保持耐心与探究精神，通过不断调试和优化，才能让这款强大的OCR工具发挥出最大的效能。 结语 在技术的海洋里航行，难免会遭遇风浪，而像Tesseract这样强大的工具也不例外。当你真正摸清了“RecognitionTimeoutExceeded”这个小妖精的来龙去脉，以及应对它的各种妙招，就能把Tesseract这员大将驯得服服帖帖，在咱们的项目里发挥核心作用，推着我们在OCR的世界里一路狂奔，不断刷新成绩，取得更大的突破。

...海量内容中筛选出千级别的内容库。召回策略最重要的要求是性能要极致，一般超时不能超过50毫秒。 召回策略种类有很多，我们主要用的是倒排的思路。离线维护一个倒排，这个倒排的key可以是分类，topic，实体，来源等。 排序考虑热度、新鲜度、动作等。线上召回可以迅速从倒排中根据用户兴趣标签对内容做截断，高效的从很大的内容库中筛选比较靠谱的一小部分内容。 二、内容分析 内容分析包括文本分析，图片分析和视频分析。头条一开始主要做资讯，今天我们主要讲一下文本分析。文本分析在推荐系统中一个很重要的作用是用户兴趣建模。 没有内容及文本标签，无法得到用户兴趣标签。举个例子，只有知道文章标签是互联网，用户看了互联网标签的文章，才能知道用户有互联网标签，其他关键词也一样。 另一方面，文本内容的标签可以直接帮助推荐特征，比如魅族的内容可以推荐给关注魅族的用户，这是用户标签的匹配。 如果某段时间推荐主频道效果不理想，出现推荐窄化，用户会发现到具体的频道推荐（如科技、体育、娱乐、军事等）中阅读后，再回主feed,推荐效果会更好。 因为整个模型是打通的，子频道探索空间较小，更容易满足用户需求。只通过单一信道反馈提高推荐准确率难度会比较大，子频道做的好很重要。而这也需要好的内容分析。 上图是今日头条的一个实际文本case。可以看到，这篇文章有分类、关键词、topic、实体词等文本特征。 当然不是没有文本特征，推荐系统就不能工作，推荐系统最早期应用在Amazon,甚至沃尔玛时代就有，包括Netfilx做视频推荐也没有文本特征直接协同过滤推荐。 但对资讯类产品而言，大部分是消费当天内容，没有文本特征新内容冷启动非常困难，协同类特征无法解决文章冷启动问题。 今日头条推荐系统主要抽取的文本特征包括以下几类。首先是语义标签类特征，显式为文章打上语义标签。 这部分标签是由人定义的特征，每个标签有明确的意义，标签体系是预定义的。 此外还有隐式语义特征，主要是topic特征和关键词特征，其中topic特征是对于词概率分布的描述，无明确意义；而关键词特征会基于一些统一特征描述，无明确集合。 另外文本相似度特征也非常重要。在头条，曾经用户反馈最大的问题之一就是为什么总推荐重复的内容。这个问题的难点在于，每个人对重复的定义不一样。 举个例子，有人觉得这篇讲皇马和巴萨的文章，昨天已经看过类似内容，今天还说这两个队那就是重复。 但对于一个重度球迷而言，尤其是巴萨的球迷，恨不得所有报道都看一遍。解决这一问题需要根据判断相似文章的主题、行文、主体等内容，根据这些特征做线上策略。 同样，还有时空特征，分析内容的发生地点以及时效性。比如武汉限行的事情推给北京用户可能就没有意义。 最后还要考虑质量相关特征，判断内容是否低俗，色情，是否是软文，鸡汤？ 上图是头条语义标签的特征和使用场景。他们之间层级不同，要求不同。 分类的目标是覆盖全面，希望每篇内容每段视频都有分类；而实体体系要求精准，相同名字或内容要能明确区分究竟指代哪一个人或物，但不用覆盖很全。 概念体系则负责解决比较精确又属于抽象概念的语义。这是我们最初的分类，实践中发现分类和概念在技术上能互用，后来统一用了一套技术架构。 目前，隐式语义特征已经可以很好的帮助推荐，而语义标签需要持续标注，新名词新概念不断出现，标注也要不断迭代。其做好的难度和资源投入要远大于隐式语义特征，那为什么还需要语义标签？ 有一些产品上的需要，比如频道需要有明确定义的分类内容和容易理解的文本标签体系。语义标签的效果是检查一个公司NLP技术水平的试金石。 今日头条推荐系统的线上分类采用典型的层次化文本分类算法。 最上面Root，下面第一层的分类是像科技、体育、财经、娱乐，体育这样的大类，再下面细分足球、篮球、乒乓球、网球、田径、游泳…，足球再细分国际足球、中国足球，中国足球又细分中甲、中超、国家队…，相比单独的分类器，利用层次化文本分类算法能更好地解决数据倾斜的问题。 有一些例外是，如果要提高召回，可以看到我们连接了一些飞线。这套架构通用，但根据不同的问题难度，每个元分类器可以异构，像有些分类SVM效果很好，有些要结合CNN，有些要结合RNN再处理一下。 上图是一个实体词识别算法的case。基于分词结果和词性标注选取候选，期间可能需要根据知识库做一些拼接，有些实体是几个词的组合，要确定哪几个词结合在一起能映射实体的描述。 如果结果映射多个实体还要通过词向量、topic分布甚至词频本身等去歧，最后计算一个相关性模型。 三、用户标签 内容分析和用户标签是推荐系统的两大基石。内容分析涉及到机器学习的内容多一些，相比而言，用户标签工程挑战更大。 今日头条常用的用户标签包括用户感兴趣的类别和主题、关键词、来源、基于兴趣的用户聚类以及各种垂直兴趣特征（车型，体育球队，股票等）。还有性别、年龄、地点等信息。 性别信息通过用户第三方社交账号登录得到。年龄信息通常由模型预测，通过机型、阅读时间分布等预估。 常驻地点来自用户授权访问位置信息，在位置信息的基础上通过传统聚类的方法拿到常驻点。 常驻点结合其他信息，可以推测用户的工作地点、出差地点、旅游地点。这些用户标签非常有助于推荐。 当然最简单的用户标签是浏览过的内容标签。但这里涉及到一些数据处理策略。 主要包括： 一、过滤噪声。通过停留时间短的点击，过滤标题党。 二、热点惩罚。对用户在一些热门文章（如前段时间PG One的新闻）上的动作做降权处理。理论上，传播范围较大的内容，置信度会下降。 三、时间衰减。用户兴趣会发生偏移，因此策略更偏向新的用户行为。因此，随着用户动作的增加，老的特征权重会随时间衰减，新动作贡献的特征权重会更大。 四、惩罚展现。如果一篇推荐给用户的文章没有被点击，相关特征（类别，关键词，来源）权重会被惩罚。当 然同时，也要考虑全局背景，是不是相关内容推送比较多，以及相关的关闭和dislike信号等。 用户标签挖掘总体比较简单，主要还是刚刚提到的工程挑战。头条用户标签第一版是批量计算框架，流程比较简单，每天抽取昨天的日活用户过去两个月的动作数据，在Hadoop集群上批量计算结果。 但问题在于，随着用户高速增长，兴趣模型种类和其他批量处理任务都在增加，涉及到的计算量太大。 2014年，批量处理任务几百万用户标签更新的Hadoop任务，当天完成已经开始勉强。集群计算资源紧张很容易影响其它工作，集中写入分布式存储系统的压力也开始增大，并且用户兴趣标签更新延迟越来越高。 面对这些挑战。2014年底今日头条上线了用户标签Storm集群流式计算系统。改成流式之后，只要有用户动作更新就更新标签，CPU代价比较小，可以节省80%的CPU时间，大大降低了计算资源开销。 同时，只需几十台机器就可以支撑每天数千万用户的兴趣模型更新，并且特征更新速度非常快，基本可以做到准实时。这套系统从上线一直使用至今。 当然，我们也发现并非所有用户标签都需要流式系统。像用户的性别、年龄、常驻地点这些信息，不需要实时重复计算，就仍然保留daily更新。 四、评估分析 上面介绍了推荐系统的整体架构，那么如何评估推荐效果好不好？ 有一句我认为非常有智慧的话，“一个事情没法评估就没法优化”。对推荐系统也是一样。 事实上，很多因素都会影响推荐效果。比如侯选集合变化，召回模块的改进或增加，推荐特征的增加，模型架构的改进在，算法参数的优化等等，不一一举例。 评估的意义就在于，很多优化最终可能是负向效果，并不是优化上线后效果就会改进。 全面的评估推荐系统，需要完备的评估体系、强大的实验平台以及易用的经验分析工具。 所谓完备的体系就是并非单一指标衡量，不能只看点击率或者停留时长等，需要综合评估。 很多公司算法做的不好，并非是工程师能力不够，而是需要一个强大的实验平台，还有便捷的实验分析工具，可以智能分析数据指标的置信度。 一个良好的评估体系建立需要遵循几个原则，首先是兼顾短期指标与长期指标。我在之前公司负责电商方向的时候观察到，很多策略调整短期内用户觉得新鲜，但是长期看其实没有任何助益。 其次，要兼顾用户指标和生态指标。既要为内容创作者提供价值，让他更有尊严的创作，也有义务满足用户，这两者要平衡。 还有广告主利益也要考虑，这是多方博弈和平衡的过程。 另外，要注意协同效应的影响。实验中严格的流量隔离很难做到，要注意外部效应。 强大的实验平台非常直接的优点是，当同时在线的实验比较多时，可以由平台自动分配流量，无需人工沟通，并且实验结束流量立即回收，提高管理效率。 这能帮助公司降低分析成本，加快算法迭代效应，使整个系统的算法优化工作能够快速往前推进。 这是头条A/B Test实验系统的基本原理。首先我们会做在离线状态下做好用户分桶，然后线上分配实验流量，将桶里用户打上标签，分给实验组。 举个例子，开一个10%流量的实验，两个实验组各5%，一个5%是基线，策略和线上大盘一样，另外一个是新的策略。 实验过程中用户动作会被搜集，基本上是准实时，每小时都可以看到。但因为小时数据有波动，通常是以天为时间节点来看。动作搜集后会有日志处理、分布式统计、写入数据库，非常便捷。 在这个系统下工程师只需要设置流量需求、实验时间、定义特殊过滤条件，自定义实验组ID。系统可以自动生成：实验数据对比、实验数据置信度、实验结论总结以及实验优化建议。 当然，只有实验平台是远远不够的。线上实验平台只能通过数据指标变化推测用户体验的变化，但数据指标和用户体验存在差异，很多指标不能完全量化。 很多改进仍然要通过人工分析，重大改进需要人工评估二次确认。 五、内容安全 最后要介绍今日头条在内容安全上的一些举措。头条现在已经是国内最大的内容创作与分发凭条，必须越来越重视社会责任和行业领导者的责任。如果1%的推荐内容出现问题，就会产生较大的影响。 现在，今日头条的内容主要来源于两部分，一是具有成熟内容生产能力的PGC平台 一是UGC用户内容，如问答、用户评论、微头条。这两部分内容需要通过统一的审核机制。如果是数量相对少的PGC内容，会直接进行风险审核，没有问题会大范围推荐。 UGC内容需要经过一个风险模型的过滤，有问题的会进入二次风险审核。审核通过后，内容会被真正进行推荐。这时如果收到一定量以上的评论或者举报负向反馈，还会再回到复审环节，有问题直接下架。 整个机制相对而言比较健全，作为行业领先者，在内容安全上，今日头条一直用最高的标准要求自己。 分享内容识别技术主要鉴黄模型，谩骂模型以及低俗模型。今日头条的低俗模型通过深度学习算法训练，样本库非常大，图片、文本同时分析。 这部分模型更注重召回率，准确率甚至可以牺牲一些。谩骂模型的样本库同样超过百万，召回率高达95%+，准确率80%+。如果用户经常出言不讳或者不当的评论，我们有一些惩罚机制。 泛低质识别涉及的情况非常多，像假新闻、黑稿、题文不符、标题党、内容质量低等等，这部分内容由机器理解是非常难的，需要大量反馈信息，包括其他样本信息比对。 目前低质模型的准确率和召回率都不是特别高，还需要结合人工复审，将阈值提高。目前最终的召回已达到95%，这部分其实还有非常多的工作可以做。别平台。 如果需要机器学习视频，可以在公众号后台聊天框回复【机器学习】，可以免费获取编程视频 。 你可能还喜欢 数学在机器学习中到底有多重要？ AI 新手学习路线，附上最详细的资源整理！ 提升机器学习数学基础，推荐7本书 酷爆了！围观2020年十大科技趋势 机器学习该如何入门，听听过来人的经验！ 长按加入T圈，接触人工智能 觉得内容还不错的话，给我点个“在看”呗 本篇文章为转载内容。原文链接：https://blog.csdn.net/itcodexy/article/details/109574173。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...上看起来要深远得多的影响（参见：《深挖CVE-2018-10933（libssh服务端校验绕过）兼谈软件供应链真实威胁》）。 