[jQuery文档加载后调用插件实例化指南...]的搜索结果

jQuery是一款普遍的JavaScript集合，它供给了各种强大的机能，包括操控DOM元素、解决动作、达成动画等。最近，我找到了一个非常实用的jQuery扩展——打印机扩展，它可以让我们轻易地达成页面的打印机能。 这个扩展非常简单易用，只需要引入jQuery集合和打印机扩展的js文件，然后调用它供给的方法即可。比如，如果我们想给一个按钮添加打印机能，可以这样写： $(document).ready(function() { $('printBtn').click(function() { $('printArea').printThis(); }); }); 其中，printBtn是我们添加打印机能的按钮的id，printArea是我们想要打印的区域（通常是一个div或者是整个页面），printThis()是扩展供给的方法，可以直接调用。 除了基本的打印机能外，打印机扩展还供给了一些可选的设置参数。比如，我们可以指定打印的标题、页眉、页脚等信息，还可以设置页面的大小、方向、边距等，以适应不同的打印需求。具体的参数可以查看扩展的文档。 总的来说，打印机扩展是一款非常实用的jQuery扩展，它能够帮助我们轻易达成页面的打印机能，而且还供给了许多可选的设置参数，方便我们进行个性化的调整。如果你还没有使用过这个扩展，赶快试试吧！

jQuery是一个普遍的JavaScript集合，经常用于操作网页上的各种交互效果和用户操作。其中，指定文件输出机就是其中一个常见的应用。下面介绍一下如何使用jQuery完成指定文件输出机的效果。 $(document).ready(function() { // 取得可输出的输出机清单 var printers = window.printer.getPrinters(); // 新建一个下拉框用于选择输出机 var select = $("");// 将输出机清单插入到下拉框项目中for (var i = 0; i< printers.length; i++) {var option = $("");option.text(printers[i].name);option.val(printers[i].id);select.append(option);}// 将下拉框插入到页面中$("body").prepend("请选择输出机:");$("body").prepend(select);// 监测“输出”按钮的点击事件，并在点击时取得选中的输出机$("button.print").click(function() {var printerId = select.val();// 将选中的输出机ID保存cookie中document.cookie = "printerId=" + printerId;});});以上代码中，我们首先使用window.printer.getPrinters()函数取得了当前计算机上可用的所有输出机清单，然后将这些输出机项目一一插入到一个下拉框中，方便用户选择。接着，我们监测了一个“输出”按钮的点击事件，在点击时取得用户选择的输出机ID，并将其保存cookie中。当我们需求在页面上输出东西时，只需求通过document.cookie取得到用户之前选择的输出机ID，然后调用print()函数即可完成指定输出机输出效果。标签:jquerycookie下拉框相关文章jquery管理列的显示和隐藏jquery管理切换显示隐藏jquery管理列的显示隐藏jquery管理清单显示和隐藏jquery管理函数执行次数jquery管理刷新页面jquery管理删除前提醒jquery管理加载顺序的序列搜索

...探讨这一现象，并通过实例代码一步步带你找到解决方案。 问题描述与重现 1. 下拉菜单的基本实现 首先，我们先来看看如何用 Bootstrap 5 创建一个基础的下拉菜单： html 下拉菜单 选项一 选项二 选项三 这段代码会生成一个按钮，点击后会展开下拉菜单，但如果没有正确的 JavaScript 配置，菜单可能无法在点击外部区域或选择菜单项后自动收回。 2. 无法收回的问题重现 当你尝试以上代码并发现下拉菜单在打开后无法自动关闭时，那很可能是因为你尚未引入或者正确配置 Bootstrap 的 JavaScript 插件。Bootstrap 的很多交互功能都需要依赖 jQuery 和 Popper.js 来实现动态效果。 解决方案 3. 引入必要的 JavaScript 库 确保你的项目已经正确引入了 jQuery、Popper.js 以及 Bootstrap 的 JavaScript 文件。例如： html 4. 初始化下拉菜单插件 Bootstrap 5 中的下拉菜单需要手动初始化其 JavaScript 功能。你可以在文档加载完毕后通过调用 bootstrap.Dropdown.getInstance 或 bootstrap.Dropdown.getOrCreateInstance 方法来初始化下拉菜单： javascript document.addEventListener('DOMContentLoaded', function () { var dropdowns = document.querySelectorAll('.dropdown-toggle') Array.from(dropdowns).forEach(function (dropdown) { bootstrap.Dropdown.getOrCreateInstance(dropdown) }) }) 上述代码会在页面加载完成后对所有带有 .dropdown-toggle 类名的元素进行下拉菜单初始化操作，这样一来，下拉菜单就可以正常地展开和收回了。 总结 通过上面的示例代码和解析，我们可以看到，使用 Bootstrap 创建下拉菜单时，不仅需要注意 HTML 结构，还需正确引入并初始化相关的 JavaScript 插件。当碰到“下拉菜单顽固不肯收回去”的状况时，咱们得淡定地、一步步地审查脚本的引用情况和初始化步骤，这样才能准确无误地找到问题的藏身之处。在编程这个领域里，每一个小细节都像一块积木一样重要，你可别小瞧了那些看似不起眼的小问题，它们就像隐藏在机器王国里的捣蛋鬼，随时可能给你惹出大乱子来。因此，让我们在探索与实践中，不断积累经验，提升技能，享受解决问题的乐趣吧！

JQuery插件介绍 这款jQuery图片添加渐变遮罩层插件是一款专门用于为网页中的背景图片实现动态、美观的渐变遮罩效果的JavaScript工具。通过集成该插件，开发者能够便捷地为任意HTML元素内的背景图片添加自定义的渐变遮罩层，从而增强视觉表现力和设计感。插件支持灵活配置CSS的mix-blend-mode属性，使得遮罩层与背景图片之间可以产生丰富多样的混合模式效果，如叠加、溶解等，极大地拓展了设计创意空间。使用时只需引入jQuery库以及该插件的.min.js文件，在DOM元素加载完成后调用相应的初始化方法即可。无论是需要营造氛围、突出重点，还是进行视觉过渡处理，这款插件都能提供优雅且易于实现的解决方案，大大简化了以往手工编写复杂CSS样式的工作流程，提升了开发效率和用户体验。 点我下载 文件大小：296.85 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

JQuery插件介绍 DDSort是一款简洁高效的jQuery拖拽排序插件，专为需要实现元素动态排序功能的开发者设计。这款插件以兼容性和易用性为核心，尤其针对IE8浏览器进行了优化，确保在各种环境下都能稳定运行。插件特点与优势：-兼容性卓越：DDSort兼容IE8及更高版本，同时支持现代浏览器，确保了广泛的设备和平台适用性。-操作直观：用户可以通过简单的拖拽动作重新排列页面元素的位置，极大地提高了交互体验和网站的动态性。-配置灵活：提供丰富的配置选项，允许开发者根据项目需求调整插件行为，包括但不限于元素选择、目标区域设置、延迟处理等。-代码简洁：插件代码精炼，易于理解与集成，减少了开发负担，同时保持了高性能和低资源消耗。-美观与实用性并重：支持自定义样式和布局，使插件既具备良好的视觉效果，又满足实际功能需求。使用场景：-在电子商务网站中，用于商品或产品分类的动态调整。-教育类网站，允许学生或教师对课程、资源进行个性化排序。-内容管理系统的文章或帖子列表，实现用户友好的编辑和组织方式。-游戏或互动式应用中，用户可以自由调整游戏元素的位置，增加游戏的沉浸感和参与度。安装与集成：1.引入依赖：首先确保你的项目中包含了jQuery库。2.引入插件：从可靠的源下载DDSort.js文件，并将其添加到项目中。3.初始化插件：在文档加载完毕后，调用DDDsort插件，指定需要排序的元素及目标区域等参数。javascript$('.your-element-selector').DDSort({target:'.target-selector',//其他配置选项});DDSort通过其直观的接口和强大的功能，为开发者提供了一种高效、灵活的解决方案，旨在简化页面元素的动态排序过程，提升用户体验，同时确保兼容旧版浏览器的需求。无论是用于商业网站、教育平台还是个人项目，DDSort都能成为实现高效、交互性强的排序功能的理想选择。 点我下载 文件大小：44.43 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...avaScript和jQuery实现网页元素的自动滚动效果之后，我们可以进一步了解这一技术在现代Web开发中的实际应用以及最新动态。例如，随着无限滚动（Infinity Scroll）在社交媒体、新闻网站和电子商务平台上的广泛应用，用户界面设计者们对滚动动画的流畅度和速度控制提出了更高的要求。最近，一项由Google发布的用户体验研究结果显示，自适应滚动速度不仅可以提升用户的浏览满意度，还能有效提高页面留存率和内容消费深度。 在技术层面，React、Vue等现代前端框架也提供了丰富的API和插件来支持滚动优化功能，如React Virtualized、vue-infinite-loading等，它们通过智能计算和动态加载数据的方式减少DOM操作，从而确保即便在大数据量下也能保持平滑高效的滚动体验。 此外，随着Web无障碍标准WCAG 2.1的推广，如何确保自动滚动功能对屏幕阅读器等辅助技术友好也成为开发者关注的重点。为此，开发者需要遵循ARIA（Accessible Rich Internet Applications）规范，在实现滚动效果的同时确保信息可被无障碍设备正确识别和传达。 综上所述，自动滚动效果不仅是一个视觉交互的增强手段，更关乎到用户体验、性能优化以及无障碍访问等多方面因素。深入理解和掌握滚动技术的最新发展，将有助于我们在实践中创建更为优秀且符合时代潮流的Web产品。

...例分析，并给出了代码实例，帮助读者理解如何在高并发场景下保证数据库操作的高性能与数据完整性。 另外，针对Python后端开发领域，一篇名为《Python ORM框架实战：从基础到进阶》的教程则系统性地介绍了ORM（对象关系映射）技术在简化数据库操作、提升开发效率上的作用，不仅限于Flask-SQLAlchemy，还涵盖了Django ORM以及其他第三方库，为开发者提供了更多元化的解决方案。 此外，值得关注的是，随着云原生时代的到来，云服务商如AWS、阿里云等也推出了诸多关于数据库优化的服务和技术支持。例如，Amazon RDS提供的批量插入最佳实践指南，指导用户如何在云环境中有效利用资源，减少网络延迟，提高数据库写入速度，这对于正在使用Flask与MySQL构建应用的开发者来说，具有极高的参考价值。 综上所述，对于Python Flask开发者而言，在熟练掌握基本的数据提交方法后，持续关注数据库操作的最新优化技术和行业动态，将有助于打造出更稳定、高效的Web应用程序。