以上这些，抛开体系化的设想，只看案例，可能会得到这样的印象：这种威胁，都是由蓄意的上游或第三方参与者造成的；即便在最极端情况下，假使一个大型软件商或开源组织，被发现存在广泛、恶意的上游代码污染，那它顶多也不过相当于“奥创”一样的邪恶寡头，与其划清界限、清除历史包袱即可，虽然可能有阵痛。 可惜，并非如此。 在我们组织比赛的后半程中，对我们面临的这种威胁类型，不断有孤立的事例看似随机地发生，对此我以随笔的方式对它们做了分析和记录，以下与大家分享。 Ⅰ. 从感染到遗传：LibVNC与TightVNC系列漏洞 2018年12月10日晚9:03，OSS漏洞预警平台弹出的一封漏洞披露邮件，引起了我的注意。披露者是卡巴斯基工控系统漏洞研究组的Pavel Cheremushkin。 一些必要背景 VNC是一套屏幕图像分享和远程操作软件，底层通信为RFB协议，由剑桥某实验室开发，后1999年并入AT&T，2002年关停实验室与项目，VNC开源发布。 VNC本被设计用在局域网环境，且诞生背景决定其更倾向研究性质，商用级安全的缺失始终是个问题。后续有若干新的实现软件，如TightVNC、RealVNC，在公众认知中，AT&T版本已死，后起之秀一定程度上修正了问题。 目前各种更优秀的远程控制和分享协议取代了VNC的位置，尽管例如苹果仍然系统內建VNC作为远程方式。但在非桌面领域，VNC还有我们想不到的重要性，比如工控领域需要远程屏幕传输的场景，这也是为什么这系列漏洞作者会关注这一块。 漏洞技术概况 Pavel总结到，在阶段漏洞挖掘中共上报11个漏洞。在披露邮件中描述了其中4个的技术细节，均在协议数据包处理代码中，漏洞类型古典，分别是全局缓冲区溢出、堆溢出和空指针解引用。其中缓冲区溢出类型漏洞可方便构造PoC，实现远程任意代码执行的漏洞利用。 漏洞本身原理简单，也并不是关键。以其中一个为例，Pavel在发现时负责任地向LibVNC作者提交了issue，并跟进漏洞修复过程；在第一次修复之后，复核并指出修复代码无效，给出了有效patch。这个过程是常规操作。 漏洞疑点 有意思的是，在漏洞披露邮件中，Pavel重点谈了自己对这系列漏洞的一些周边发现，也是这里提到的原因。其中，关于存在漏洞的代码，作者表述： 我最初认为，这些问题是libvnc开发者自己代码中的错误，但看起来并非如此。其中有一些（如CoRRE数据处理函数中的堆缓冲区溢出），出现在AT&T实验室1999年的代码中，而后被很多软件开发者原样复制（在Github上搜索一下HandleCoRREBPP函数，你就知道），LibVNC和TightVNC也是如此。 为了证实，翻阅了这部分代码，确实在其中数据处理相关代码文件看到了剑桥和AT&T实验室的文件头GPL声明注释，中国菜刀 这证实这些文件是直接从最初剑桥实验室版本VNC移植过来的，且使用方式是 直接代码包含，而非独立库引用方式。在官方开源发布并停止更新后，LibVNC使用的这部分代码基本没有改动——除了少数变量命名方式的统一，以及本次漏洞修复。通过搜索，我找到了2000年发布的相关代码文件，确认这些文件与LibVNC中引入的原始版本一致。 另外，Pavel同时反馈了TightVNC中相同的问题。TightVNC与LibVNC没有继承和直接引用关系，但上述VNC代码同样被TightVNC使用，问题的模式不约而同。Pavel测试发现在Ubuntu最新版本TightVNC套件（1.3.10版本）中同样存在该问题，上报给当前软件所有者GlavSoft公司，但对方声称目前精力放在不受GPL限制的TightVNC 2.x版本开发中，对开源的1.x版本漏洞代码“可能会进行修复”。看起来，这个问题被踢给了各大Linux发行版社区来焦虑了——如果他们愿意接锅。 问题思考 在披露邮件中，Pavel认为，这些代码bug“如此明显，让人无法相信之前没被人发现过……也许是因为某些特殊理由才始终没得到修复”。 事实上，我们都知道目前存在一些对开源基础软件进行安全扫描的大型项目，例如Google的OSS；同时，仍然存活的开源项目也越来越注重自身代码发布前的安全扫描，Fortify、Coverity的扫描也成为很多项目和平台的标配。在这样一些眼睛注视下，为什么还有这样的问题？我认为就这个具体事例来说，可能有如下两个因素： ·上游已死。仍然在被维护的代码，存在版本更迭，也存在外界的持续关注、漏洞报告和修复、开发的迭代，对于负责人的开发者，持续跟进、评估、同步代码的改动是可能的。但是一旦一份代码走完了生命周期，就像一段史实一样会很少再被改动。 ·对第三方上游代码的无条件信任。我们很多人都有过基础组件、中间件的开发经历，不乏有人使用Coverity开启全部规则进行代码扫描、严格修复所有提示的问题甚至编程规范warning；报告往往很长，其中也包括有源码形式包含的第三方代码中的问题。但是，我们一方面倾向于认为这些被广泛使用的代码不应存在问题（不然早就被人挖过了），一方面考虑这些引用的代码往往是组件或库的形式被使用，应该有其上下文才能认定是否确实有可被利用的漏洞条件，现在单独扫描这部分代码一般出来的都是误报。所以这些代码的问题都容易被忽视。 但是透过这个具体例子，再延伸思考相关的实践，这里最根本的问题可以总结为一个模式： 复制粘贴风险。复制粘贴并不简单意味着剽窃，实际是当前软件领域、互联网行业发展的基础模式，但其中有一些没人能尝试解决的问题： ·在传统代码领域，如C代码中，对第三方代码功能的复用依赖，往往通过直接进行库的引入实现，第三方代码独立而完整，也较容易进行整体更新；这是最简单的情况，只需要所有下游使用者保证仅使用官方版本，跟进官方更新即可；但在实践中很难如此贯彻，这是下节讨论的问题。 ·有些第三方发布的代码，模式就是需要被源码形式包含到其他项目中进行统一编译使用（例如腾讯的开源Json解析库RapidJSON，就是纯C++头文件形式）。在开源领域有如GPL等规约对此进行规范，下游开发者遵循协议，引用代码，强制或可选地显式保留其GPL声明，可以进行使用和更改。这样的源码依赖关系，结合规范化的changelog声明代码改动，侧面也是为开发过程中跟进考虑。但是一个成型的产品，比如企业自有的服务端底层产品、中间件，新版本的发版更新是复杂的过程，开发者在旧版本仍然“功能正常”的情况下往往倾向于不跟进新版本；而上游代码如果进行安全漏洞修复，通常也都只在其最新版本代码中改动，安全修复与功能迭代并存，如果没有类似Linux发行版社区的努力，旧版本代码完全没有干净的安全更新patch可用。 ·在特定场景下，有些开发实践可能不严格遵循开源代码协议限定，引入了GPL等协议保护的代码而不做声明（以规避相关责任），丢失了引入和版本的信息跟踪；在另一些场景下，可能存在对开源代码进行大刀阔斧的修改、剪裁、定制，以符合自身业务的极端需求，但是过多的修改、人员的迭代造成与官方代码严重的失同步，丧失可维护性。 ·更一般的情况是，在开发中，开发者个体往往心照不宣的存在对网上代码文件、代码片段的复制-粘贴操作。被参考的代码，可能有上述的开源代码，也可能有各种Github作者练手项目、技术博客分享的代码片段、正式开源项目仅用来说明用法的不完备示例代码。这些代码的引入完全无迹可寻，即便是作者自己也很难解释用了什么。这种情况下，上面两条认定的那些与官方安全更新失同步的问题同样存在，且引入了独特的风险：被借鉴的代码可能只是原作者随手写的、仅仅是功能成立的片段，甚至可能是恶意作者随意散布的有安全问题的代码。由此，问题进入了最大的发散空间。 在Synopsys下BLACKDUCK软件之前发布的《2018 Open Source Security and Risk Analysis Report》中分析，96%的应用中包含有开源组件和代码，开源代码在应用全部代码中的占比约为57%，78%的应用中在引用的三方开源代码中存在历史漏洞。也就是说，现在互联网上所有厂商开发的软件、应用，其开发人员自己写的代码都是一少部分，多数都是借鉴来的。而这还只是可统计、可追溯的；至于上面提到的非规范的代码引用，如果也纳入进来考虑，三方代码占应用中的比例会上升到多少？曾经有分析认为至少占80%，我们只期望不会更高。 Ⅱ. 从碎片到乱刃：OpenSSH在野后门一览 在进行基础软件梳理时，回忆到反病毒安全软件提供商ESET在2018年十月发布的一份白皮书《THE DARK SIDE OF THE FORSSHE: A landscape of OpenSSH backdoors》。其站在一个具有广泛用户基础的软件提供商角度，给出了一份分析报告，数据和结论超出我们对于当前基础软件使用全景的估量。以下以我的角度对其中一方面进行解读。 一些必要背景 SSH的作用和重要性无需赘言；虽然我们站在传统互联网公司角度，可以认为SSH是通往生产服务器的生命通道，但当前多样化的产业环境已经不止于此（如之前libssh事件中，不幸被我言中的，SSH在网络设备、IoT设备上（如f5）的广泛使用）。 OpenSSH是目前绝大多数SSH服务端的基础软件，有完备的开发团队、发布规范、维护机制，本身是靠谱的。如同绝大多数基础软件开源项目的做法，OpenSSH对漏洞有及时的响应，针对最新版本代码发出安全补丁，但是各大Linux发行版使用的有各种版本的OpenSSH，这些社区自行负责将官方开发者的安全补丁移植到自己系统搭载的低版本代码上。天空彩 白皮书披露的现状 如果你是一个企业的运维管理人员，需要向企业生产服务器安装OpenSSH或者其它基础软件，最简单的方式当然是使用系统的软件管理安装即可。但是有时候，出于迁移成本考虑，可能企业需要在一个旧版本系统上，使用较新版本的OpenSSL、OpenSSH等基础软件，这些系统不提供，需要自行安装；或者需要一个某有种特殊特性的定制版本。这时，可能会选择从某些rpm包集中站下载某些不具名第三方提供的现成的安装包，或者下载非官方的定制化源码本地编译后安装，总之从这里引入了不确定性。 这种不确定性有多大？我们粗估一下，似乎不应成为问题。但这份白皮书给我们看到了鲜活的数据。 ESET研究人员从OpenSSH的一次历史大规模Linux服务端恶意软件Windigo中获得启示，采用某种巧妙的方式，面向在野的服务器进行数据采集，主要是系统与版本、安装的OpenSSH版本信息以及服务端程序文件的一个特殊签名。整理一个签名白名单，包含有所有能搜索到的官方发布二进制版本、各大Linux发行版本各个版本所带的程序文件版本，将这些标定为正常样本进行去除。最终结论是： ·共发现了几百个非白名单版本的OpenSSH服务端程序文件ssh和sshd； ·分析这些样本，将代码部分完全相同，仅仅是数据和配置不同的合并为一类，且分析判定确认有恶意代码的，共归纳为 21个各异的恶意OpenSSH家族； ·在21个恶意家族中，有12个家族在10月份时完全没有被公开发现分析过；而剩余的有一部分使用了历史上披露的恶意代码样本，甚至有源代码； ·所有恶意样本的实现，从实现复杂度、代码混淆和自我保护程度到代码特征有很大跨度的不同，但整体看，目的以偷取用户凭证等敏感信息、回连外传到攻击者为主，其中有的攻击者回连地址已经存在并活跃数年之久； ·这些后门的操控者，既有传统恶意软件黑产人员，也有APT组织； ·所有恶意软件或多或少都在被害主机上有未抹除的痕迹。ESET研究者尝试使用蜜罐引诱出攻击者，但仍有许多未解之谜。这场对抗，仍未取胜。 白皮书用了大篇幅做技术分析报告，此处供细节分析，不展开分析，以下为根据恶意程序复杂度描绘的21个家族图谱： 问题思考 问题引入的可能渠道，我在开头进行了一点推测，主要是由人的原因切入的，除此以外，最可能的是恶意攻击者在利用各种方法入侵目标主机后，主动替换了目标OpenSSH为恶意版本，从而达成攻击持久化操作。但是这些都是止血的安全运维人员该考虑的事情；关键问题是，透过表象，这显露了什么威胁形式？ 这个问题很好回答，之前也曾经反复说过：基础软件碎片化。 如上一章节简单提到，在开发过程中有各种可能的渠道引入开发者不完全了解和信任的代码；在运维过程中也是如此。二者互相作用，造成了软件碎片化的庞杂现状。在企业内部，同一份基础软件库，可能不同的业务线各自定制一份，放到企业私有软件仓库源中，有些会有人持续更新供自己产品使用，有些由系统软件基础设施维护人员单独维护，有些则可能是开发人员临时想起来上传的，他们自己都不记得；后续用到的这个基础软件的开发和团队，在这个源上搜索到已有的库，很大概率会倾向于直接使用，不管来源、是否有质量背书等。