... Kotlin编程指南：探索Lateinit Property的奥秘与陷阱 在编程世界中，Kotlin以其简洁、安全以及对Java兼容性的优势，赢得了众多开发者的心。哎呀，你知道吗？在Kotlin这个编程世界里，有个特别棒的功能叫做lateinit，它就像是给我们的代码加上了一个神奇的魔法。我们可以在类里先声明一个还没准备好值的属性，然后，就像变魔术一样，在后面的代码里再给它补上合适的值。这可是大大提高了代码的灵活性和可维护性！本文将深入探讨lateinit属性的使用方法、常见错误及其解决方案，帮助你更好地理解和利用这一特性。 1. 什么是Lateinit Property？ lateinit是一个预定义的关键字，在Kotlin中用于声明一个属性，该属性可以在类外部被初始化，但必须在使用之前完成初始化。这意味着当你声明一个lateinit属性时，你承诺在代码执行过程中会调用其对应的初始化方法。哎呀，这个特性啊，它主要用在那些要到执行的时候才知道具体数值的玩意儿上头，或者在编程那会儿还不清楚确切数值咋整的情况。就像是你准备做饭，但到底加多少盐，得尝了味道再定，对吧？或者是你去超市买东西，但预算还没算好，得看商品价格了再做决定。这特性就跟那个差不多，灵活应变，随情况调整。 2. 示例代码 如何使用Lateinit Property？ 首先，我们来看一个简单的例子，演示如何在类中声明并使用lateinit属性： kotlin class DataProcessor { lateinit var data: String fun loadData() { // 假设在这里从网络或其他源加载数据 data = "Processed Data" } } fun main() { val processor = DataProcessor() processor.loadData() println(processor.data) // 输出：Processed Data } 在这个例子中，data属性被声明为lateinit。这意味着在main函数中创建DataProcessor实例后，我们不能立即访问data属性，而是必须先调用loadData方法来初始化它。一旦初始化，就可以安全地访问和使用data属性了。 3. 使用Lateinit Property的注意事项 虽然lateinit属性提供了很大的灵活性，但在使用时也需要注意几个关键点： - 必须在使用前初始化：这是最基础的要求。如果你尝试在未初始化的状态下访问或使用lateinit属性，编译器会抛出IllegalStateException异常。 - 不可提前初始化：一旦lateinit属性被初始化，就不能再次修改其值。尝试这样做会导致运行时错误。 - 性能考量：虽然lateinit属性可以延迟初始化，但它可能会增加应用的启动时间和内存消耗，特别是在大量对象实例化时。 4. 遇到“Lateinit Property Not Initialized Before Use”错误怎么办？ 当遇到这个错误时，通常意味着你试图访问或使用了一个未初始化的lateinit属性。解决这个问题的方法通常是： - 检查初始化逻辑：确保在使用属性之前，确实调用了对应的初始化方法或进行了必要的操作。 - 代码重构：如果可能，将属性的初始化逻辑移至更合适的位置，比如构造函数、特定方法或事件处理程序中。 - 避免不必要的延迟初始化：考虑是否真的需要延迟初始化，有时候提前初始化可能更为合理和高效。 5. 实践中的应用案例 在实际项目中，lateinit属性特别适用于依赖于用户输入、网络请求或文件读取等不确定因素的数据加载场景。例如，在构建一个基于用户选择的配置文件加载器时： kotlin class ConfigLoader { lateinit var config: Map fun loadConfig() { // 假设这里通过网络或文件系统加载配置 config = loadFromDisk() } } fun main() { val loader = ConfigLoader() loader.loadConfig() println(loader.config) // 此时config已初始化 } 在这个例子中，config属性的加载逻辑被封装在loadConfig方法中，确保在使用config之前，其已经被正确初始化。 结论 lateinit属性是Kotlin中一个强大而灵活的特性，它允许你推迟属性的初始化直到运行时。然而，正确使用这一特性需要谨慎考虑其潜在的性能影响和错误情况。通过理解其工作原理和最佳实践，你可以有效地利用lateinit属性来增强你的Kotlin代码，使其更加健壮和易于维护。