长此以往问题会持续发酵。而我们开最坏的脑洞，是否可能有黑产人员入职到内部，提交个恶意基础库之后就走人的可能？现行企业安全开发流程中审核机制的普遍缺失给这留下了空位。 将源码来源碎片化与二进制使用碎片化并起来考虑，我们不难看到一个远远超过OpenSSH事件威胁程度的图景。但这个问题不是仅仅靠开发阶段规约、运维阶段规范、企业内部管控、行业自查、政府监管就可以根除的，最大的问题归根结底两句话： 不可能用一场战役对抗持续威胁；不可能用有限分析对抗无限未知。 Ⅲ. 从自信到自省：RHEL、CentOS backport版本BIND漏洞 2018年12月20日凌晨，在备战冬至的软件供应链安全大赛决赛时，我注意到漏洞预警平台捕获的一封邮件。但这不是一个漏洞初始披露邮件，而是对一个稍早已披露的BIND在RedHat、CentOS发行版上特定版本的1day漏洞CVE-2018-5742，由BIND的官方开发者进行额外信息澄(shuǎi)清(guō)的邮件。 一些必要背景 关于BIND 互联网的一个古老而基础的设施是DNS，这个概念在读者不应陌生。而BIND“是现今互联网上最常使用的DNS软件，使用BIND作为服务器软件的DNS服务器约占所有DNS服务器的九成。BIND现在由互联网系统协会负责开发与维护参考。”所以BIND的基础地位即是如此，因此也一向被大量白帽黑帽反复测试、挖掘漏洞，其开发者大概也一直处在紧绷着应对的处境。 关于ISC和RedHat 说到开发者，上面提到BIND的官方开发者是互联网系统协会（ISC）。ISC是一个老牌非营利组织，目前主要就是BIND和DHCP基础设施的维护者。而BIND本身如同大多数历史悠久的互联网基础开源软件，是4个UCB在校生在DARPA资助下于1984年的实验室产物，直到2012年由ISC接管。 那么RedHat在此中是什么角色呢？这又要提到我之前提到的Linux发行版和自带软件维护策略。Red Hat Enterprise Linux（RHEL）及其社区版CentOS秉持着稳健的软件策略，每个大的发行版本的软件仓库，都只选用最必要且质量久经时间考验的软件版本，哪怕那些版本实在是老掉牙。这不是一种过分的保守，事实证明这种策略往往给RedHat用户在最新漏洞面前提供了保障——代码总是跑得越少，潜在漏洞越多。 但是这有两个关键问题。一方面，如果开源基础软件被发现一例有历史沿革的代码漏洞，那么官方开发者基本都只为其最新代码负责，在当前代码上推出修复补丁。另一方面，互联网基础设施虽然不像其上的应用那样爆发性迭代，但依然持续有一些新特性涌现，其中一些是必不可少的，但同样只在最新代码中提供。两个刚需推动下，各Linux发行版对长期支持版本系统的软件都采用一致的策略，即保持其基础软件在一个固定的版本，但对于这些版本软件的最新漏洞、必要的最新软件特性，由发行版维护者将官方开发者最新代码改动“向后移植”到旧版本代码中，即backport。这就是基础软件的“官宣”碎片化的源头。 讲道理，Linux发行版维护者与社区具有比较靠谱的开发能力和监督机制，backport又基本就是一些复制粘贴工作，应当是很稳当的……但真是如此吗？ CVE-2018-5742漏洞概况 CVE-2018-5742是一个简单的缓冲区溢出类型漏洞，官方评定其漏洞等级moderate，认为危害不大，漏洞修复不积极，披露信息不多，也没有积极给出代码修复patch和新版本rpm包。因为该漏洞仅在设置DEBUG_LEVEL为10以上才会触发，由远程攻击者构造畸形请求造成BIND服务崩溃，在正常的生产环境几乎不可能具有危害，RedHat官方也只是给出了用户自查建议。 这个漏洞只出现在RHEL和CentOS版本7中搭载的BIND 9.9.4-65及之后版本。RedHat同ISC的声明中都证实，这个漏洞的引入原因，是RedHat在尝试将BIND 9.11版本2016年新增的NTA机制向后移植到RedHat 7系中固定搭载的BIND 9.9版本代码时，偶然的代码错误。NTA是DNS安全扩展（DNSSEC）中，用于在特定域关闭DNSSEC校验以避免不必要的校验失败的机制；但这个漏洞不需要对NTA本身有进一步了解。 漏洞具体分析 官方没有给出具体分析，但根据CentOS社区里先前有用户反馈的bug，我得以很容易还原漏洞链路并定位到根本原因。 若干用户共同反馈，其使用的BIND 9.9.4-RedHat-9.9.4-72.el7发生崩溃（coredump），并给出如下的崩溃时调用栈backtrace： 这个调用过程的逻辑为，在9 dns_message_logfmtpacket函数判断当前软件设置是否DEBUG_LEVEL大于10，若是，对用户请求数据包做日志记录，先后调用8 dns_message_totext、7 dns_message_sectiontotext、6 dns_master_rdatasettotext、5 rdataset_totext将请求进行按协议分解分段后写出。 由以上关键调用环节，联动RedHat在9.9.4版本BIND源码包中关于引入NTA特性的源码patch，进行代码分析，很快定位到问题产生的位置，在上述backtrace中的5，masterdump.c文件rdataset_totext函数。漏洞相关代码片段中，RedHat进行backport后，这里引入的代码为： 这里判断对于请求中的注释类型数据，直接通过isc_buffer_putstr宏对缓存进行操作，在BIND工程中自定义维护的缓冲区结构对象target上，附加一字节字符串（一个分号）。而漏洞就是由此产生：isc_buffer_putstr中不做缓冲区边界检查保证，这里在缓冲区已满情况下将造成off-by-one溢出，并触发了缓冲区实现代码中的assertion。 而ISC上游官方版本的代码在这里是怎么写的呢？找到ISC版本BIND 9.11代码，这里是这样的： 这里可以看到，官方代码在做同样的“附加一个分号”这个操作时，审慎的使用了做缓冲区剩余空间校验的str_totext函数，并额外做返回值成功校验。而上述提到的str_totext函数与RETERR宏，在移植版本的masterdump.c中，RedHat开发者也都做了保留。但是，查看代码上下文发现，在RedHat开发者进行代码移植过程中，对官方代码进行了功能上的若干剪裁，包括一些细分数据类型记录的支持；而这里对缓冲区写入一字节，也许开发者完全没想到溢出的可能，所以自作主张地简化了代码调用过程。 问题思考 这个漏洞本身几乎没什么危害，但是背后足以引起思考。 没有人在“借”别人代码时能不出错 不同于之前章节提到的那种场景——将代码文件或片段复制到自己类似的代码上下文借用——backport作为一种官方且成熟的做法，借用的代码来源、粘贴到的代码上下文，是具有同源属性的，而且开发者一般是追求稳定性优先的社区开发人员，似乎质量应该有足够保障。但是这里的关键问题是：代码总要有一手、充分的语义理解，才能有可信的使用保障；因此，只要是处理他人的代码，因为不够理解而错误使用的风险，只可能减小，没办法消除。 如上分析，本次漏洞的产生看似只是做代码移植的开发者“自作主张”之下“改错了”。但是更广泛且可能的情况是，原始开发者在版本迭代中引入或更新大量基础数据结构、API的定义，并用在新的特性实现代码中；而后向移植开发人员仅需要最小规模的功能代码，所以会对增量代码进行一定规模的修改、剪裁、还原，以此适应旧版本基本代码。这些过程同样伴随着第三方开发人员不可避免的“望文生义”，以及随之而来的风险。后向移植操作也同样助长了软件碎片化过程，其中每一个碎片都存在这样的问题；每一个碎片在自身生命周期也将有持续性影响。 多级复制粘贴无异于雪上加霜 这里简单探讨的是企业通行的系统和基础软件建设实践。一些国内外厂商和社区发布的定制化Linux发行版，本身是有其它发行版，如CentOS特定版本渊源的，在基础软件上即便同其上游发行版最新版本间也存在断层滞后。RedHat相对于基础软件开发者之间已经隔了一层backport，而我们则人为制造了二级风险。 在很多基础而关键的软件上，企业系统基础设施的维护者出于与RedHat类似的初衷，往往会决定自行backport一份拷贝；通过早年心脏滴血事件的洗礼，即暴露出来OpenSSL一个例子。无论是需要RHEL还没来得及移植的新版本功能特性，还是出于对特殊使用上下文场景中更高执行效率的追求，企业都可能自行对RHEL上基础软件源码包进行修改定制重打包。这个过程除了将风险幂次放大外，也进一步加深了代码的不可解释性（包括基础软件开发人员流动性带来的不可解释）。 Ⅳ. 从武功到死穴：从systemd-journald信息泄露一窥API误用 1月10日凌晨两点，漏洞预警平台爬收取一封漏洞披露邮件。披露者是Qualys，那就铁定是重型发布了。最后看披露漏洞的目标，systemd？这就非常有意思了。 一些必要背景 systemd是什么，不好简单回答。Linux上面软件命名，习惯以某软件名后带个‘d’表示后台守护管理程序；所以systemd就可以说是整个系统的看守吧。而即便现在描述了systemd是什么，可能也很快会落伍，因为其初始及核心开发者Lennart Poettering（供职于Red Hat）描述它是“永无开发完结完整、始终跟进技术进展的、统一所有发行版无止境的差异”的一种底层软件。笼统讲有三个作用：中央化系统及设置管理；其它软件开发的基础框架；应用程序和系统内核之间的胶水。如今几乎所有Linux发行版已经默认提供systemd，包括RHEL/CentOS 7及后续版本。总之很基础、很底层、很重要就对了。systemd本体是个主要实现init系统的框架，但还有若干关键组件完成其它工作；这次被爆漏洞的是其journald组件，是负责系统事件日志记录的看守程序。 额外地还想简单提一句Qualys这个公司。该公司创立于1999年，官方介绍为信息安全与云安全解决方案企业，to B的安全业务非常全面，有些也是国内企业很少有布局的方面；例如上面提到的涉及碎片化和代码移植过程的历史漏洞移动，也在其漏洞管理解决方案中有所体现。但是我们对这家公司粗浅的了解来源于其安全研究团队近几年的发声，这两年间发布过的，包括有『stack clash』、『sudo get_tty_name提权』、『OpenSSH信息泄露与堆溢出』、『GHOST：glibc gethostbyname缓冲区溢出』等大新闻（仅截至2017年年中）。从中可见，这个研究团队专门啃硬骨头，而且还总能开拓出来新的啃食方式，往往爆出来一些别人没想到的新漏洞类型。从这个角度，再联想之前刷爆朋友圈的《安全研究者的自我修养》所倡导的“通过看历史漏洞、看别人的最新成果去举一反三”的理念，可见差距。 CVE-2018-16866漏洞详情 这次漏洞披露，打包了三个漏洞： ·16864和16865是内存破坏类型 ·16866是信息泄露 ·而16865和16866两个漏洞组和利用可以拿到root shell。 漏洞分析已经在披露中写的很详细了，这里不复述；而针对16866的漏洞成因来龙去脉，Qualys跟踪的结果留下了一点想象和反思空间，我们来看一下。 漏洞相关代码片段是这样的（漏洞修复前）： 读者可以先肉眼过一遍这段代码有什么问题。实际上我一开始也没看出来，向下读才恍然大悟。 这段代码中，外部信息输入通过buf传入做记录处理。输入数据一般包含有空白字符间隔，需要分隔开逐个记录，有效的分隔符包括空格、制表符、回车、换行，代码中将其写入常量字符串；在逐字符扫描输入数据字符串时，将当前字符使用strchr在上述间隔符字符串中检索是否匹配，以此判断是否为间隔符；在240行，通过这样的判断，跳过记录单元字符串的头部连续空白字符。 但是问题在于，strchr这个极其基础的字符串处理函数，对于C字符串终止字符'\0'的处理上有个坑：'\0'也被认为是被检索字符串当中的一个有效字符。所以在240行，当当前扫描到的字符为字符串末尾的NULL时，strchr返回的是WHITESPACE常量字符串的终止位置而非NULL，这导致了越界。 