...示上传的进度条(使用jQuery的一个进度条插件) 下面的例子主要是为文件上传交给 UploadCoursePackage.ashx 来处理 /ProgressBar/ var progressBar = $("loading").progressbar({ width: '500px', color: 'B3240E', border: '1px solid 000000' }); /Plupload/ //实例化一个plupload上传对象 var uploader = new plupload.Uploader({ browse_button: 'browse', //触发文件选择对话框的按钮，为那个元素id runtimes: 'html5,flash,silverlight,html4',//兼容的上传方式 url: "Handlers/UploadCoursePackage.ashx", //后端交互处理地址 max_retries: 3, //允许重试次数 chunk_size: '10mb', //分块大小 rename: true, //重命名 dragdrop: false, //允许拖拽文件进行上传 unique_names: true, //文件名称唯一性 filters: { //过滤器 max_file_size: '999999999mb', //文件最大尺寸 mime_types: [ //允许上传的文件类型 { title: "Zip", extensions: "zip" }, { title: "PE", extensions: "pe" } ] }, //自定义参数 （键值对形式） 此处可以定义参数 multipart_params: { type: "misoft" }, // FLASH的配置 flash_swf_url: "../Scripts/plupload/Moxie.swf", // Silverligh的配置 silverlight_xap_url: "../Scripts/plupload/Moxie.xap", multi_selection: false //true:ctrl多文件上传, false 单文件上传 }); //在实例对象上调用init()方法进行初始化 uploader.init(); uploader.bind('FilesAdded', function (uploader, files) { $("<%=fileSource.ClientID %>").val(files[0].name); $.ajax( { type: 'post', url: 'HardDiskSpace.aspx/GetHardDiskFreeSpace', data: {}, dataType: 'json', contentType: 'application/json;charset=utf-8', success: function (result) { //选择文件以后检测服务器剩余磁盘空间是否够用 if (files.length > 0) { if (parseInt(files[0].size) > parseInt(result.d)) { $('error-msg').text("文件容量大于剩余磁盘空间,请联系管理员!"); } else { $('error-msg').text(""); } } }, error: function (xhr, err, obj) { $('error-msg').text("检测服务器剩余磁盘空间失败"); } }); }); uploader.bind('UploadProgress', function (uploader, file) { var percent = file.percent; progressBar.progress(percent); }); uploader.bind('FileUploaded', function (up, file, callBack) { var data = $.parseJSON(callBack.response); if (data.statusCode === "1") { $("<%=hfPackagePath.ClientID %>").val(data.filePath); var id = $("<%=hfCourseID.ClientID %>").val(); __doPostBack("save", id); } else { hideLoading(); $('error-msg').text(data.message); } }); uploader.bind('Error', function (up, err) { alert("文件上传失败,错误信息: " + err.message); }); /Plupload/ 后台 UploadCoursePackage.ashx 的代码也重要，主要是文件分片跟不分片的处理方式不一样 using System; using System.Collections.Generic; using System.Linq; using System.Web; using System.IO; namespace WebUI.Handlers { /// <summary> /// UploadCoursePackage 的摘要说明 /// </summary> public class UploadCoursePackage : IHttpHandler { public void ProcessRequest(HttpContext context) { context.Response.ContentType = "text/plain"; int statuscode = 1; string message = string.Empty; string filepath = string.Empty; if (context.Request.Files.Count > 0) { try { string resourceDirectoryName = System.Configuration.ConfigurationManager.AppSettings["resourceDirectory"]; string path = context.Server.MapPath("~/" + resourceDirectoryName); if (!Directory.Exists(path)) Directory.CreateDirectory(path); int chunk = context.Request.Params["chunk"] != null ? int.Parse(context.Request.Params["chunk"]) : 0; //获取当前的块ID，如果不是分块上传的。chunk则为0 string fileName = context.Request.Params["name"]; //这里写的比较潦草。判断文件名是否为空。 string type = context.Request.Params["type"]; //在前面JS中不是定义了自定义参数multipart_params的值么。其中有个值是type:"misoft"，此处就可以获取到这个值了。获取到的type="misoft"; string ext = Path.GetExtension(fileName); //fileName = string.Format("{0}{1}", Guid.NewGuid().ToString(), ext); filepath = resourceDirectoryName + "/" + fileName; fileName = Path.Combine(path, fileName); //对文件流进行存储 需要注意的是 files目录必须存在（此处可以做个判断） 根据上面的chunk来判断是块上传还是普通上传 上传方式不一样 ，导致的保存方式也会不一样 FileStream fs = new FileStream(fileName, chunk == 0 ? FileMode.OpenOrCreate : FileMode.Append); //write our input stream to a buffer Byte[] buffer = null; if (context.Request.ContentType == "application/octet-stream" && context.Request.ContentLength > 0) { buffer = new Byte[context.Request.InputStream.Length]; context.Request.InputStream.Read(buffer, 0, buffer.Length); } else if (context.Request.ContentType.Contains("multipart/form-data") && context.Request.Files.Count > 0 && context.Request.Files[0].ContentLength > 0) { buffer = new Byte[context.Request.Files[0].InputStream.Length]; context.Request.Files[0].InputStream.Read(buffer, 0, buffer.Length); } //write the buffer to a file. if (buffer != null) fs.Write(buffer, 0, buffer.Length); fs.Close(); statuscode = 1; message = "上传成功"; } catch (Exception ex) { statuscode = -1001; message = "保存时发生错误，请确保文件有效且格式正确"; Util.LogHelper logger = new Util.LogHelper(); string path = context.Server.MapPath("~/Logs"); logger.WriteLog(ex.Message, path); } } else { statuscode = -404; message = "上传失败，未接收到资源文件"; } string msg = "{\"statusCode\":\"" + statuscode + "\",\"message\":\"" + message + "\",\"filePath\":\"" + filepath + "\"}"; context.Response.Write(msg); } public bool IsReusable { get { return false; } } } } 再附送一个检测服务器端硬盘剩余空间的功能吧 using System; using System.Collections.Generic; using System.IO; using System.Linq; using System.Web; using System.Web.Script.Services; using System.Web.Services; using System.Web.UI; using System.Web.UI.WebControls; namespace WebUI { public partial class CheckHardDiskFreeSpace : System.Web.UI.Page { protected void Page_Load(object sender, EventArgs e) { } /// <summary> /// 获取磁盘剩余容量 /// </summary> /// <returns></returns> [WebMethod] public static string GetHardDiskFreeSpace() { const string strHardDiskName = @"F:\"; var freeSpace = string.Empty; var drives = DriveInfo.GetDrives(); var myDrive = (from drive in drives where drive.Name == strHardDiskName select drive).FirstOrDefault(); if (myDrive != null) { freeSpace = myDrive.TotalFreeSpace+""; } return freeSpace; } } } 效果展示：       详细配置信息可以参考这篇文章：http://blog.ncmem.com/wordpress/2019/08/12/plupload%e4%b8%8a%e4%bc%a0%e6%95%b4%e4%b8%aa%e6%96%87%e4%bb%b6%e5%a4%b9-2/ 本篇文章为转载内容。原文链接：https://blog.csdn.net/weixin_45525177/article/details/100654639。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...哪一项应用服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认 模块(位于/lib64/security/下）进行安全认证。 3.用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM模块也是不同的。 4.如果想查看某个程序是否支持PAM认证，可以用ls命令进行查看/etc/pam.d/。 ls /etc/pam.d/ | grep su 5.PAM的配置文件中的每一行都是一个独立的认证过程，它们按从上往下的顺序依次由PAM模块调用。 4.PAM安全认证流程 控制类型也称做Control Flags，用于PAM验证类型的返回结果 用户1 用户2 用户3 用户4 auth required 模块1 pass fail pass pass auth sufficient 模块2 pass pass fail pass auth required 模块3 pass pass pass fail 结果 pass fail pass pass 4 五.限制使用su命令的用户（pam-wheel认证模块） 1.su命令概述： 通过su命令可以非常方便切换到另一个用户，但前提条件是必须知道用户登录密码。对于生产环境中的Linux服务器，每多一个人知道特权密码，安全风险就多一分。于是就多了一种折中的办法，使用sudo命令提升执行权限，不过需要由管理员预先进行授权， 指定用户使用某些命令： 2. su命令的用途以及用法： 用途：以其他用户身份（如root）执行授权命令用法：sudo 授权命令 3.配置su的授权（加入wheel组）（pam_wheel认证模块：）： 进入授权命令：1.visudo 或者 vim /etc/sudoers语法格式：1.用户 主机名=命令程序列表2.用户 主机名=（用户）命令程序列表-l：列出用户在主机上可用的和被禁止的命令;一般配置好/etc/sudoers后，要用这个命令来查看和测试是不是配置正确的;-v：验证用户的时间戳;如果用户运行sudo后，输入用户的密码后，在短时间内可以不用输入口令来直接进行sudo操作;用-v可以跟踪最新的时间戳;-u：指定以以某个用户执行特定操作;-k：删除时间戳，下一个sudo命令要求用求提供密码; 1.首先创建3个组 2.vim /etc/pam.d/su把第六行注释去掉保存退出 1. 以上两行是默认状态(即开启第一行，注释第二行)，这种状态下是允许所有用户间使用su命令进行切换的 2.两行都注释也是运行所有用户都能使用su命令，但root下使用su切换到其他普通用户需要输入密码: 3.如果第–行不注释，则root 使用su切换普通用户就不需要输入密码( pam_ rootok. so模块的主要作用是使uid为0的用户，即root用户能够直接通过认证而不用输入密码。) 4.如果开启第二行，表示只有root用户和wheel1组内的用户才可以使用su命令。 5.如果注释第一行，开启第二行，表示只有whee1组内的用户才能使用su命令，root用户也被禁用su命令。 3.将liunan加入到wheel之后，hehe就有了使用su命令的权限 4.使用pam_wheel认证后，没有在wheel里的用户都不能再用su 5.whoami命令确定当前用户是谁 4.配置/etc/sudoers文件(授权用户较多的时候使用)： visudo单个授权visudo 或者 vim /etc/sudoers记录格式：user MACHINE=COMMANDS可以使用通配符“ ”号任意值和“ ！”号进行取反操作。%组名代表一整个组权限生效后，输入密码后5分钟可以不用重新输入密码。例如：visudo命令下user kiro=(root)NOPASSWD:/usr/sbin/useradd,PASSWD:/usr/sbin/usermod代表 kiro主机里的user用户，可以无密码使用useradd命令，有密码使用usermod/etc/sudoers多个授权Host_Alias MYHOST= localhost 主机别名：主机名、IP、网络地址、其他主机别名!取反Host_Alias MAILSVRS=smtp,pop（主机名）User_Alias MYUSER = kiro，user1,lisi 用户别名：包含用户、用户组（%组名（使用引导))、还可以包含其他其他已经用户的别名User_Alias OPERATORS=zhangsan,tom,lisi（需要授权的用户）Cmnd_Alias MYCMD = /sbin/,/usr/bin/passwd 命令路劲、目录（此目录内的所有命令)、其他事先定义过的命令别名Cmnd_Alias PKGTOOLS=/bin/rpm,/usr/bin/yum（授权）MYUSER MYHOST = NOPASSWD : MYCMDDS 授权格式sudo -l 查询目前sudo操作查看sudo操作记录需启用Defaults logfile配置默认日志文件: /var/log/sudosudo -l 查看当前用户获得哪些sudo授权（启动日志文件后，sudo操作过程才会被记录） 1.首先用visudo 或者 vim /etc/sudoers进入，输入需要授权的命令 2.切换到taojian用户，因为设置了它不能使用创建用户的命令所以无法创建 六.开关机安全控制 1.调整BIOS引导设置 1.将第一引导设备设为当前系统所在硬盘2.禁止从其他设备(光盘、U盘、网络)引导系统3.将安全级别设为setup，并设置管理员密码 2.GRUB限制 1.使用grub2-mkpasswd-pbkdf2生成密钥2.修改/etclgrub.d/00_header文件中，添加密码记录3.生成新的grub.cfg配置文件 方法一： 通常情况下在系统开机进入GRUB菜单时，按e键可以查看并修改GRUB引导参数，这对服务器是一个极大的威胁。可以为GRUB菜单设置一个密码，只有提供正确的密码才被允许修改引导参数。grub2-mkpasswd-pbkdf2 根据提示设置GRUB菜单的密码PBKDF2 hash of your password is grub.pbkd..... 省略部分内容为经过加密生成的密码字符串cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak 8cp /etc/grub.d/00_header /etc/grub.d/00_header.bak 9vim /etc/grub.d/00_headercat << EOFset superusers="root" 设置用户名为rootpassword_pbkdf2 root grub.pbkd2..... 设置密码，省略部分内容为经过加密生成的密码字符串EOF16grub2-mkconfig -o /boot/grub2/grub.cfg 生成新的grub.cfg文件重启系统进入GRUB菜单时，按e键将需要输入账号密码才能修改引导参数。 方法二： 1.一步到位2.grub2-setpassword 七.终端以及登录控制 1.限制root只在安全终端登录 ​安全终端配置文件在 /etc/securetty 2..禁止普通用户登录 1.建立/etc/nologin文件 2.删除nologin文件或重启后即恢复正常 vim /etc/securetty在端口前加号拒绝访问touch /etc/nologin 禁止普通用户登录rm -rf /etc/nologin 取消禁止 八.系统弱口令检测 1.JOHN the Ripper，简称为JR 1.一款密码分析工具，支持字典式的暴力破解2.通过对shadow文件的口令分析，可以检测密码强度3.官网网站：http://www.openwall.com/john/ 2.安装弱口令账号 1.获得Linux/Unix服务器的shadow文件2.执行john程序，讲shadow文件作为参数 3.密码文件的暴力破解 1.准备好密码字典文件，默认为password.lst2.执行john程序，结合--wordlist=字典文件 九.网络端口扫描 1.NMAP 1.—款强大的网络扫描、安全检测工具,支持ping扫描，多端口检测等多种技术。2.官方网站: http://nmap.orgl3.CentOS 7.3光盘中安装包,nmap-6.40-7.el7.x86_64.rpm 2.格式 NMAP [扫描类型] [选项] <扫描目标....> 安装NMAP软件包rpm -qa | grep nmapyum install -y nmapnmap命令常用的选项和扫描类型-p：指定扫描的端口。-n：禁用反向DNS 解析 (以加快扫描速度)。-sS：TCP的SYN扫描（半开扫描)，只向目标发出SYN数据包，如果收到SYN/ACK响应包就认为目标端口正在监听，并立即断开连接;否则认为目标端口并未开放。-sT：TCP连接扫描，这是完整的TCP扫描方式(默认扫描类型)，用来建立一个TCP连接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放。-sF：TCP的FIN扫描，开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多防火墙只对SYN数据包进行简单过滤，而忽略了其他形式的TCP attack 包。这种类型的扫描可间接检测防火墙的健壮性。-sU：UDP扫描，探测目标主机提供哪些UDP服务，UDP扫描的速度会比较慢。-sP：ICMP扫描，类似于ping检测，快速判断目标主机是否存活，不做其他扫描。-P0：跳过ping检测，这种方式认为所有的目标主机是存活的，当对方不响应ICMP请求时，使用这种方式可以避免因无法 ping通而放弃扫描。 总结： 1.账号基本安全措施：系统账号处理、密码安全控制、命令历史清理、自动注销 2.用户切换与提权（su、sudo） 3.开关机安全控制（BIOS引导设置、禁止Ctrl+Alt+Del快捷键、GRUB菜单设置密码） 4.终端控制 5.弱口令检测——John the Ripper 6.端口扫描——namp 本篇文章为转载内容。原文链接：https://blog.csdn.net/weixin_67474417/article/details/123982900。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...到 Javadoc 文档中 ； @Retention 保留时间，可选值 SOURCE（源码时），CLASS（编译时），RUNTIME（运行时），默认为 CLASS，值为 SOURCE 大都为 Mark Annotation，这类 Annotation 大都用来校验，比如 Override, Deprecated, SuppressWarnings ； @Target 用来指定修饰的元素，如 CONSTRUCTOR:用于描述构造器、FIELD:用于描述域、LOCAL_VARIABLE:用于描述局部变量、METHOD:用于描述方法、PACKAGE:用于描述包、PARAMETER:用于描述参数、TYPE:用于描述类、接口(包括注解类型) 或enum声明。 @Inherited 是否可以被继承，默认为 false。 注解的参数名为注解类的方法名，且： 所有方法没有方法体，没有参数没有修饰符，实际只允许 public & abstract 修饰符，默认为 public ，不允许抛异常； 方法返回值只能是基本类型，String, Class, annotation, enumeration 或者是他们的一维数组； 若只有一个默认属性，可直接用 value() 函数。一个属性都没有表示该 Annotation 为 Mark Annotation。 public class App {@MethodInfo(author = “annotation.cn+android@gmail.com”,date = "2011/01/11",version = 2)public String getAppName() {return "appname";} } 调用自定义MethodInfo 的示例，这里注解的作用实际是给方法添加相关信息： author、date、version 。 二、实战注解Butter Knife 首先，先定义一个ViewInject注解。 public @interface ViewInject { int value() default -1;} 紧接着，为刚自定义注解添加元注解。 @Target({ElementType.FIELD, ElementType.PARAMETER, ElementType.METHOD})@Retention(RetentionPolicy.RUNTIME)public @interface ViewInject {int value() default -1;} 再定义一个注解LayoutInject @Target(ElementType.TYPE)@Retention(RetentionPolicy.RUNTIME)public @interface LayoutInject {int value() default -1;} 定义一个基础的Activity。 package cn.wsy.myretrofit.annotation;import android.os.Bundle;import android.support.v7.app.AppCompatActivity;import android.util.Log;import java.lang.reflect.Field;public class InjectActivity extends AppCompatActivity {private int mLayoutId = -1;@Overrideprotected void onCreate(Bundle savedInstanceState) {super.onCreate(savedInstanceState);displayInjectLayout();displayInjectView();}/ 解析注解view id/private void displayInjectView() {if (mLayoutId <=0){return ;}Class<?> clazz = this.getClass();Field[] fields = clazz.getDeclaredFields();//获得声明的成员变量for (Field field : fields) {//判断是否有注解try {if (field.getAnnotations() != null) {if (field.isAnnotationPresent(ViewInject.class)) {//如果属于这个注解//为这个控件设置属性field.setAccessible(true);//允许修改反射属性ViewInject inject = field.getAnnotation(ViewInject.class);field.set(this, this.findViewById(inject.value()));} }} catch (Exception e) {Log.e("wusy", "not found view id!");} }}/ 注解布局Layout id/private void displayInjectLayout() {Class<?> clazz = this.getClass();if (clazz.getAnnotations() != null){if (clazz.isAnnotationPresent(LayouyInject.class)){LayouyInject inject = clazz.getAnnotation(LayouyInject.class);mLayoutId = inject.value();setContentView(mLayoutId);} }} } 首先，这里是根据映射实现设置控件的注解，java中使用反射的机制效率性能并不高。这里只是举例子实现注解。ButterKnife官方申明不是通过反射机制，因此效率会高点。 package cn.wsy.myretrofit;import android.os.Bundle;import android.widget.TextView;import cn.wsy.myretrofit.annotation.InjectActivity;import cn.wsy.myretrofit.annotation.LayouyInject;import cn.wsy.myretrofit.annotation.ViewInject;@LayoutInject(R.layout.activity_main)public class MainActivity extends InjectActivity {@ViewInject(R.id.textview)private TextView textView;@ViewInject(R.id.textview1)private TextView textview1;@ViewInject(R.id.textview2)private TextView textview2;@ViewInject(R.id.textview3)private TextView textview3;@ViewInject(R.id.textview4)private TextView textview4;@ViewInject(R.id.textview5)private TextView textview5;@Overrideprotected void onCreate(Bundle savedInstanceState) {super.onCreate(savedInstanceState);//设置属性textView.setText("OK");textview1.setText("OK1");textview2.setText("OK2");textview3.setText("OK3");textview4.setText("OK4");textview5.setText("OK5");} } 上面直接继承InjectActivity即可，文章上面也有说过：LayouyInject为什么作用域是TYPE，首先在加载view的时候，肯定是优先加载布局啊，ButterKnife也不例外。因此选择作用域在描述类，并且存在运行时。 二、解析Annotation原理 1、运行时 Annotation 解析 (1) 运行时 Annotation 指 @Retention 为 RUNTIME 的 Annotation，可手动调用下面常用 API 解析 method.getAnnotation(AnnotationName.class);method.getAnnotations();method.isAnnotationPresent(AnnotationName.class); 其他 @Target 如 Field，Class 方法类似 。 getAnnotation(AnnotationName.class) 表示得到该 Target 某个 Annotation 的信息，一个 Target 可以被多个 Annotation 修饰； getAnnotations() 则表示得到该 Target 所有 Annotation ； isAnnotationPresent(AnnotationName.class) 表示该 Target 是否被某个 Annotation 修饰； (2) 解析示例如下： public static void main(String[] args) {try {Class cls = Class.forName("cn.trinea.java.test.annotation.App");for (Method method : cls.getMethods()) {MethodInfo methodInfo = method.getAnnotation(MethodInfo.class);if (methodInfo != null) {System.out.println("method name:" + method.getName());System.out.println("method author:" + methodInfo.author());System.out.println("method version:" + methodInfo.version());System.out.println("method date:" + methodInfo.date());} }} catch (ClassNotFoundException e) {e.printStackTrace();} } 以之前自定义的 MethodInfo 为例，利用 Target（这里是 Method）getAnnotation 函数得到 Annotation 信息，然后就可以调用 Annotation 的方法得到响应属性值 。 2、编译时 Annotation 解析 (1) 编译时 Annotation 指 @Retention 为 CLASS 的 Annotation，甴 apt(Annotation Processing Tool) 解析自动解析。 使用方法： 自定义类集成自 AbstractProcessor； 重写其中的 process 函数 这块很多同学不理解，实际是 apt(Annotation Processing Tool) 在编译时自动查找所有继承自 AbstractProcessor 的类，然后调用他们的 process 方法去处理。 (2) 假设之前自定义的 MethodInfo 的 @Retention 为 CLASS，解析示例如下： @SupportedAnnotationTypes({ "cn.trinea.java.test.annotation.MethodInfo" })public class MethodInfoProcessor extends AbstractProcessor {@Overridepublic boolean process(Set<? extends TypeElement> annotations, RoundEnvironment env) {HashMap<String, String> map = new HashMap<String, String>();for (TypeElement te : annotations) {for (Element element : env.getElementsAnnotatedWith(te)) {MethodInfo methodInfo = element.getAnnotation(MethodInfo.class);map.put(element.getEnclosingElement().toString(), methodInfo.author());} }return false;} } SupportedAnnotationTypes 表示这个 Processor 要处理的 Annotation 名字。 process 函数中参数 annotations 表示待处理的 Annotations，参数 env 表示当前或是之前的运行环境 process 函数返回值表示这组 annotations 是否被这个 Processor 接受，如果接受后续子的 rocessor 不会再对这个 Annotations 进行处理 三、几个 Android 开源库 Annotation 原理简析 1、Retrofit (1) 调用 @GET("/users/{username}")User getUser(@Path("username") String username); (2) 定义 @Documented@Target(METHOD)@Retention(RUNTIME)@RestMethod("GET")public @interface GET {String value();} 从定义可看出 Retrofit 的 Get Annotation 是运行时 Annotation，并且只能用于修饰 Method (3) 原理 private void parseMethodAnnotations() {for (Annotation methodAnnotation : method.getAnnotations()) {Class<? extends Annotation> annotationType = methodAnnotation.annotationType();RestMethod methodInfo = null;for (Annotation innerAnnotation : annotationType.getAnnotations()) {if (RestMethod.class == innerAnnotation.annotationType()) {methodInfo = (RestMethod) innerAnnotation;break;} }……} } RestMethodInfo.java 的 parseMethodAnnotations 方法如上，会检查每个方法的每个 Annotation， 看是否被 RestMethod 这个 Annotation 修饰的 Annotation 修饰，这个有点绕，就是是否被 GET、DELETE、POST、PUT、HEAD、PATCH 这些 Annotation 修饰，然后得到 Annotation 信息，在对接口进行动态代理时会掉用到这些 Annotation 信息从而完成调用。 因为 Retrofit 原理设计到动态代理，这里只介绍 Annotation。 2、Butter Knife (1) 调用 @InjectView(R.id.user) EditText username; (2) 定义 @Retention(CLASS) @Target(FIELD)public @interface InjectView {int value();} 可看出 Butter Knife 的 InjectView Annotation 是编译时 Annotation，并且只能用于修饰属性 (3) 原理 @Override public boolean process(Set<? extends TypeElement> elements, RoundEnvironment env) {Map<TypeElement, ViewInjector> targetClassMap = findAndParseTargets(env);for (Map.Entry<TypeElement, ViewInjector> entry : targetClassMap.entrySet()) {TypeElement typeElement = entry.getKey();ViewInjector viewInjector = entry.getValue();try {JavaFileObject jfo = filer.createSourceFile(viewInjector.getFqcn(), typeElement);Writer writer = jfo.openWriter();writer.write(viewInjector.brewJava());writer.flush();writer.close();} catch (IOException e) {error(typeElement, "Unable to write injector for type %s: %s", typeElement, e.getMessage());} }return true;} ButterKnifeProcessor.java 的 process 方法如上，编译时，在此方法中过滤 InjectView 这个 Annotation 到 targetClassMap 后，会根据 targetClassMap 中元素生成不同的 class 文件到最终的 APK 中，然后在运行时调用 ButterKnife.inject(x) 函数时会到之前编译时生成的类中去找。 3、ActiveAndroid (1) 调用 @Column(name = “Name") public String name; (2) 定义 @Target(ElementType.FIELD)@Retention(RetentionPolicy.RUNTIME)public @interface Column {……} 可看出 ActiveAndroid 的 Column Annotation 是运行时 Annotation，并且只能用于修饰属性 (3) 原理 Field idField = getIdField(type);mColumnNames.put(idField, mIdName);List<Field> fields = new LinkedList<Field>(ReflectionUtils.getDeclaredColumnFields(type));Collections.reverse(fields);for (Field field : fields) {if (field.isAnnotationPresent(Column.class)) {final Column columnAnnotation = field.getAnnotation(Column.class);String columnName = columnAnnotation.name();if (TextUtils.isEmpty(columnName)) {columnName = field.getName();}mColumnNames.put(field, columnName);} } TableInfo.java 的构造函数如上，运行时，得到所有行信息并存储起来用来构件表信息。 ———————————————————————— 最后一个问题，看看这段代码最后运行结果： public class Person {private int id;private String name;public Person(int id, String name) {this.id = id;this.name = name;}public boolean equals(Person person) {return person.id == id;}public int hashCode() {return id;}public static void main(String[] args) {Set<Person> set = new HashSet<Person>();for (int i = 0; i < 10; i++) {set.add(new Person(i, "Jim"));}System.out.println(set.size());} } 答案：示例代码运行结果应该是 10 而不是 1，这个示例代码程序实际想说明的是标记型注解 Override 的作用，为 equals 方法加上 Override 注解就知道 equals 方法的重载是错误的，参数不对。 本篇文章为转载内容。原文链接：https://blog.csdn.net/csdn_aiyang/article/details/81564408。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...，并给出如下的崩溃时调用栈backtrace： 这个调用过程的逻辑为，在9 dns_message_logfmtpacket函数判断当前软件设置是否DEBUG_LEVEL大于10，若是，对用户请求数据包做日志记录，先后调用8 dns_message_totext、7 dns_message_sectiontotext、6 dns_master_rdatasettotext、5 rdataset_totext将请求进行按协议分解分段后写出。 由以上关键调用环节，联动RedHat在9.9.4版本BIND源码包中关于引入NTA特性的源码patch，进行代码分析，很快定位到问题产生的位置，在上述backtrace中的5，masterdump.c文件rdataset_totext函数。漏洞相关代码片段中，RedHat进行backport后，这里引入的代码为： 这里判断对于请求中的注释类型数据，直接通过isc_buffer_putstr宏对缓存进行操作，在BIND工程中自定义维护的缓冲区结构对象target上，附加一字节字符串（一个分号）。而漏洞就是由此产生：isc_buffer_putstr中不做缓冲区边界检查保证，这里在缓冲区已满情况下将造成off-by-one溢出，并触发了缓冲区实现代码中的assertion。 而ISC上游官方版本的代码在这里是怎么写的呢？找到ISC版本BIND 9.11代码，这里是这样的： 这里可以看到，官方代码在做同样的“附加一个分号”这个操作时，审慎的使用了做缓冲区剩余空间校验的str_totext函数，并额外做返回值成功校验。而上述提到的str_totext函数与RETERR宏，在移植版本的masterdump.c中，RedHat开发者也都做了保留。但是，查看代码上下文发现，在RedHat开发者进行代码移植过程中，对官方代码进行了功能上的若干剪裁，包括一些细分数据类型记录的支持；而这里对缓冲区写入一字节，也许开发者完全没想到溢出的可能，所以自作主张地简化了代码调用过程。 问题思考 这个漏洞本身几乎没什么危害，但是背后足以引起思考。 没有人在“借”别人代码时能不出错 不同于之前章节提到的那种场景——将代码文件或片段复制到自己类似的代码上下文借用——backport作为一种官方且成熟的做法，借用的代码来源、粘贴到的代码上下文，是具有同源属性的，而且开发者一般是追求稳定性优先的社区开发人员，似乎质量应该有足够保障。但是这里的关键问题是：代码总要有一手、充分的语义理解，才能有可信的使用保障；因此，只要是处理他人的代码，因为不够理解而错误使用的风险，只可能减小，没办法消除。 如上分析，本次漏洞的产生看似只是做代码移植的开发者“自作主张”之下“改错了”。但是更广泛且可能的情况是，原始开发者在版本迭代中引入或更新大量基础数据结构、API的定义，并用在新的特性实现代码中；而后向移植开发人员仅需要最小规模的功能代码，所以会对增量代码进行一定规模的修改、剪裁、还原，以此适应旧版本基本代码。这些过程同样伴随着第三方开发人员不可避免的“望文生义”，以及随之而来的风险。后向移植操作也同样助长了软件碎片化过程，其中每一个碎片都存在这样的问题；每一个碎片在自身生命周期也将有持续性影响。 多级复制粘贴无异于雪上加霜 这里简单探讨的是企业通行的系统和基础软件建设实践。一些国内外厂商和社区发布的定制化Linux发行版，本身是有其它发行版，如CentOS特定版本渊源的，在基础软件上即便同其上游发行版最新版本间也存在断层滞后。RedHat相对于基础软件开发者之间已经隔了一层backport，而我们则人为制造了二级风险。 在很多基础而关键的软件上，企业系统基础设施的维护者出于与RedHat类似的初衷，往往会决定自行backport一份拷贝；通过早年心脏滴血事件的洗礼，即暴露出来OpenSSL一个例子。无论是需要RHEL还没来得及移植的新版本功能特性，还是出于对特殊使用上下文场景中更高执行效率的追求，企业都可能自行对RHEL上基础软件源码包进行修改定制重打包。这个过程除了将风险幂次放大外，也进一步加深了代码的不可解释性（包括基础软件开发人员流动性带来的不可解释）。 Ⅳ. 从武功到死穴：从systemd-journald信息泄露一窥API误用 1月10日凌晨两点，漏洞预警平台爬收取一封漏洞披露邮件。披露者是Qualys，那就铁定是重型发布了。最后看披露漏洞的目标，systemd？这就非常有意思了。 一些必要背景 systemd是什么，不好简单回答。Linux上面软件命名，习惯以某软件名后带个‘d’表示后台守护管理程序；所以systemd就可以说是整个系统的看守吧。而即便现在描述了systemd是什么，可能也很快会落伍，因为其初始及核心开发者Lennart Poettering（供职于Red Hat）描述它是“永无开发完结完整、始终跟进技术进展的、统一所有发行版无止境的差异”的一种底层软件。笼统讲有三个作用：中央化系统及设置管理；其它软件开发的基础框架；应用程序和系统内核之间的胶水。如今几乎所有Linux发行版已经默认提供systemd，包括RHEL/CentOS 7及后续版本。总之很基础、很底层、很重要就对了。systemd本体是个主要实现init系统的框架，但还有若干关键组件完成其它工作；这次被爆漏洞的是其journald组件，是负责系统事件日志记录的看守程序。 额外地还想简单提一句Qualys这个公司。该公司创立于1999年，官方介绍为信息安全与云安全解决方案企业，to B的安全业务非常全面，有些也是国内企业很少有布局的方面；例如上面提到的涉及碎片化和代码移植过程的历史漏洞移动，也在其漏洞管理解决方案中有所体现。但是我们对这家公司粗浅的了解来源于其安全研究团队近几年的发声，这两年间发布过的，包括有『stack clash』、『sudo get_tty_name提权』、『OpenSSH信息泄露与堆溢出』、『GHOST：glibc gethostbyname缓冲区溢出』等大新闻（仅截至2017年年中）。从中可见，这个研究团队专门啃硬骨头，而且还总能开拓出来新的啃食方式，往往爆出来一些别人没想到的新漏洞类型。从这个角度，再联想之前刷爆朋友圈的《安全研究者的自我修养》所倡导的“通过看历史漏洞、看别人的最新成果去举一反三”的理念，可见差距。 CVE-2018-16866漏洞详情 这次漏洞披露，打包了三个漏洞： ·16864和16865是内存破坏类型 ·16866是信息泄露 ·而16865和16866两个漏洞组和利用可以拿到root shell。 漏洞分析已经在披露中写的很详细了，这里不复述；而针对16866的漏洞成因来龙去脉，Qualys跟踪的结果留下了一点想象和反思空间，我们来看一下。 漏洞相关代码片段是这样的（漏洞修复前）： 读者可以先肉眼过一遍这段代码有什么问题。实际上我一开始也没看出来，向下读才恍然大悟。 这段代码中，外部信息输入通过buf传入做记录处理。输入数据一般包含有空白字符间隔，需要分隔开逐个记录，有效的分隔符包括空格、制表符、回车、换行，代码中将其写入常量字符串；在逐字符扫描输入数据字符串时，将当前字符使用strchr在上述间隔符字符串中检索是否匹配，以此判断是否为间隔符；在240行，通过这样的判断，跳过记录单元字符串的头部连续空白字符。 但是问题在于，strchr这个极其基础的字符串处理函数，对于C字符串终止字符'\0'的处理上有个坑：'\0'也被认为是被检索字符串当中的一个有效字符。所以在240行，当当前扫描到的字符为字符串末尾的NULL时，strchr返回的是WHITESPACE常量字符串的终止位置而非NULL，这导致了越界。 看起来，这是一个典型的问题：API误用（API mis-use），只不过这个被误用的库函数有点太基础，让我忍不住想是不是还会有大量的类似漏洞……当然也反思我自己写的代码是不是也有同样情况，然而略一思考就释然了——我那么笨的代码都用for循环加if判断了:) 漏洞引入和消除历史 有意思的是，Qualys研究人员很贴心地替我做了一步漏洞成因溯源，这才是单独提这个漏洞的原因。漏洞的引入是在2015年的一个commit中： 在GitHub中，定位到上述2015年的commit信息，这里commit的备注信息为： journald: do not strip leading whitespace from messages. Keep leading whitespace for compatibility with older syslog implementations. Also useful when piping formatted output to the logger command. Keep removing trailing whitespace. OK，看起来是一个兼容性调整，对记录信息不再跳过开头所有连续空白字符，只不过用strchr的简洁写法比较突出开发者精炼的开发风格（并不），说得过去。 之后在2018年八月的一个当时尚未推正式版的另一次commit中被修复了，先是还原成了ec5ff4那次commit之前的写法，然后改成了加校验的方式： 虽然Qualys研究者认为上述的修改是“无心插柳”的改动，但是在GitHub可以看到，a6aadf这次commit是因为有外部用户反馈了输入数据为单个冒号情况下journald堆溢出崩溃的issue，才由开发者有目的性地修复的；而之后在859510这个commit再次改动回来，理由是待记录的消息都是使用单个空格作为间隔符的，而上一个commit粗暴地去掉了这种协议兼容性特性。 如果没有以上纠结的修改和改回历史，也许我会倾向于怀疑，在最开始漏洞引入的那个commit，既然改动代码没有新增功能特性、没有解决什么问题（毕竟其后三年，这个改动的代码也没有被反映issue），也并非出于代码规范等考虑，那么这么轻描淡写的一次提交，难免有人为蓄意引入漏洞的嫌疑。当然，看到几次修复的原因，这种可能性就不大了，虽然大家仍可以保留意见。但是抛开是否人为这个因素，单纯从代码的漏洞成因看，一个传统但躲不开的问题仍值得探讨：API误用。 API误用：程序员何苦为难程序员 如果之前的章节给读者留下了我反对代码模块化和复用的印象，那么这里需要正名一下，我们认可这是当下开发实践不可避免的趋势，也增进了社会开发速度。而API的设计决定了写代码和用代码的双方“舒适度”的问题，由此而来的API误用问题，也是一直被当做单纯的软件工程课题讨论。在此方面个人并没有什么研究，自然也没办法系统地给出分类和学术方案，只是谈一下自己的经验和想法。 一篇比较新的学术文章总结了API误用的研究，其中一个独立章节专门分析Java密码学组件API误用的实际，当中引述之前论文认为，密码学API是非常容易被误用的，比如对期望输入数据（数据类型，数据来源，编码形式）要求的混淆，API的必需调用次序和依赖缺失（比如缺少或冗余多次调用了初始化函数、主动资源回收函数）等。凑巧在此方面我有一点体会：曾经因为业务方需要，需要使用C++对一个Java的密码基础中间件做移植。Java对密码学组件支持，有原生的JDK模块和权威的BouncyCastle包可用；而C/C++只能使用第三方库，考虑到系统平台最大兼容和最小代码量，使用Linux平台默认自带的OpenSSL的密码套件。但在开发过程中感受到了OpenSSL满满的恶意：其中的API设计不可谓不反人类，很多参数没有明确的说明（比如同样是表示长度的函数参数，可能在不同地方分别以字节/比特/分组数为计数单位）；函数的线程安全没有任何解释标注，需要自行试验；不清楚函数执行之后，是其自行做了资源释放还是需要有另外API做gc，不知道资源释放操作时是否规规矩矩地先擦除后释放……此类问题不一而足，导致经过了漫长的测试之后，这份中间件才提供出来供使用。而在业务场景中，还会存在比如其它语言调用的情形，这些又暴露出来OpenSSL API误用的一些完全无从参考的问题。这一切都成为了噩梦；当然这无法为我自己开解是个不称职开发的指责，但仅就OpenSSL而言其API设计之恶劣也是始终被人诟病的问题，也是之后其他替代者宣称改进的地方。 当然，问题是上下游都脱不了干系的。我们自己作为高速迭代中的开发人员，对于二方、三方提供的中间件、API，又有多少人能自信地说自己仔细、认真地阅读过开发指南和API、规范说明呢？做过通用产品技术运营的朋友可能很容易理解，自己产品的直接用户日常抛出不看文档的愚蠢问题带来的困扰。对于密码学套件，这个问题还好办一些，毕竟如果在没有背景知识的情况下对API望文生义地一通调用，绝大多数情况下都会以抛异常形式告终；但还是有很多情况，API误用埋下的是长期隐患。 不是所有API误用情形最终都有机会发展成为可利用的安全漏洞，但作为一个由人的因素引入的风险，这将长期存在并困扰软件供应链（虽然对安全研究者、黑客与白帽子是很欣慰的事情）。可惜，传统的白盒代码扫描能力，基于对代码语义的理解和构建，但是涉及到API则需要预先的抽象，这一点目前似乎仍然是需要人工干预的事情；或者轻量级一点的方案，可以case by case地分析，为所有可能被误用的API建模并单独扫描，这自然也有很强局限性。在一个很底层可信的开发者还对C标准库API存在误用的现实内，我们需要更多的思考才能说接下来的解法。 Ⅴ. 从规则到陷阱：NASA JIRA误配置致信息泄露血案 软件的定义包括了代码组成的程序，以及相关的配置、文档等。当我们说软件的漏洞、风险时，往往只聚焦在其中的代码中；关于软件供应链安全风险，我们的比赛、前面分析的例子也都聚焦在了代码的问题；但是真正的威胁都来源于不可思议之处，那么代码之外有没有可能存在来源于上游的威胁呢？这里就借助实例来探讨一下，在“配置”当中可能栽倒的坑。 引子：发不到500英里以外的邮件？ 让我们先从一个轻松愉快的小例子引入。这个例子初见于Linux中国的一篇译文。 简单说，作者描述了这么一个让人啼笑皆非的问题：单位的邮件服务器发送邮件，发送目标距离本地500英里范围之外的一律失败，邮件就像悠悠球一样只能飞出一定距离。这个问题本身让描述者感到尴尬，就像一个技术人员被老板问到“为什么从家里笔记本上Ctrl-C后不能在公司台式机上Ctrl-V”一样。 经过令人窒息的分析操作后，笔者定位到了问题原因：笔者作为负责的系统管理员，把SunOS默认安装的Senmail从老旧的版本5升级到了成熟的版本8，且对应于新版本诸多的新特性进行了对应配置，写入配置文件sendmail.cf；但第三方服务顾问在对单位系统进行打补丁升级维护时，将系统软件“升级”到了系统提供的最新版本，因此将Sendmail实际回退到了版本5，却为了软件行为一致性，原样保留了高版本使用的配置文件。但Sendmail并没有在大版本间保证配置文件兼容性，这导致很多版本5所需的配置项不存在于保留下来的sendmail.cf文件中，程序按默认值0处理；最终引起问题的就是，邮件服务器与接收端通信的超时时间配置项，当取默认配置值0时，邮件服务器在1个单位时间（约3毫秒）内没有收到网络回包即认为超时，而这3毫秒仅够电信号打来回飞出500英里。 这个“故事”可能会给技术人员一点警醒，错误的配置会导致预期之外的软件行为，但是配置如何会引入软件供应链方向的安全风险呢？这就引出了下一个重磅实例。 JIRA配置错误致NASA敏感信息泄露案例 我们都听过一个事情，马云在带队考察美国公司期间问Google CEO Larry Page自视谁为竞争对手，Larry的回答是NASA，因为最优秀的工程师都被NASA的梦想吸引过去了。由此我们显然能窥见NASA的技术水位之高，这样的人才团队大概至少是不会犯什么低级错误的。 但也许需要重新定义“低级错误”……1月11日一篇技术文章披露，NASA某官网部署使用的缺陷跟踪管理系统JIRA存在错误的配置，可分别泄漏内部员工（JIRA系统用户）的全部用户名和邮件地址，以及内部项目和团队名称到公众，如下： 问题的原因解释起来也非常简单：JIRA系统的过滤器和配置面板中，对于数据可见性的配置选项分别选定为All users和Everyone时，系统管理人员想当然地认为这意味着将数据对所有“系统用户”开放查看，但是JIRA的这两个选项的真实效果逆天，是面向“任意人”开放，即不限于系统登录用户，而是任何查看页面的人员。看到这里，我不厚道地笑了……“All users”并不意味着“All ‘users’”，意不意外，惊不惊喜？ 但是这种字面上把戏，为什么没有引起NASA工程师的注意呢，难道这样逆天的配置项没有在产品手册文档中加粗标红提示吗？本着为JIRA产品设计找回尊严的态度，我深入挖掘了一下官方说明，果然在Atlassian官方的一份confluence文档（看起来更像是一份增补的FAQ）中找到了相关说明： 所有未登录访客访问时，系统默认认定他们是匿名anonymous用户，所以各种权限配置中的all users或anyone显然应该将匿名用户包括在内。在7.2及之后版本中，则提供了“所有登录用户”的选项。 可以说是非常严谨且贴心了。比较讽刺的是，在我们的软件供应链安全大赛·C源代码赛季期间，我们设计圈定的恶意代码攻击目标还包括JIRA相关的敏感信息的窃取，但是却想不到有这么简单方便的方式，不动一行代码就可以从JIRA中偷走数据。 软件的使用，你“配”吗？ 无论是开放的代码还是成型的产品，我们在使用外部软件的时候，都是处于软件供应链下游的消费者角色，为了要充分理解上游开发和产品的真实细节意图，需要我们付出多大的努力才够“资格”？ 上一章节我们讨论过源码使用中必要细节信息缺失造成的“API误用”问题，而软件配置上的“误用”问题则复杂多样得多。从可控程度上讨论，至少有这几种因素定义了这个问题： ·软件用户对必要配置的现有文档缺少了解。这是最简单的场景，但又是完全不可避免的，这一点上我们所有有开发、产品或运营角色经验的应该都曾经体会过向不管不顾用户答疑的痛苦，而所有软件使用者也可以反省一下对所有软件的使用是否都以完整细致的文档阅读作为上手的准备工作，所以不必多说。 ·软件拥有者对配置条目缺少必要明确说明文档。就JIRA的例子而言，将NASA工程师归为上一条错误有些冤枉，而将JIRA归为这条更加合适。在边角但重要问题上的说明通过社区而非官方文档形式发布是一种不负责任的做法，但未引发安全事件的情况下还有多少这样的问题被默默隐藏呢？我们没办法要求在使用软件之前所有用户将软件相关所有文档、社区问答实现全部覆盖。这个问题范围内一个代表性例子是对配置项的默认值以及对应效果的说明缺失。 ·配置文件版本兼容性带来的误配置和安全问题。实际上，上面的SunOS Sendmail案例足以点出这个问题的存在性，但是在真实场景下，很可能不会以这么戏剧性形式出现。在企业的系统运维中，系统的版本迭代常见，但为软件行为一致性，配置的跨版本迁移是不可避免的操作；而且软件的更新迭代也不只会由系统更新推动，还有大量出于业务性能要求而主动进行的定制化升级，对于中小企业基础设施建设似乎是一个没怎么被提及过的问题。 ·配置项组合冲突问题。尽管对于单个配置项可能明确行为与影响，但是特定的配置项搭配可能造成不可预知的效果。这完全有可能是由于开发者与用户在信息不对等的情况下产生：开发者认为用户应该具有必需的背景知识，做了用户应当具备规避配置冲突能力的假设。一个例子是，对称密码算法在使用ECB、CBC分组工作模式时，从密码算法上要求输入数据长度必须是分组大小的整倍数，但如果用户搭配配置了秘钥对数据不做补齐（nopadding），则引入了非确定性行为：如果密码算法库对这种组合配置按某种默认补齐方式操作数据则会引起歧义，但如果在算法库代码层面对这种组合抛出错误则直接影响业务。 ·程序对配置项处理过程的潜在暗箱操作。这区别于简单的未文档化配置项行为，仅特指可能存在的蓄意、恶意行为。从某种意义上，上述“All users”也可以认为是这样的一种陷阱，通过浅层次暗示，引导用户做出错误且可能引起问题的配置。另一种情况是特定配置组合情况下触发恶意代码的行为，这种触发条件将使恶意代码具有规避检测的能力，且在用户基数上具有一定概率的用户命中率。当然这种情况由官方开发者直接引入的可能性很低，但是在众包开发的情况下如果存在，那么扫描方案是很难检测的。 Ⅵ. 从逆流到暗流：恶意代码溯源后的挑战 如果说前面所说的种种威胁都是面向关键目标和核心系统应该思考的问题，那么最后要抛出一个会把所有人拉进赛场的理由。除了前面所有那些在软件供应链下游被动污染受害的情况，还有一种情形：你有迹可循的代码，也许在不经意间会“反哺”到黑色产业链甚至特殊武器中；而现在研究用于对程序进行分析和溯源的技术，则会让你陷入百口莫辩的境地。 案例：黑产代码模块溯源疑云 1月29日，猎豹安全团队发布技术分析通报文章《电信、百度客户端源码疑遭泄漏，驱魔家族窃取隐私再起波澜》，矛头直指黑产上游的恶意信息窃取代码模块，认定其代码与两方产品存在微妙的关联：中国电信旗下“桌面3D动态天气”等多款软件，以及百度旗下“百度杀毒”等软件（已不可访问）。 文章中举证有三个关键点。 首先最直观的，是三者使用了相同的特征字符串、私有文件路径、自定义内部数据字段格式； 其次，在关键代码位置，三者在二进制程序汇编代码层面具有高度相似性； 最终，在一定范围的非通用程序逻辑上，三者在经过反汇编后的代码语义上显示出明显的雷同，并提供了如下两图佐证（图片来源）： 文章指出的涉事相关软件已经下线，对于上述样本文件的相似度试验暂不做复现，且无法求证存在相似、疑似同源的代码在三者中占比数据。对于上述指出的代码雷同现象，猎豹安全团队认为： 我们怀疑该病毒模块的作者通过某种渠道(比如“曾经就职”)，掌握有中国电信旗下部分客户端/服务端源码，并加以改造用于制作窃取用户隐私的病毒，另外在该病毒模块的代码中，我们还发现“百度”旗下部分客户端的基础调试日志函数库代码痕迹，整个“驱魔”病毒家族疑点重重，其制作传播背景愈发扑朔迷离。 这样的推断，固然有过于直接的依据（例如三款代码中均使用含有“baidu”字样的特征注册表项）；但更进一步地，需要注意到，三个样本在所指出的代码位置，具有直观可见的二进制汇编代码结构的相同，考虑到如果仅仅是恶意代码开发者先逆向另外两份代码后借鉴了代码逻辑，那么在面临反编译、代码上下文适配重构、跨编译器和选项的编译结果差异等诸多不确定环节，仍能保持二进制代码的雷同，似乎确实是只有从根本上的源代码泄漏（抄袭）且保持相同的开发编译环境才能成立。 但是我们却又无法做出更明确的推断。这一方面当然是出于严谨避免过度解读；而从另一方面考虑，黑产代码的一个关键出发点就是“隐藏自己”，而这里居然如此堂而皇之地照搬了代码，不但没有进行任何代码混淆、变形，甚至没有抹除疑似来源的关键字符串，如果将黑产视为智商在线的对手，那这里背后是否有其它考量，就值得琢磨了。 代码的比对、分析、溯源技术水准 上文中的安全团队基于大量样本和粗粒度比对方法，给出了一个初步的判断和疑点。那么是否有可能获得更确凿的分析结果，来证实或证伪同源猜想呢？ 无论是源代码还是二进制，代码比对技术作为一种基础手段，在软件供应链安全分析上都注定仍然有效。在我们的软件供应链安全大赛期间，针对PE二进制程序类型的题目，参赛队伍就纷纷采用了相关技术手段用于目标分析，包括：同源性分析，用于判定与目标软件相似度最高的同软件官方版本；细粒度的差异分析，用于尝试在忽略编译差异和特意引入的混淆之外，定位特意引入的恶意代码位置。当然，作为比赛中针对性的应对方案，受目标和环境引导约束，这些方法证明了可行性，却难以保证集成有最新技术方案。那么做一下预言，在不计入情报辅助条件下，下一代的代码比对将能够到达什么水准？ 这里结合近一年和今年内，已发表和未发表的学术领域顶级会议的相关文章来简单展望： ·针对海量甚至全量已知源码，将可以实现准确精细化的“作者归属”判定。在ACM CCS‘18会议上曾发表的一篇文章《Large-Scale and Language-Oblivious Code Authorship Identification》，描述了使用RNN进行大规模代码识别的方案，在圈定目标开发者，并预先提供每个开发者的5-7份已知的代码文件后，该技术方案可以很有效地识别大规模匿名代码仓库中隶属于每个开发者的代码：针对1600个Google Code Jam开发者8年间的所有代码可以实现96%的成功识别率，而针对745个C代码开发者于1987年之后在GitHub上面的全部公开代码仓库，识别率也高达94.38%。这样的结果在当下的场景中，已经足以实现对特定人的代码识别和跟踪（例如，考虑到特定开发人员可能由于编码习惯和规范意识，在时间和项目跨度上犯同样的错误）；可以预见，在该技术方向上，完全可以期望摆脱特定已知目标人的现有数据集学习的过程，并实现更细粒度的归属分析，例如代码段、代码行、提交历史。 ·针对二进制代码，更准确、更大规模、更快速的代码主程序分析和同源性匹配。近年来作为一项程序分析基础技术研究，二进制代码相似性分析又重新获得了学术界和工业界的关注。在2018年和2019（已录用）的安全领域四大顶级会议上，每次都会有该方向最新成果的展示，如S&P‘2019上录用的《Asm2Vec: Boosting Static Representation Robustness for Binary Clone Search against Code Obfuscation and Compiler Optimization》，实现无先验知识的条件下的最优汇编代码级别克隆检测，针对漏洞库的漏洞代码检测可实现0误报、100%召回。而2018年北京HITB会议上，Google Project Zero成员、二进制比对工具BinDiff原始作者Thomas Dullien，探讨了他借用改造Google自家SimHash算法思想，用于针对二进制代码控制流图做相似性检测的尝试和阶段结果；这种引入规模数据处理的思路，也可期望能够在目前其他技术方案大多精细化而低效的情况下，为高效、快速、大规模甚至全量代码克隆检测勾出未来方案。 ·代码比对方案对编辑、优化、变形、混淆的对抗。近年所有技术方案都以对代码“变种”的检测有效性作为关键衡量标准，并一定程度上予以保证。上文CCS‘18论文工作，针对典型源代码混淆（如Tigress）处理后的代码，大规模数据集上可有93.42%的准确识别率；S&P‘19论文针对跨编译器和编译选项、业界常用的OLLVM编译时混淆方案进行试验，在全部可用的混淆方案保护之下的代码仍然可以完成81%以上的克隆检测。值得注意的是以上方案都并非针对特定混淆方案单独优化的，方法具有通用价值；而除此以外还有很多针对性的的反混淆研究成果可用；因此，可以认为在采用常规商用代码混淆方案下，即便存在隐藏内部业务逻辑不被逆向的能力，但仍然可以被有效定位代码复用和开发者自然人。 代码溯源技术面前的“挑战” 作为软件供应链安全的独立分析方，健壮的代码比对技术是决定性的基石；而当脑洞大开，考虑到行业的发展，也许以下两种假设的情景，将把每一个“正当”的产品、开发者置于尴尬的境地。 代码仿制 在本章节引述的“驱魔家族”代码疑云案例中，黑产方面通过某种方式获得了正常代码中，功能逻辑可以被自身复用的片段，并以某种方法将其在保持原样的情况下拼接形成了恶意程序。即便在此例中并非如此，但这却暴露了隐忧：将来是不是有这种可能，我的正常代码被泄漏或逆向后出现在恶意软件中，被溯源后扣上黑锅？ 这种担忧可能以多种渠道和形式成为现实。 从上游看，内部源码被人为泄漏是最简单的形式（实际上，考虑到代码的完整生命周期似乎并没有作为企业核心数据资产得到保护，目前实质上有没有这样的代码在野泄漏还是个未知数），而通过程序逆向还原代码逻辑也在一定程度上可获取原始代码关键特征。 从下游看，则可能有多种方式将恶意代码伪造得像正常代码并实现“碰瓷”。最简单地，可以大量复用关键代码特征（如字符串，自定义数据结构，关键分支条件，数据记录和交换私有格式等）。考虑到在进行溯源时，分析者实际上不需要100%的匹配度才会怀疑，因此仅仅是仿造原始程序对于第三方公开库代码的特殊定制改动，也足以将公众的疑点转移。而近年来类似自动补丁代码搜索生成的方案也可能被用来在一份最终代码中包含有二方甚至多方原始代码的特征和片段。 基于开发者溯源的定点渗透 既然在未来可能存在准确将代码与自然人对应的技术，那么这种技术也完全可能被黑色产业利用。可能的忧患包括强针对性的社会工程，结合特定开发者历史代码缺陷的漏洞挖掘利用，联动第三方泄漏人员信息的深层渗透，等等。这方面暂不做联想展开。 〇. 没有总结 作为一场旨在定义“软件供应链安全”威胁的宣言，阿里安全“功守道”大赛将在后续给出详细的分解和总结，其意义价值也许会在一段时间之后才能被挖掘。 但是威胁的现状不容乐观，威胁的发展不会静待；这一篇随笔仅仅挑选六个侧面做摘录分析，可即将到来的趋势一定只会进入更加发散的境地，因此这里，没有总结。 本篇文章为转载内容。原文链接：https://blog.csdn.net/systemino/article/details/90114743。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