看起来，这是一个典型的问题：API误用（API mis-use），只不过这个被误用的库函数有点太基础，让我忍不住想是不是还会有大量的类似漏洞……当然也反思我自己写的代码是不是也有同样情况，然而略一思考就释然了——我那么笨的代码都用for循环加if判断了:) 漏洞引入和消除历史 有意思的是，Qualys研究人员很贴心地替我做了一步漏洞成因溯源，这才是单独提这个漏洞的原因。漏洞的引入是在2015年的一个commit中： 在GitHub中，定位到上述2015年的commit信息，这里commit的备注信息为： journald: do not strip leading whitespace from messages. Keep leading whitespace for compatibility with older syslog implementations. Also useful when piping formatted output to the logger command. Keep removing trailing whitespace. OK，看起来是一个兼容性调整，对记录信息不再跳过开头所有连续空白字符，只不过用strchr的简洁写法比较突出开发者精炼的开发风格（并不），说得过去。 之后在2018年八月的一个当时尚未推正式版的另一次commit中被修复了，先是还原成了ec5ff4那次commit之前的写法，然后改成了加校验的方式： 虽然Qualys研究者认为上述的修改是“无心插柳”的改动，但是在GitHub可以看到，a6aadf这次commit是因为有外部用户反馈了输入数据为单个冒号情况下journald堆溢出崩溃的issue，才由开发者有目的性地修复的；而之后在859510这个commit再次改动回来，理由是待记录的消息都是使用单个空格作为间隔符的，而上一个commit粗暴地去掉了这种协议兼容性特性。 如果没有以上纠结的修改和改回历史，也许我会倾向于怀疑，在最开始漏洞引入的那个commit，既然改动代码没有新增功能特性、没有解决什么问题（毕竟其后三年，这个改动的代码也没有被反映issue），也并非出于代码规范等考虑，那么这么轻描淡写的一次提交，难免有人为蓄意引入漏洞的嫌疑。当然，看到几次修复的原因，这种可能性就不大了，虽然大家仍可以保留意见。但是抛开是否人为这个因素，单纯从代码的漏洞成因看，一个传统但躲不开的问题仍值得探讨：API误用。 API误用：程序员何苦为难程序员 如果之前的章节给读者留下了我反对代码模块化和复用的印象，那么这里需要正名一下，我们认可这是当下开发实践不可避免的趋势，也增进了社会开发速度。而API的设计决定了写代码和用代码的双方“舒适度”的问题，由此而来的API误用问题，也是一直被当做单纯的软件工程课题讨论。在此方面个人并没有什么研究，自然也没办法系统地给出分类和学术方案，只是谈一下自己的经验和想法。 一篇比较新的学术文章总结了API误用的研究，其中一个独立章节专门分析Java密码学组件API误用的实际，当中引述之前论文认为，密码学API是非常容易被误用的，比如对期望输入数据（数据类型，数据来源，编码形式）要求的混淆，API的必需调用次序和依赖缺失（比如缺少或冗余多次调用了初始化函数、主动资源回收函数）等。凑巧在此方面我有一点体会：曾经因为业务方需要，需要使用C++对一个Java的密码基础中间件做移植。Java对密码学组件支持，有原生的JDK模块和权威的BouncyCastle包可用；而C/C++只能使用第三方库，考虑到系统平台最大兼容和最小代码量，使用Linux平台默认自带的OpenSSL的密码套件。但在开发过程中感受到了OpenSSL满满的恶意：其中的API设计不可谓不反人类，很多参数没有明确的说明（比如同样是表示长度的函数参数，可能在不同地方分别以字节/比特/分组数为计数单位）；函数的线程安全没有任何解释标注，需要自行试验；不清楚函数执行之后，是其自行做了资源释放还是需要有另外API做gc，不知道资源释放操作时是否规规矩矩地先擦除后释放……此类问题不一而足，导致经过了漫长的测试之后，这份中间件才提供出来供使用。而在业务场景中，还会存在比如其它语言调用的情形，这些又暴露出来OpenSSL API误用的一些完全无从参考的问题。这一切都成为了噩梦；当然这无法为我自己开解是个不称职开发的指责，但仅就OpenSSL而言其API设计之恶劣也是始终被人诟病的问题，也是之后其他替代者宣称改进的地方。 当然，问题是上下游都脱不了干系的。我们自己作为高速迭代中的开发人员，对于二方、三方提供的中间件、API，又有多少人能自信地说自己仔细、认真地阅读过开发指南和API、规范说明呢？做过通用产品技术运营的朋友可能很容易理解，自己产品的直接用户日常抛出不看文档的愚蠢问题带来的困扰。对于密码学套件，这个问题还好办一些，毕竟如果在没有背景知识的情况下对API望文生义地一通调用，绝大多数情况下都会以抛异常形式告终；但还是有很多情况，API误用埋下的是长期隐患。 不是所有API误用情形最终都有机会发展成为可利用的安全漏洞，但作为一个由人的因素引入的风险，这将长期存在并困扰软件供应链（虽然对安全研究者、黑客与白帽子是很欣慰的事情）。可惜，传统的白盒代码扫描能力，基于对代码语义的理解和构建，但是涉及到API则需要预先的抽象，这一点目前似乎仍然是需要人工干预的事情；或者轻量级一点的方案，可以case by case地分析，为所有可能被误用的API建模并单独扫描，这自然也有很强局限性。在一个很底层可信的开发者还对C标准库API存在误用的现实内，我们需要更多的思考才能说接下来的解法。 Ⅴ. 从规则到陷阱：NASA JIRA误配置致信息泄露血案 软件的定义包括了代码组成的程序，以及相关的配置、文档等。当我们说软件的漏洞、风险时，往往只聚焦在其中的代码中；关于软件供应链安全风险，我们的比赛、前面分析的例子也都聚焦在了代码的问题；但是真正的威胁都来源于不可思议之处，那么代码之外有没有可能存在来源于上游的威胁呢？这里就借助实例来探讨一下，在“配置”当中可能栽倒的坑。 引子：发不到500英里以外的邮件？ 让我们先从一个轻松愉快的小例子引入。这个例子初见于Linux中国的一篇译文。 简单说，作者描述了这么一个让人啼笑皆非的问题：单位的邮件服务器发送邮件，发送目标距离本地500英里范围之外的一律失败，邮件就像悠悠球一样只能飞出一定距离。这个问题本身让描述者感到尴尬，就像一个技术人员被老板问到“为什么从家里笔记本上Ctrl-C后不能在公司台式机上Ctrl-V”一样。 经过令人窒息的分析操作后，笔者定位到了问题原因：笔者作为负责的系统管理员，把SunOS默认安装的Senmail从老旧的版本5升级到了成熟的版本8，且对应于新版本诸多的新特性进行了对应配置，写入配置文件sendmail.cf；但第三方服务顾问在对单位系统进行打补丁升级维护时，将系统软件“升级”到了系统提供的最新版本，因此将Sendmail实际回退到了版本5，却为了软件行为一致性，原样保留了高版本使用的配置文件。但Sendmail并没有在大版本间保证配置文件兼容性，这导致很多版本5所需的配置项不存在于保留下来的sendmail.cf文件中，程序按默认值0处理；最终引起问题的就是，邮件服务器与接收端通信的超时时间配置项，当取默认配置值0时，邮件服务器在1个单位时间（约3毫秒）内没有收到网络回包即认为超时，而这3毫秒仅够电信号打来回飞出500英里。 这个“故事”可能会给技术人员一点警醒，错误的配置会导致预期之外的软件行为，但是配置如何会引入软件供应链方向的安全风险呢？这就引出了下一个重磅实例。 JIRA配置错误致NASA敏感信息泄露案例 我们都听过一个事情，马云在带队考察美国公司期间问Google CEO Larry Page自视谁为竞争对手，Larry的回答是NASA，因为最优秀的工程师都被NASA的梦想吸引过去了。由此我们显然能窥见NASA的技术水位之高，这样的人才团队大概至少是不会犯什么低级错误的。 但也许需要重新定义“低级错误”……1月11日一篇技术文章披露，NASA某官网部署使用的缺陷跟踪管理系统JIRA存在错误的配置，可分别泄漏内部员工（JIRA系统用户）的全部用户名和邮件地址，以及内部项目和团队名称到公众，如下： 问题的原因解释起来也非常简单：JIRA系统的过滤器和配置面板中，对于数据可见性的配置选项分别选定为All users和Everyone时，系统管理人员想当然地认为这意味着将数据对所有“系统用户”开放查看，但是JIRA的这两个选项的真实效果逆天，是面向“任意人”开放，即不限于系统登录用户，而是任何查看页面的人员。看到这里，我不厚道地笑了……“All users”并不意味着“All ‘users’”，意不意外，惊不惊喜？ 但是这种字面上把戏，为什么没有引起NASA工程师的注意呢，难道这样逆天的配置项没有在产品手册文档中加粗标红提示吗？本着为JIRA产品设计找回尊严的态度，我深入挖掘了一下官方说明，果然在Atlassian官方的一份confluence文档（看起来更像是一份增补的FAQ）中找到了相关说明： 所有未登录访客访问时，系统默认认定他们是匿名anonymous用户，所以各种权限配置中的all users或anyone显然应该将匿名用户包括在内。在7.2及之后版本中，则提供了“所有登录用户”的选项。 可以说是非常严谨且贴心了。比较讽刺的是，在我们的软件供应链安全大赛·C源代码赛季期间，我们设计圈定的恶意代码攻击目标还包括JIRA相关的敏感信息的窃取，但是却想不到有这么简单方便的方式，不动一行代码就可以从JIRA中偷走数据。 软件的使用，你“配”吗？ 无论是开放的代码还是成型的产品，我们在使用外部软件的时候，都是处于软件供应链下游的消费者角色，为了要充分理解上游开发和产品的真实细节意图，需要我们付出多大的努力才够“资格”？ 上一章节我们讨论过源码使用中必要细节信息缺失造成的“API误用”问题，而软件配置上的“误用”问题则复杂多样得多。从可控程度上讨论，至少有这几种因素定义了这个问题： ·软件用户对必要配置的现有文档缺少了解。这是最简单的场景，但又是完全不可避免的，这一点上我们所有有开发、产品或运营角色经验的应该都曾经体会过向不管不顾用户答疑的痛苦，而所有软件使用者也可以反省一下对所有软件的使用是否都以完整细致的文档阅读作为上手的准备工作，所以不必多说。 ·软件拥有者对配置条目缺少必要明确说明文档。就JIRA的例子而言，将NASA工程师归为上一条错误有些冤枉，而将JIRA归为这条更加合适。在边角但重要问题上的说明通过社区而非官方文档形式发布是一种不负责任的做法，但未引发安全事件的情况下还有多少这样的问题被默默隐藏呢？我们没办法要求在使用软件之前所有用户将软件相关所有文档、社区问答实现全部覆盖。这个问题范围内一个代表性例子是对配置项的默认值以及对应效果的说明缺失。 ·配置文件版本兼容性带来的误配置和安全问题。实际上，上面的SunOS Sendmail案例足以点出这个问题的存在性，但是在真实场景下，很可能不会以这么戏剧性形式出现。在企业的系统运维中，系统的版本迭代常见，但为软件行为一致性，配置的跨版本迁移是不可避免的操作；而且软件的更新迭代也不只会由系统更新推动，还有大量出于业务性能要求而主动进行的定制化升级，对于中小企业基础设施建设似乎是一个没怎么被提及过的问题。 ·配置项组合冲突问题。尽管对于单个配置项可能明确行为与影响，但是特定的配置项搭配可能造成不可预知的效果。这完全有可能是由于开发者与用户在信息不对等的情况下产生：开发者认为用户应该具有必需的背景知识，做了用户应当具备规避配置冲突能力的假设。一个例子是，对称密码算法在使用ECB、CBC分组工作模式时，从密码算法上要求输入数据长度必须是分组大小的整倍数，但如果用户搭配配置了秘钥对数据不做补齐（nopadding），则引入了非确定性行为：如果密码算法库对这种组合配置按某种默认补齐方式操作数据则会引起歧义，但如果在算法库代码层面对这种组合抛出错误则直接影响业务。 ·程序对配置项处理过程的潜在暗箱操作。这区别于简单的未文档化配置项行为，仅特指可能存在的蓄意、恶意行为。从某种意义上，上述“All users”也可以认为是这样的一种陷阱，通过浅层次暗示，引导用户做出错误且可能引起问题的配置。另一种情况是特定配置组合情况下触发恶意代码的行为，这种触发条件将使恶意代码具有规避检测的能力，且在用户基数上具有一定概率的用户命中率。当然这种情况由官方开发者直接引入的可能性很低，但是在众包开发的情况下如果存在，那么扫描方案是很难检测的。 Ⅵ. 从逆流到暗流：恶意代码溯源后的挑战 如果说前面所说的种种威胁都是面向关键目标和核心系统应该思考的问题，那么最后要抛出一个会把所有人拉进赛场的理由。除了前面所有那些在软件供应链下游被动污染受害的情况，还有一种情形：你有迹可循的代码，也许在不经意间会“反哺”到黑色产业链甚至特殊武器中；而现在研究用于对程序进行分析和溯源的技术，则会让你陷入百口莫辩的境地。 案例：黑产代码模块溯源疑云 1月29日，猎豹安全团队发布技术分析通报文章《电信、百度客户端源码疑遭泄漏，驱魔家族窃取隐私再起波澜》，矛头直指黑产上游的恶意信息窃取代码模块，认定其代码与两方产品存在微妙的关联：中国电信旗下“桌面3D动态天气”等多款软件，以及百度旗下“百度杀毒”等软件（已不可访问）。 文章中举证有三个关键点。 首先最直观的，是三者使用了相同的特征字符串、私有文件路径、自定义内部数据字段格式； 其次，在关键代码位置，三者在二进制程序汇编代码层面具有高度相似性； 最终，在一定范围的非通用程序逻辑上，三者在经过反汇编后的代码语义上显示出明显的雷同，并提供了如下两图佐证（图片来源）： 文章指出的涉事相关软件已经下线，对于上述样本文件的相似度试验暂不做复现，且无法求证存在相似、疑似同源的代码在三者中占比数据。对于上述指出的代码雷同现象，猎豹安全团队认为： 我们怀疑该病毒模块的作者通过某种渠道(比如“曾经就职”)，掌握有中国电信旗下部分客户端/服务端源码，并加以改造用于制作窃取用户隐私的病毒，另外在该病毒模块的代码中，我们还发现“百度”旗下部分客户端的基础调试日志函数库代码痕迹，整个“驱魔”病毒家族疑点重重，其制作传播背景愈发扑朔迷离。 这样的推断，固然有过于直接的依据（例如三款代码中均使用含有“baidu”字样的特征注册表项）；但更进一步地，需要注意到，三个样本在所指出的代码位置，具有直观可见的二进制汇编代码结构的相同，考虑到如果仅仅是恶意代码开发者先逆向另外两份代码后借鉴了代码逻辑，那么在面临反编译、代码上下文适配重构、跨编译器和选项的编译结果差异等诸多不确定环节，仍能保持二进制代码的雷同，似乎确实是只有从根本上的源代码泄漏（抄袭）且保持相同的开发编译环境才能成立。 但是我们却又无法做出更明确的推断。这一方面当然是出于严谨避免过度解读；而从另一方面考虑，黑产代码的一个关键出发点就是“隐藏自己”，而这里居然如此堂而皇之地照搬了代码，不但没有进行任何代码混淆、变形，甚至没有抹除疑似来源的关键字符串，如果将黑产视为智商在线的对手，那这里背后是否有其它考量，就值得琢磨了。 代码的比对、分析、溯源技术水准 上文中的安全团队基于大量样本和粗粒度比对方法，给出了一个初步的判断和疑点。那么是否有可能获得更确凿的分析结果，来证实或证伪同源猜想呢？ 无论是源代码还是二进制，代码比对技术作为一种基础手段，在软件供应链安全分析上都注定仍然有效。在我们的软件供应链安全大赛期间，针对PE二进制程序类型的题目，参赛队伍就纷纷采用了相关技术手段用于目标分析，包括：同源性分析，用于判定与目标软件相似度最高的同软件官方版本；细粒度的差异分析，用于尝试在忽略编译差异和特意引入的混淆之外，定位特意引入的恶意代码位置。当然，作为比赛中针对性的应对方案，受目标和环境引导约束，这些方法证明了可行性，却难以保证集成有最新技术方案。那么做一下预言，在不计入情报辅助条件下，下一代的代码比对将能够到达什么水准？ 这里结合近一年和今年内，已发表和未发表的学术领域顶级会议的相关文章来简单展望： ·针对海量甚至全量已知源码，将可以实现准确精细化的“作者归属”判定。在ACM CCS‘18会议上曾发表的一篇文章《Large-Scale and Language-Oblivious Code Authorship Identification》，描述了使用RNN进行大规模代码识别的方案，在圈定目标开发者，并预先提供每个开发者的5-7份已知的代码文件后，该技术方案可以很有效地识别大规模匿名代码仓库中隶属于每个开发者的代码：针对1600个Google Code Jam开发者8年间的所有代码可以实现96%的成功识别率，而针对745个C代码开发者于1987年之后在GitHub上面的全部公开代码仓库，识别率也高达94.38%。这样的结果在当下的场景中，已经足以实现对特定人的代码识别和跟踪（例如，考虑到特定开发人员可能由于编码习惯和规范意识，在时间和项目跨度上犯同样的错误）；可以预见，在该技术方向上，完全可以期望摆脱特定已知目标人的现有数据集学习的过程，并实现更细粒度的归属分析，例如代码段、代码行、提交历史。 ·针对二进制代码，更准确、更大规模、更快速的代码主程序分析和同源性匹配。近年来作为一项程序分析基础技术研究，二进制代码相似性分析又重新获得了学术界和工业界的关注。在2018年和2019（已录用）的安全领域四大顶级会议上，每次都会有该方向最新成果的展示，如S&P‘2019上录用的《Asm2Vec: Boosting Static Representation Robustness for Binary Clone Search against Code Obfuscation and Compiler Optimization》，实现无先验知识的条件下的最优汇编代码级别克隆检测，针对漏洞库的漏洞代码检测可实现0误报、100%召回。而2018年北京HITB会议上，Google Project Zero成员、二进制比对工具BinDiff原始作者Thomas Dullien，探讨了他借用改造Google自家SimHash算法思想，用于针对二进制代码控制流图做相似性检测的尝试和阶段结果；这种引入规模数据处理的思路，也可期望能够在目前其他技术方案大多精细化而低效的情况下，为高效、快速、大规模甚至全量代码克隆检测勾出未来方案。 ·代码比对方案对编辑、优化、变形、混淆的对抗。近年所有技术方案都以对代码“变种”的检测有效性作为关键衡量标准，并一定程度上予以保证。上文CCS‘18论文工作，针对典型源代码混淆（如Tigress）处理后的代码，大规模数据集上可有93.42%的准确识别率；S&P‘19论文针对跨编译器和编译选项、业界常用的OLLVM编译时混淆方案进行试验，在全部可用的混淆方案保护之下的代码仍然可以完成81%以上的克隆检测。值得注意的是以上方案都并非针对特定混淆方案单独优化的，方法具有通用价值；而除此以外还有很多针对性的的反混淆研究成果可用；因此，可以认为在采用常规商用代码混淆方案下，即便存在隐藏内部业务逻辑不被逆向的能力，但仍然可以被有效定位代码复用和开发者自然人。 代码溯源技术面前的“挑战” 作为软件供应链安全的独立分析方，健壮的代码比对技术是决定性的基石；而当脑洞大开，考虑到行业的发展，也许以下两种假设的情景，将把每一个“正当”的产品、开发者置于尴尬的境地。 代码仿制 在本章节引述的“驱魔家族”代码疑云案例中，黑产方面通过某种方式获得了正常代码中，功能逻辑可以被自身复用的片段，并以某种方法将其在保持原样的情况下拼接形成了恶意程序。即便在此例中并非如此，但这却暴露了隐忧：将来是不是有这种可能，我的正常代码被泄漏或逆向后出现在恶意软件中，被溯源后扣上黑锅？ 这种担忧可能以多种渠道和形式成为现实。 从上游看，内部源码被人为泄漏是最简单的形式（实际上，考虑到代码的完整生命周期似乎并没有作为企业核心数据资产得到保护，目前实质上有没有这样的代码在野泄漏还是个未知数），而通过程序逆向还原代码逻辑也在一定程度上可获取原始代码关键特征。 从下游看，则可能有多种方式将恶意代码伪造得像正常代码并实现“碰瓷”。最简单地，可以大量复用关键代码特征（如字符串，自定义数据结构，关键分支条件，数据记录和交换私有格式等）。考虑到在进行溯源时，分析者实际上不需要100%的匹配度才会怀疑，因此仅仅是仿造原始程序对于第三方公开库代码的特殊定制改动，也足以将公众的疑点转移。而近年来类似自动补丁代码搜索生成的方案也可能被用来在一份最终代码中包含有二方甚至多方原始代码的特征和片段。 基于开发者溯源的定点渗透 既然在未来可能存在准确将代码与自然人对应的技术，那么这种技术也完全可能被黑色产业利用。可能的忧患包括强针对性的社会工程，结合特定开发者历史代码缺陷的漏洞挖掘利用，联动第三方泄漏人员信息的深层渗透，等等。这方面暂不做联想展开。 〇. 没有总结 作为一场旨在定义“软件供应链安全”威胁的宣言，阿里安全“功守道”大赛将在后续给出详细的分解和总结，其意义价值也许会在一段时间之后才能被挖掘。 但是威胁的现状不容乐观，威胁的发展不会静待；这一篇随笔仅仅挑选六个侧面做摘录分析，可即将到来的趋势一定只会进入更加发散的境地，因此这里，没有总结。 本篇文章为转载内容。原文链接：https://blog.csdn.net/systemino/article/details/90114743。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...对多媒体内容、图形与图像处理、离线存储等功能的支持，为开发者提供了更强大的工具集。同时，各大主流浏览器如Chrome、Firefox、Safari等也在积极跟进并优化对HTML5新特性的支持，以减少跨浏览器兼容性问题的发生。 针对老旧浏览器兼容问题，前端开发者社区也持续推出新的解决方案。例如，PostHTML作为一种新兴的静态HTML处理器，可以将现代HTML结构转换为老旧浏览器可识别的形式，有效弥补了HTML5 Shiv和Modernizr等传统工具在某些场景下的不足。 此外，考虑到移动设备用户的增长趋势，响应式设计与HTML5结合愈发紧密。Bootstrap 5等流行框架不仅全面拥抱HTML5，还强化了对于不同屏幕尺寸及设备类型的适应能力，助力开发者轻松创建出既美观又具有高度兼容性的网页应用。 值得注意的是，Google、Mozilla等公司正积极推动Web Components标准的发展，它基于HTML5而构建，旨在实现组件化、模块化的网页开发模式，有望在未来彻底解决HTML标签和属性的兼容性难题，让开发者能够更加专注于创新和用户体验提升。 总之，在当前互联网环境下，紧跟HTML5及其相关技术的发展步伐，采取与时俱进的兼容策略和技术手段，是每一位网页设计师和开发者不容忽视的任务。通过深入学习与实践，我们不仅能够化解当下浏览器兼容性挑战，更能预见并引领未来网页设计的新潮流。

一、引言 在图像识别领域，Tesseract是一个非常强大的工具。然而，我们经常会遇到一个问题，那就是"找不到有效的文本行边界"。这其实是个经常遇到的问题，不过在我们动手解决它之前，咱得先唠唠啥是文本行边界，以及为啥它如此关键。 二、什么是文本行边界？ 文本行边界，简单来说，就是在一张图片中，我们可以看到的一行一行的文字。这是一张图片中的一个非常重要的特征，因为它是进行文本识别的关键。 三、为什么要找到文本行边界？ 找到文本行边界非常重要，因为它可以帮助我们确定哪些部分是文本，哪些部分不是。这对于进行文本识别是非常关键的。如果没找到文本行的边界，那我们就没法准确地认出这些字来，就像在没有标点符号和段落分隔的情况下读一本天书一样。 四、如何解决“找不到有效的文本行边界”问题？ 1. 使用Tesseract自带的参数调整功能 在使用Tesseract进行文本识别时，我们可以使用一些参数来调整其行为。比如说，我们可以通过调整--psm这个小开关，来告诉程序识别页面时应该按照横向还是纵向来识别。再比如，使用--oem参数，我们可以像选择赛车引擎那样，挑选出适合这次任务的OCR引擎进行工作。 bash tesseract image.png output.txt --psm 6 在这个例子中，我们使用了--psm参数来指定要识别的页面方向为横向。 2. 调整图像处理步骤 我们也可以通过调整图像处理步骤来改善文本行边界的识别效果。例如，我们可以先对图像进行灰度转换，然后再进行边缘检测。这样可以有效地增强图像中的文本信息，从而提高文本行边界的识别率。 3. 使用深度学习方法 最近几年，深度学习已经在图像识别领域取得了巨大的成功。我们完全可以琢磨琢磨用深度学习技术来对付这个“文本行边界识别不给力”的问题。例如，我们可以使用卷积神经网络（CNN）来进行文本行边界的识别。 五、结论 总的来说，“找不到有效的文本行边界”是一个很常见的问题，但只要我们使用正确的方法，就可以有效地解决这个问题。希望这篇技术文章能够帮助你更好地理解和解决这个问题。如果你有任何问题或建议，欢迎随时向我提问！