Jquery是一种非常强有力的JavaScript库，其中包含了一些非常方便的函数可以轻易地操纵网页中的组件。其中一个非常有用的性能就是用它来操纵图片的展现与隐蔽。通过Jquery，我们可以在用户进行某些操作时，自动地让图片呈现或隐没。以下是一个基础的示例程序程序。 <html><head><script src="https://code.jquery.com/jquery-3.5.1.min.js"></script></head><body><div><p>当您点击下面的按钮时，图片将呈现或隐没。</p><button id="toggleButton">转换</button><img src="./img/cat.jpg" id="catImage" style="display:none;"></div><script>$(document).ready(function(){ $("toggleButton").click(function(){ $("catImage").toggle(); }); }); </script></body></html> 首先在页面头部加载了Jquery的库文件。然后，在页面中设定了一个div组件包含一个按钮和一张图片。 按钮具有一个id为“toggleButton”，而图片具有一个id为“catImage”，并且在最开始的时候其格式设置为“display：none”以隐蔽此图片。 在Jquery的脚本中，我们使用了“document.ready”函数，它会在页面加载时被自动地实行，并实行函数内部的代码。 我们使用了“click”函数来为按钮添加到点击动作，当用户点击按钮时，就会转换图片的可见性。如果图片是隐蔽的，那么它就会变为可见的，否则将隐蔽它。 通过这个简单的例子，我们可以看出Jquery是一个非常方便、实用的工具，并且通过使用Jquery，我们可以快速地呈现可交互、美观的网页效果。