近期，OCR技术在图像识别领域的应用不断取得突破性进展。Tesseract作为一款开源的OCR引擎，在处理各类复杂图像文本时，尽管对比度问题对其识别效果产生了一定影响，但随着深度学习和AI技术的发展，新的解决方案正在涌现。 就在今年，Google发布了全新的OCR模型，该模型利用深度学习中的Transformer架构，显著提升了对高对比度、低对比度以及背景复杂图片中文字的识别准确率。这一革新不仅解决了传统OCR工具如Tesseract面临的一些局限性，也预示着未来OCR技术将更好地服务于文档数字化、自动驾驶车牌识别、历史档案资料检索等诸多领域。 此外，有研究团队结合超分辨率技术和自适应对比度调整算法，开发出一套能够自动优化图像质量以适应OCR识别流程的新系统。这套系统能根据图像内容动态调整对比度，有效缓解了因对比度过高或过低带来的识别难题。 综上所述，针对Tesseract在处理不同对比度图像时的问题，业界正以前沿科技为驱动，积极探寻更优解决方案，持续推动OCR技术的进步与发展。我们有理由相信，在不久的将来，无论面对何种复杂场景，OCR都将展现出更为出色的表现力与实用性。

...等元素，能够被浏览器识别并渲染为可视化网页的文件。 Shadow DOM , Shadow DOM是Web Components技术栈的一部分，它提供了一种封装DOM结构、样式和行为的方法，使得这些内容不会影响到主文档或被主文档中的样式所影响。在文章中，虽然没有直接提到Shadow DOM，但它是确保组件内部HTML结构独立性的重要概念，有助于保持新插入HTML片段的完整性和正确解析。 单页面应用（SPA） , 单页面应用是一种现代Web应用程序开发模式，用户在一个网页加载后不再需要重新加载整个页面即可与应用进行交互。在该文章背景下，SPA强调了动态生成和插入新的HTML文档以实现不同功能区域的内容更新和模块化设计的重要性，例如通过Vue.js或React框架创建可复用的组件来替换或插入新的HTML内容。 服务端渲染（SSR） , 服务端渲染是指在服务器端生成完整的HTML文档，然后将这个已经渲染好的HTML页面发送给客户端显示。在解决插入新的HTML文档时如何正确解析的问题上，当涉及到大型项目和服务端渲染时，服务器需要有能力构建出具有完整HTML结构的文档片段，并将其正确插入到响应中，确保客户端浏览器能准确解析和呈现这些内容。

...act：深度探索多页图像文本识别的挑战与应对策略 1. 引言 当我们谈论OCR（光学字符识别）技术时，Tesseract作为一款开源且强大的工具，无疑占据了重要的一席之地。然而，在处理多页图像中的文本识别任务时，Tesseract并非总能“一招鲜吃遍天”，有时会出现无法正确解析的情况。这篇文章咱们要钻得深一点，实实在在地讨论这个问题，并且我还会手把手地带你瞅瞅实际的代码例子，让你明明白白地知道怎么个优化法，把这类问题给妥妥地解决掉。 2. Tesseract在多页图像识别中的困境 Tesseract默认设置下并不直接支持多页PDF或图像文件的批量识别，它倾向于一次性处理一张图像上的所有文本。这意味着当面对一个多页文档时，如果只是简单地将其作为一个整体输入给Tesseract，可能会导致页面间的文本混淆、识别结果错乱的问题。这就好比一个人同时阅读几本书，难免会把内容搞混，让人头疼不已。 3. 代码实例 原始方法及问题揭示 首先，我们看看使用原始方式处理多页PDF时的代码示例： python import pytesseract from PIL import Image 打开一个多页PDF并转换为图像 images = convert_from_path('multipage.pdf') for i, image in enumerate(images): text = pytesseract.image_to_string(image) print(f"Page {i+1} Text: {text}") 运行上述代码，你会发现输出的结果是各个页面的文本混合在一起，而不是独立分页识别。这就是Tesseract在处理多页图像时的核心痛点。 4. 解决策略与改进方案 要解决这个问题，我们需要采取更精细的方法，即对每一页进行单独处理。以下是一个改进后的Python代码示例： python import pytesseract from pdf2image import convert_from_path from PIL import Image 将多页PDF转换为多个图像对象 images = convert_from_path('multipage.pdf') 对每个图像页面分别进行文本识别 for i, image in enumerate(images): 转换为灰度图以提高识别率（根据实际情况调整） gray_image = image.convert('L') 使用Tesseract对单个页面进行识别 text = pytesseract.image_to_string(gray_image) 输出或保存每一页的识别结果 print(f"Page {i+1} Text: {text}") with open(f"page_{i+1}.txt", "w") as f: f.write(text) 5. 深入思考与探讨 尽管上述改进方案可以有效解决多页图像的识别问题，但依然存在一些潜在挑战，例如识别精度受图像质量影响较大、特定复杂排版可能导致识别错误等。所以呢，在面对一些特殊场合和需求时，我们可能还需要把其他图像处理的小窍门（比如二值化、降噪这些招数）给用上，再搭配上版面分析的算法，甚至自定义训练Tesseract模型这些方法，才能让识别效果更上一层楼。 6. 结语 Tesseract在OCR领域的强大之处毋庸置疑，但在处理多页图像文本识别任务时，我们需要更加智慧地运用它，既要理解其局限性，又要充分利用其灵活性。每一个技术难题的背后，其实都蕴藏着人类无穷的创新能量。来吧，伙伴们，一起握紧手，踏上这场挖掘潜力的旅程，让机器更懂我们的世界，更会讲我们这个世界的故事。

...宝者，它会根据那个特别的行键线索，迅速定位到相应的Region，然后开始它的处理之旅。这就意味着，CPU使用率的高低，很大程度上取决于Region Server的负载。 2. CPU使用率过高的可能原因 - Region Splitting：随着数据的增长，Region可能会分裂成多个，导致Region Server需要处理更多的请求，CPU占用率上升。 - 热点数据：如果某些行键被频繁访问，会导致对应Region Server的CPU资源过度集中。 - 过多的Compaction操作：定期的合并（Compaction）操作是为了优化数据存储，但过多的Compaction会增加CPU负担。 三、实例分析与代码示例 1. 示例1 检查Region Splitting hbase(main):001:0> getRegionSplitStatistics() 这个命令可以帮助我们查看Region Splitting的情况，如果返回值显示频繁分裂，就需要考虑是否需要调整Region大小或调整负载均衡策略。 2. 示例2 识别热点数据 hbase(main):002:0> scan 'your_table', {COLUMNS => ["cf:column"], MAXRESULTS => 1000, RAWKEYS => true} 通过扫描数据，找出热点行，然后可能需要采取缓存策略或者调整访问模式来分散热点压力。 3. 示例3 管理Compaction hbase(main):003:0> disable 'your_table' hbase(main):004:0> majorCompact 'your_table' hbase(main):005:0> enable 'your_table' 需要根据实际情况调整Compaction策略，避免频繁执行导致CPU飙升。 四、解决方案与优化策略 1. 负载均衡 合理设置Region大小，使用HBase的负载均衡器动态分配Region，减轻单个Server的压力。 2. 热点数据管理 通过二级索引、分片等手段，分散热点数据的访问，降低CPU使用率。 3. 定期监控 使用HBase的内置监控工具，如JMX或Hadoop Metrics2，持续跟踪CPU使用情况，及时发现问题。 4. 硬件升级 如果以上措施无法满足需求，可以考虑升级硬件，如增加更多CPU核心，提高内存容量。 五、结语 HBase服务器的CPU使用率过高并非无法解决的问题，关键在于我们如何理解和应对。懂透HBase的内部运作后，咱们就能像变魔术一样，轻轻松松地削减CPU的负担，让整个系统的速度嗖嗖提升，就像给车子换了个强劲的新引擎！你知道吗，每个问题背后都藏着小故事，就像侦探破案一样，得一点一滴地探索，才能找到那个超级定制的解决招数！

OCR（光学字符识别） , OCR是一种通过扫描或拍摄图片，利用模式识别、图像处理技术将图片中的文字内容转换为可编辑、可搜索的电子文本的技术。在本文中，Tesseract作为一款强大的OCR工具，能够帮助用户从图像中提取和识别出准确的文字信息。 zlib , zlib是一个开源的数据压缩库，广泛应用于各种软件项目中以实现数据的压缩和解压缩功能。在Tesseract OCR的上下文中，zlib扮演了关键角色，负责处理和优化包括但不限于压缩格式在内的图像文件，确保Tesseract能顺利进行图像文字识别。 包管理器 , 包管理器是一种用于操作系统软件组件安装、更新、配置和卸载的工具。在Linux系统中提到的apt-get（适用于Ubuntu/Debian系）、yum（适用于Fedora/CentOS系）就是此类工具，它们可以帮助用户便捷地查找、安装、升级或卸载系统所需的各种软件包，如zlib库。而在macOS系统中，Homebrew也是一个流行的包管理器，它允许用户轻松安装和管理操作系统的第三方软件包及依赖项。

...常常需要从各种各样的图像中提取文本内容。这时候，一个强大的文本识别工具就显得非常重要了。而Tesseract就是一个非常优秀的开源OCR（Optical Character Recognition）工具。不过呢，实际情况是这样的，因为各种乱七八糟的原因，我们在实际使使劲儿的时候，免不了会碰到些渣渣画质的图片，这就给Tesseract识别工作带来了不小的麻烦和挑战。那么，咱们该怎样让Tesseract更好地对付那些渣画质的图片呢？这篇文章就来跟大伙儿分享一些实用的小建议和方法技巧吧！ 二、分析低质量图像的特点 首先，我们需要了解低质量图像的特点。一般来说，低质量图像主要表现为以下几个方面： 1. 图像模糊 由于拍摄条件不好或者设备质量问题，导致图像模糊不清； 2. 图像抖动 由于手持设备不稳或者拍摄时的环境晃动，导致图像出现抖动； 3. 图像噪声 由于光照不足或者其他因素，导致图像出现噪声； 4. 图像变形 由于拍摄角度或者距离等因素，导致图像发生变形。 以上这些特点都会影响到Tesseract的识别效果。所以呢，当我们想要提升Tesseract处理那些渣画质图片的性能时，就不得不把这些因素都考虑周全了。 三、优化策略 对于上述提到的低质量图像的特点，我们可以采取以下几种优化策略： 1. 图像预处理 我们可以采用图像增强的方法，如直方图均衡化、滤波等，来改善图像的质量。这样子做，就能实实在在地把图像里的杂乱无章减掉不少，让图像的黑白灰层次更分明、对比更强烈，这样一来，Tesseract这家伙认图识字的能力也能噌噌噌地往上提。 python from PIL import ImageEnhance img = Image.open('low_quality_image.png') enhancer = ImageEnhance.Contrast(img) img = enhancer.enhance(2) 2. 图像裁剪 对于图像抖动和变形的问题，我们可以通过图像裁剪的方式来解决。首先，我们可以检测出图像的主要区域，然后在这个区域内进行识别。这样就可以避免图像抖动和变形带来的影响。 python import cv2 image = cv2.imread('low_quality_image.png', 0) gray = cv2.medianBlur(image, 5) Otsu's thresholding after Gaussian filtering blur = cv2.GaussianBlur(gray,(5,5),0) _, thresh = cv2.threshold(blur, 0, 255, cv2.THRESH_BINARY_INV + cv2.THRESH_OTSU) contours, _ = cv2.findContours(thresh, cv2.RETR_TREE, cv2.CHAIN_APPROX_SIMPLE) contours = sorted(contours, key=cv2.contourArea, reverse=True)[:5] for c in contours: x,y,w,h = cv2.boundingRect(c) roi_gray = gray[y:y+h, x:x+w] if cv2.countNonZero(roi_gray) < 100: continue cv2.rectangle(image,(x,y),(x+w,y+h),(255,0,0),2) cv2.imshow('Image', image) cv2.waitKey(0) cv2.destroyAllWindows() 3. 字符分割 对于模糊的问题，我们可以尝试字符分割的方法，即将图片中的每一个字符都单独提取出来，然后再分别进行识别。这样可以有效地避免整个图片识别错误的情况。 python import pytesseract from PIL import Image image = Image.open('low_quality_image.png') text = pytesseract.image_to_string(image) words = text.split() for word in words: word_image = image.crop((0, 0, len(word), 1)) print(pytesseract.image_to_string(word_image)) 四、结语 通过以上的分析和讨论，我们可以看出，虽然低质量图像给Tesseract的识别带来了一定的挑战，但是我们还是可以通过一系列的优化策略来提升其性能。真心希望这篇文章能给亲带来一些实实在在的帮助，如果有啥疑问、想法或者建议，尽管随时找我唠唠嗑，咱一起探讨探讨哈！

光学字符识别（OCR） , 光学字符识别是一种利用计算机视觉技术和模式识别算法，将图像中的文字信息转化为可编辑、可搜索的文本格式的技术。在本文中，Tesseract作为一款强大的OCR引擎，其功能便是通过分析图像文件中的字符特征，准确地识别并提取出其中的文字内容。 Leptonica库 , Leptonica是一个开源的图像处理库，提供了丰富的图像处理函数，包括但不限于图像缩放、旋转、二值化、边界检测等操作。在Tesseract OCR正常运行的过程中，Leptonica库承担着对输入图片进行预处理的任务，以优化图像质量，提高后续字符识别的准确率。 包管理器（如pipenv、npm、conda） , 包管理器是软件开发环境中的重要工具，它们能够自动化解决软件依赖关系，并简化第三方库或组件的安装、更新和卸载过程。在现代软件工程实践中，包管理器有助于确保项目所需的所有依赖项都能得到正确安装和版本控制，从而避免因依赖缺失导致的问题，如文中提到的Tesseract OCR初始化失败的情况。例如，pipenv用于Python项目的依赖管理，npm适用于Node.js项目，而conda则常用于数据科学和机器学习项目中，支持多种编程语言的包管理。

...口味”——比如文本、图像、音频这些类型；还有问题的“属性”——像是分类、回归、聚类这些不同的需求；当然啦，性能要求也是咱们的重要考量因素，就像是挑水果要看新鲜度一样。 例如，如果我们正在处理大量文本数据，并且想要进行主题建模，那么我们可以选择Latent Dirichlet Allocation (LDA)算法。这是因为LDA是一种专门用于文本数据分析的主题模型算法，能够有效地从大量文本数据中提取出主题信息。 2. 数据预处理 在实际应用中，数据通常会包含很多噪声和冗余信息，这不仅会降低算法的效率，也会影响结果的准确性。因此，对数据进行预处理是非常重要的。 例如，我们可以使用Apache Commons Math库中的FastMath类来进行数值计算，以提高计算速度。同时，咱们还可以借助像Spark这类大数据处理神器，来搞分布式的计算，妥妥地应对那些海量数据。 3. 使用GPU加速 对于一些计算密集型的算法，如深度学习，我们可以考虑使用GPU进行加速。在Mahout中，有一些内置的算法可以直接使用GPU进行计算。 例如，我们可以使用Mahout的SVM（Support Vector Machine）算法，并通过添加一个后缀.gpu来启用GPU加速： java double[] labels = new double[points.size()]; labels[0] = -1; labels[1] = 1; MultiLabelClfDataModel model = new MultiLabelClfDataModel(points, labels); SVM svm = new SVM(model); svm.setNumIterations(500); svm.setMaxWeight(1.0e+8); svm.setEps(1.0e-6); svm.setNumLabels(2); svm.useGpu(); 4. 使用MapReduce 对于一些大数据集，我们可以使用MapReduce框架来进行分布式计算。在Mahout中，有一些内置的算法可以直接使用MapReduce进行计算。 例如，我们可以使用Mahout的KMeans算法，并通过添加一个后缀.mr来启用MapReduce： java Job job = Job.getInstance(conf); job.setJarByClass(KMeans.class); job.setMapperClass(MapKMeans.class); job.setReducerClass(ReduceKMeans.class); job.setOutputKeyClass(Text.class); job.setOutputValueClass(DoubleWritable.class); job.setInputFormatClass(SequenceFileInputFormat.class); job.setOutputFormatClass(SequenceFileOutputFormat.class); job.setNumReduceTasks(numClusters); job.waitForCompletion(true); 总结 以上就是我分享的一些关于如何优化Mahout算法性能的建议。总的来说，优化性能主要涉及到选择合适的算法、进行数据预处理、使用GPU加速和使用MapReduce等方面。希望这些内容能对你有所帮助。如果你还有其他问题，欢迎随时与我交流！

...a的世界里，有一个特别的异常类，它专门负责处理这样一种情况：当你试图解析一个压根儿就不在DNS服务器上的主机名或者IP地址时，系统就会抛出这个异常，告诉你这次解析尝试失败了。简单来说，就是我们的应用程序试图访问一个不存在的服务器。 三、UnknownHostException在Spark中的常见表现 在Spark应用中，UnknownHostException通常会在以下几种情况下出现： 1. 尝试连接到外部数据源时 例如，Hive、Kafka等。 2. 在使用Spark SQL进行操作时，需要从外部系统读取数据。 3. 使用Spark Streaming进行实时流处理时，可能会因为无法建立与上游系统的连接而抛出此异常。 四、解决UnknownHostException的方法 那么，我们该如何优雅地处理UnknownHostException呢？以下是几种常用的方法： 方法一：增加重试次数 当遇到UnknownHostException时，我们可以选择增加重试次数。这样，如果服务器只是暂时不可用，那么程序仍有可能成功运行。下面是使用Scala编写的一个示例： scala val conf = new SparkConf().setAppName("MyApp") val sc = new SparkContext(conf) val maxRetries = 5 var retryCount = 0 while (retryCount < maxRetries) { try { // 这里是你的代码... ... break } catch { case e: UnknownHostException => if (retryCount == maxRetries - 1) { throw e } println(s"Received UnknownHostException, retrying in ${maxRetries - retryCount} seconds...") Thread.sleep(maxRetries - retryCount 1000) retryCount += 1 } } 在这个示例中，我们设置了最大重试次数为5次。每次重试之间会等待一段时间，避免过度消耗资源。 方法二：使用备用数据源 如果主数据源经常出现问题，我们可以考虑使用备用数据源。这可以保证即使主数据源不可用，我们的程序仍然能够正常运行。以下是一个简单的示例： scala val conf = new SparkConf().setAppName("MyApp") val sc = new SparkContext(conf) val master = "spark://:7077" val spark = SparkSession.builder() .appName("MyApp") .master(master) .getOrCreate() // 查询数据 val data = spark.sql("SELECT FROM my_table") // 处理数据 data.show() 在这个示例中，我们设置了两个Spark配置项：spark.master和spark.sql.warehouse.dir。这两个选项分别指定了Spark集群的Master节点和数据仓库目录。这样子做的话，我们就能保证，就算某个地方的数据出了岔子，我们的程序依旧能稳稳当当地运行下去，一点儿不受影响。 方法三：检查网络连接 最后，我们还可以尝试检查网络连接是否存在问题。比如，咱们可以试试给那个疑似出问题的服务器丢个ping包瞧瞧，看看它是不是还健在，能给出正常回应不。要是搞不定的话，可能就得瞅瞅咱们的网络配置是否出了啥问题，或者直接找IT部门的大神们求救了。 五、总结 总的来说，处理UnknownHostException的关键在于找到问题的原因并采取适当的措施。不管是多试几次，还是找个备胎数据源来顶上，都能实实在在地让咱们的程序更加稳如磐石。在使用Spark开发应用的时候，我们还能充分挖掘Spark的硬核实力，比如灵活运用SQL查询功能，实时处理数据流等招数，这都能让咱们的应用性能嗖嗖提升，更上一层楼。希望通过这篇文章，你能学到一些实用的技巧，并在未来的开发工作中游刃有余。