Jquery搜索框自动补全特性是一个非常实用性强的特性，它可以提升用户查找信息的效率，让网站变得更加友好。下面我们来详细了解一下这个特性。 在网站开发中，我们经常遇到需要通过搜索查找信息的场景。如果仅仅提供一个简单的搜索框，让用户自己键入搜索词，很容易出现查找不准或搜不到的情况。所以，我们需要增加自动补全的特性，来帮助用户键入搜索词，提升搜索的精确度。 实现这个特性需要应用jQuery框架。首先应当在头部增加Jquery的js文件： <script src="http://libs.baidu.com/jquery/1.10.2/jquery.min.js"></script> 然后，在HTML代码中创建一个搜索框，以及一个DIV框用于显示自动补全的信息： <div> <input type="text" id="search"> <div id="result"></div> </div> 这里，id为“search”的输入框用来获取用户输入的关键词，id为“result”的DIV用于显示自动补全的信息。 然后，就是使用Jquery实现自动补全的特性。代码如下： $(document).ready(function(){ $("search").keyup(function(){ var keyword = $("search").val(); if(keyword != ''){ //调用后台接口，获取自动补全信息 $( "result" ).load( "suggest.php?keyword="+keyword ); } }); }); 这段代码中，使用了Jquery的按键释放事件（keyup），当用户在输入框中输入或删除字符时，就会触发这个事件。然后，获取输入框中的关键词（即输入框的值），判断是否为空。如果不为空，就调用后台接口，将关键词作为参数传递给后台PHP文件suggest.php进行处理，然后将结果显示在id为“result”的DIV中。 到这里，Jquery搜索框自动补全特性就实现了。这里只是一个简单的示例，实际开发中还需要对搜索结果进行样式美化、后台代码进行优化等一系列工作。

jQuery , jQuery是一个广泛应用于Web开发的JavaScript库，它极大地简化了HTML文档遍历、事件处理、动画设计以及Ajax交互等功能。通过提供一套简洁易用的API接口，jQuery帮助开发者更高效地处理浏览器兼容性问题，并实现丰富的网页动态效果与用户交互功能。 JavaScript库 , JavaScript库是一系列预先编写好的、可重用的JavaScript代码模块集合，用于解决常见的编程任务或提供特定的功能。在本文中，jQuery就是一个JavaScript库的例子，它封装了许多复杂且常用的DOM操作方法，使得开发者能够更加便捷地进行Web前端开发工作。 $.fn , 在jQuery库中，$.fn是核心构造函数jQuery.prototype的简写形式，用于扩展jQuery的核心功能。插件开发者可以通过$.fn对象上的方法来扩展jQuery的功能，这样所有jQuery实例都可以访问到这些新添加的方法。例如，在文章中提到的$.fn.myPlugin就是在jQuery上定义了一个名为myPlugin的新方法，使得开发者可以通过选择器调用该方法并对选中的元素执行相应的逻辑。 链式操作 , 链式操作是jQuery库的一大特色，它允许开发者在一个语句中连续调用多个jQuery方法，而无需反复获取同一组元素的引用。这意味着每次方法调用结束后都会返回包含原始元素集的jQuery对象，以便进行后续的操作。例如，在文中所述的插件编写中，return this;就是为了维持这种链式调用特性，使得在调用插件方法后还能继续使用其他jQuery方法对元素进行操作。