...由键实现了发布/订阅模式。生产者（Producer）将消息发送到交换机，而交换机根据规则（如路由键）决定将消息路由到哪个或哪些队列，消费者（Consumer）则从队列中获取消息进行处理。这种架构使得消息的传输不受发送者和接收者之间网络连接的影响。 3. HTTP集成 HTTP API Gateway 为了支持HTTP请求，RabbitMQ可以与HTTP API Gateway集成。例如，我们可以使用amqplib库来编写Node.js代码，如下所示： javascript const amqp = require('amqplib'); async function publishHttpMessage(url) { const connection = await amqp.connect('amqp://localhost'); const channel = await connection.createChannel(); // 创建一个HTTP Exchange await channel.exchangeDeclare( 'http_requests', // Exchange name 'topic', // Exchange type (HTTP requests use topic) { durable: false } // Durable exchanges are not needed for HTTP ); // 发送HTTP请求消息 const message = { routingKey: 'http.request.', // Match all HTTP requests body: JSON.stringify({ url }), }; await channel.publish('http_requests', message.routingKey, Buffer.from(JSON.stringify(message))); console.log(Published HTTP request to ${url}); await channel.close(); await connection.close(); } // 调用函数并发送请求 publishHttpMessage('https://example.com/api/v1'); 这种方式允许API Gateway接收来自客户端的HTTP请求，然后将这些请求转化为RabbitMQ的消息，进一步转发给后端处理服务。 4. gRPC集成 gRPC-RabbitMQ Bridge 对于gRPC，我们可能需要一个中间件桥接器，如grpc-gateway和protobuf-rpc。例如，gRPC客户端可以通过gRPC Gateway将请求转换为HTTP请求，然后由RabbitMQ处理。这里有一个简化版的伪代码示例： python from google.api import service_pb2_grpc from grpc_gateway import services_pb2, gateway class RabbitMQGrpcHandler(service_pb2_grpc.MyServiceServicer): def UnaryCall(self, request, context): Convert gRPC request to RabbitMQ message rabbit_message = services_pb2.MyRequestToProcess(request.to_dict()) Publish the message to RabbitMQ with channel: channel.basic_publish( exchange='gRPC_Requests', routing_key=rabbit_message.routing_key, body=json.dumps(rabbit_message), properties=pika.BasicProperties(content_type='application/json') ) Return a response or acknowledge the call return services_pb2.MyResponse(status="Accepted") Start the gRPC server with the RabbitMQ handler server = grpc.server(futures.ThreadPoolExecutor(max_workers=10)) service_pb2_grpc.add_MyServiceServicer_to_server(RabbitMQGrpcHandler(), server) server.add_insecure_port('[::]:50051') server.start() 这样，gRPC客户端发出的请求经过gRPC Gateway的适配，最终被RabbitMQ处理，实现异步解耦。 5. 特点和应用场景 - 灵活性：HTTP和gRPC集成使得RabbitMQ能够适应各种服务间的通信需求，无论是API网关、微服务架构还是跨语言通信。 - 解耦：生产者和消费者不需要知道对方的存在，提高了系统的可维护性和扩展性。 - 扩展性：RabbitMQ的集群模式允许在高并发场景下轻松扩展。 - 错误处理：消息持久化和重试机制有助于处理暂时性的网络问题。 - 安全性：通过SSL/TLS可以确保消息传输的安全性。 6. 结论 RabbitMQ的强大之处在于它能跨越多种协议，提供了一种通用的消息传递平台。你知道吗，咱们可以像变魔术那样，把HTTP和gRPC这两个家伙灵活搭配起来，这样就能构建出一个超级灵动、随时能扩展的分布式系统，就跟你搭积木一样，想怎么拼就怎么拼，特别给力！当然啦，实际情况是会根据咱们项目的需求和手头现有的技术工具箱灵活调整具体实现方式，不过无论咋整，RabbitMQ都像是个超级靠谱的邮差，让各个服务之间的交流变得贼顺畅。

...链接。 此类攻击不仅影响普通用户，对于企业级应用和Web服务同样构成威胁。例如，某知名社交媒体平台曾报告过一起利用Unicode同形异义字符进行的攻击事件，导致部分用户账户信息泄露。这起事件引发了业界对URL安全性的广泛关注，各大科技公司纷纷加强了对输入验证和异常处理机制的审查，以防止类似事件再次发生。 此外，随着区块链技术和加密货币的普及，与之相关的URL安全问题也日益凸显。黑客常常利用复杂的URL构造，诱导用户访问恶意网站，盗取加密货币钱包的私钥。为此，许多加密货币钱包服务商开始引入更高级别的身份验证机制，并加强对URL的过滤和监控，以保护用户的资产安全。 在防范这类新型攻击方面，除了依赖技术手段外，用户自身的安全意识同样重要。专家建议，用户在点击任何链接前，应仔细检查URL的拼写和格式，尽量避免访问来源不明的网站。同时，定期更新操作系统和浏览器，安装最新的安全补丁，也是抵御此类攻击的有效措施之一。对于开发者而言，不仅要关注基础的URL格式校验，还需加强对异常字符和恶意链接的检测能力，确保应用程序在面对复杂攻击时依然能够保持稳定和安全。

...建基于深度学习技术的图像分类模型，实现垃圾图片类别的精准识别重点处理图片分类问题。 采用深圳市垃圾分类标准，输出该物品属于可回收物、厨余垃圾、有害垃圾和其他垃圾分类。 垃圾分类-数据分析和预处理 整体数据探测 分析数据不同类别分布 分析图片长宽比例分布 切分数据集和验证集 数据可视化展示（可视化工具 pyecharts,seaborn,matplotlib) 代码结构 ├── data│ ├── garbage-classify-for-pytorch│ │ ├── train│ │ ├── train.txt│ │ ├── val│ │ └── val.txt│ └── garbage_label.txt├── analyzer│ ├── 01 垃圾分类_一级分类 数据分布.ipynb│ ├── 02 垃圾分类_二级分类 数据分析.ipynb│ ├── 03 数据加载以及可视化.ipynb│ ├── 03 数据预处理-缩放&裁剪&标准化.ipynb│ ├── garbage_label_40 标签生成.ipynb├── models│ ├── alexnet.py│ ├── densenet.py│ ├── inception.py│ ├── resnet.py│ ├── squeezenet.py│ └── vgg.py├── facebook│ ├── app_resnext101_WSL.py│ ├── facebookresearch_WSL-Images_resnext.ipynb│ ├── ResNeXt101_pre_trained_model.ipynb├── checkpoint│ ├── checkpoint.pth.tar│ ├── garbage_resnext101_model_9_9547_9588.pth├── utils│ ├── eval.py│ ├── json_utils.py│ ├── logger.py│ ├── misc.py│ └── utils.py├── args.py├── model.py├── transform.py├── garbage-classification-using-pytorch.py├── app_garbage.py data: 训练数据和验证数据、标签数据 checkpoint: 日志数据、模型文件、训练过程checkpoint中间数据 app_garbage.py：在线预测服务 garbage-classification-using-pytorch.py：训练模型 models：提供各种pre_trained_model ,例如：alexlet、densenet、resnet，resnext等 utils:提供各种工具类，例如；重新flask json 格式，日志工具类、效果评估 facebook: 提供facebook 分类器神奇的分类预测和数据预处理 analyzer: 数据分析和数据预处理模块 transform.py：通过pytorch 进行数据预处理 model.py: resnext101 模型集成以及调整、模型训练和验证函数封装 resnext101网络架构 pre_trained_model resnext101 网络架构原理 基于pytorch 数据处理、resnext101 模型分类预测 在线服务API 接口 垃圾分类-训练 python garbage-classification-using-pytorch.py \--model_name resnext101_32x16d \--lr 0.001 \--optimizer adam \--start_epoch 1 \--epochs 10 \--num_classes 40 model_name 模型名称 lr 学习率 optimizer 优化器 start_epoch 训练过程断点重新训练 num_classes 分类个数 垃圾分类-评估 python garbage-classification-using-pytorch.py \--model_name resnext101_32x16d \--evaluate \--resume checkpoint/checkpoint.pth.tar \--num_classes 40 model_name 模型名称 evaluate 模型评估 resume 指定checkpoint 文件路径，保存模型以及训练过程参数 垃圾分类-在线预测 python app_garbage.py \--model_name resnext101_32x16d \--resume checkpoint/garbage_resnext101_model_2_1111_4211.pth model_name 模型名称 resume 训练模型文件路径 模型预测 命令行验证和postman 方式验证 举例说明：命令行模式下预测 curl -X POST -F file=@cat.jpg http://ip:port/predict 最后，我们从0到1教大家掌握如何进行垃圾分类。通过本学习，让你彻底掌握AI图像分类技术在我们实际工作中的应用。 1. 你是什么垃圾？ 2. 告诉你，你是什么垃圾 3. 使用它告诉你，你是啥垃圾 本篇文章为转载内容。原文链接：https://blog.csdn.net/shenfuli/article/details/103008003。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。