JQuery插件介绍 "ggtooltip.js"是一款专为Bootstrap3.X设计和优化的jQuery插件，用于增强网页元素的工具提示功能。这款插件在实现基本工具提示功能的基础上，提供了丰富的自定义选项，使得开发人员能够轻松创建出既实用又美观的tooltip效果。当用户鼠标悬停在目标元素上时，ggtooltip.js能够在四个预设的方向（如顶部、底部、左侧、右侧）上以像素级精确度展示tooltip信息。其特色在于高度可定制化，允许开发者自由调整tooltip的背景颜色、文字前景色以及边框颜色等样式属性，从而确保与网站的整体视觉风格保持一致。得益于Bootstrap3的良好兼容性，ggtooltip.js能够无缝集成到基于该框架构建的项目中，大大简化了网页交互设计的工作流程。此外，该插件简单易用，通过简单的JavaScript调用即可快速实例化tooltip组件，赋予网页更加友好的用户体验。 点我下载 文件大小：89.21 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

JQuery插件介绍 滴落加载插件（Dropload.js）是一款专为移动端设计的jQuery插件，旨在提供下拉刷新与上拉加载更多功能，增强用户体验。该插件基于流行的jQuery或Zepto库构建，确保兼容性和高效性。其核心功能包括：1.下拉刷新：用户通过向下拉动页面触发刷新操作，加载最新的数据内容，适用于新闻动态、社交媒体、购物平台等场景。2.上拉加载更多：当页面内容加载完毕时，用户向上滚动页面以加载更多数据，支持无限滚动体验，适用于列表、文章、图片等信息丰富的页面。3.自定义样式与事件：插件提供了高度可定制的API，允许开发者根据项目需求调整UI风格、动画效果以及响应事件，确保与现有界面风格无缝融合。4.兼容性与性能优化：针对移动端特性进行优化，确保在不同设备和浏览器上稳定运行，同时优化加载速度，提升用户体验。5.易于集成：作为一款轻量级插件，滴落加载插件易于与现有代码集成，减少开发工作量，加速项目上线流程。6.文档与社区支持：提供详尽的使用指南、示例代码及在线社区，方便开发者快速上手并解决问题。总之，滴落加载插件（Dropload.js）为开发者提供了一种简洁、高效的方式，以实现移动端常见的下拉刷新与上拉加载更多功能，显著提升应用的交互体验和用户满意度。 点我下载 文件大小：73.74 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

JQuery插件介绍 jCarrousel是一款专为网页设计师和开发者打造的炫酷且功能强大的3D旋转木马效果轮播图jQuery插件。这款插件凭借其独特的3D视觉效果和流畅的交互体验，能够显著提升网站的吸引力和用户体验。它不仅支持自动播放，还能根据用户的屏幕尺寸自动调整图片间距，确保在任何设备上都能呈现最佳效果。使用jCarrousel非常简单，即便是初学者也能快速上手。它的代码经过优化，运行高效，不会给网站加载速度带来负担。此外，该插件提供了丰富的配置选项，允许用户自定义动画速度、过渡效果以及图片布局，从而满足不同场景下的需求。无论是用于展示产品照片、新闻轮播还是图片集锦，jCarrousel都是理想的选择。更重要的是，jCarrousel的文档详尽清晰，附带了多个实例演示，便于用户学习和使用。这款插件以其卓越的表现力、灵活性和易用性，成为了众多网站构建旋转木马式轮播图的首选工具。无论你是需要创建一个动态的产品展示页面，还是希望为你的博客添加更多互动元素，jCarrousel都能提供有力的支持。 点我下载 文件大小：167.13 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

JQuery插件介绍 jQueryPanzoom是一款强大且高效的HTMLDOM元素平移和缩放插件，专为提升移动端用户体验而设计。借助CSStransforms和matrix函数，Panzoom实现了对硬件(GPU)的加速渲染，确保在各种设备上都能流畅运行，无论是图片、视频、iframe、canvas还是纯文本元素。这款插件的核心优势在于其兼容性和灵活性。它能够无缝集成到现有的jQuery项目中，无需复杂配置即可启用元素的动态缩放和平移功能。用户可以通过简单的API调用来定制缩放比例、平移速度和动画效果，从而实现高度个性化的交互体验。Panzoom支持多种浏览器环境，包括桌面和移动设备，确保了广泛的兼容性。其轻量级的设计使得加载速度快，不会增加不必要的资源消耗，非常适合性能敏感的应用场景。此外，插件还提供了一系列优化措施，如预加载图像和缓存结果，进一步提高了性能表现。对于开发者而言，jQueryPanzoom提供了丰富的文档和示例代码，帮助快速上手并集成到项目中。它不仅简化了实现复杂交互功能的过程，还提升了用户体验，增强了网站或应用的可用性，特别是针对移动设备的访问者。总之，jQueryPanzoom是一款功能强大、易于集成的插件，旨在通过平滑的元素缩放和平移功能，显著提升网页的互动性和视觉吸引力，尤其适合追求高性能和跨平台兼容性的开发者和项目团队。 点我下载 文件大小：270.48 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

jQuery , jQuery 是一个开源的 JavaScript 库，它简化了 HTML 文档遍历、事件处理、动画以及Ajax交互等功能，为Web开发人员提供了丰富的API和便捷的方法来操作网页中的HTML元素、执行DOM操作、处理JavaScript事件以及进行数据交互等。在本文中，jQuery 的 $.inArray() 方法被用于判断数组中是否存在指定元素。 $.inArray() 方法 , $.inArray() 是 jQuery 提供的一个内置方法，专门用来在数组中搜索指定的值，并返回该值的索引（位置）。如果在数组中找不到指定的值，则该方法会返回 -1。例如，在文章中，通过 $.inArray(banana, myArray) 可以查找 banana 在数组 myArray 中的位置，进而判断其是否存在于数组内。 JavaScript原型（Prototype） , 在JavaScript中，每个对象都有一个内部链接指向它的构造函数的原型对象。这个原型对象包含了可以由该类所有实例共享的属性和方法。在本文中，作者将判断数组中是否存在指定元素的功能封装成了一个jQuery插件并将其绑定到了数组对象的原型上，这样数组对象就可以直接调用 isInArray 这个新方法，体现了JavaScript原型继承机制在扩展对象功能方面的应用。

JQuery , JQuery是一个广泛应用于Web开发的开源JavaScript库，它极大地简化了开发者对HTML文档遍历、事件处理、动画设计以及Ajax交互等任务的操作。在本文中，JQuery被用来解决早期IE浏览器中自动完成功能提交表单时存在的兼容性问题。 DOM（Document Object Model） , DOM是W3C标准中定义的一种接口，它将HTML和XML文档表示为树形结构，允许程序和脚本动态更新、添加、删除或修改页面内容、样式及结构。在文中提到的场景中，DOM操作主要涉及获取并设置输入框的值，以及关闭自动补全下拉列表，这些操作可能影响到表单提交的正确执行，尤其是对于早期版本的IE浏览器。 setTimeout函数 , setTimeout是JavaScript内置的一个全局函数，用于在指定时间间隔后调用一个函数或者执行某段代码。在文章给出的解决方案中，使用setTimeout函数延迟执行表单提交操作，这是因为IE浏览器在进行DOM操作后需要一定时间来更新渲染，立即提交可能导致请求无法发送。通过设置延时，确保浏览器有足够的时间去处理DOM变化，从而成功发送表单数据。

jQuery , jQuery是一个广泛应用于网页开发的开源JavaScript库，它简化了HTML文档遍历、事件处理、动画和Ajax交互等功能的编写。在本文中，jQuery被用来配合Swiper插件实现手机端轮播图效果。 Swiper , Swiper是专门针对移动端设计的一个强大的触摸滑动插件，基于JavaScript编写，尽管文中提及与jQuery结合使用，但Swiper本身并不依赖于jQuery，它可以独立运行，并且支持多种现代前端框架。在文章中，开发者通过调用Swiper对象并配置相关参数，实现了手机端页面的轮播图功能，包括自动轮播、循环播放以及带有分页器的用户交互体验。 分页器（pagination） , 在Web开发中，分页器是一种常见的用户界面元素，用于展示内容列表或数据集时进行导航。在本文所描述的轮播图场景中，分页器表现为一组可点击的小点或其他形式的视觉提示，用户通过点击这些提示可以跳转到轮播图中的特定帧。通过设置Swiper插件的pagination参数，开发者可以自定义分页器的位置、样式及交互行为，比如是否允许用户通过点击分页器来切换轮播图中的图片。