...里我将提供几种不同的方法，希望能帮到大家。 3.1 使用CSS覆盖默认样式最直接的方法就是利用CSS覆盖Bootstrap的默认样式。你可以自己在CSS文件里调整特定列或者所有列的内边距，这样就能轻松控制列之间的距离了。 css / 覆盖所有列的内边距 / .row > .col { padding-left: 0; padding-right: 0; } / 或者仅覆盖特定列 / .col-md-4 { padding-left: 10px; padding-right: 10px; } 这种方法的优点是灵活且易于管理，但缺点是需要额外编写和维护CSS代码。 3.2 利用负外边距（Negative Margin）另一种方法是利用负外边距来抵消Bootstrap默认的内边距效果。这种方法相对复杂一些，但可以实现非常精细的控制。 html 这是第一列这是第二列这是第三列不过需要注意的是，这种方法可能会对其他元素造成影响，因此使用时要小心。 3.3 自定义栅格系统如果你对Bootstrap的默认栅格系统不满意，还可以考虑使用自定义栅格系统。这通常涉及到修改Bootstrap的源代码或者使用第三方库来替代原生的栅格系统。虽然这种方法比较极端，但对于追求极致定制化体验的项目来说可能是最好的选择。 4. 总结与反思通过今天的讨论，我们可以看到，尽管Bootstrap的网格系统提供了强大的布局能力，但在处理某些细节问题时仍需额外努力。不管是用CSS盖掉默认样式，还是玩儿负外边距，或者是搞个自定义栅格系统，最重要的是找到最适合你项目的办法。希望这篇文章能帮助大家更好地理解和解决Bootstrap中遇到的列间距问题，让我们的网页设计更加完美！最后，如果你在实际操作过程中遇到了其他问题或有更多见解，欢迎留言交流。前端的世界永远充满可能性，让我们一起探索吧！

2024-11-08 15:35:49

星辰大海

转载文章

[转载]基本标签笔记

...容。 1.简要说一下CSS的元素分类块级元素：div,p,h1,form,ul,li; 行内元素 : span,a,label,input,img,strong,em; <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><em>强调文本</em><br><strong>加粗文本</strong><br><dfn>定义项目</dfn><br><code>一段电脑代码</code><br><samp>计算机样本</samp><br><kbd>键盘输入</kbd><br><var>变量</var></body></html 2、HTML <audio> 标签 <audio> 标签是 HTML5 提供的用来播放音频文件的。 <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><audio controls><source src="/statics/demosource/horse.ogg" ><source src="/statics/demosource/horse.mp3" >您的浏览器不支持 audio 元素。</audio></body></html> 3、HTML <area> 标签 <area> 标签可以在图像上划分区域，这些区域是可以点击的，并且对应不同的操作。 <!DOCTYPE html><html><head><meta charset="utf-8"><title>W3Cschool(w3cschool.cn)</title></head><body><p>点击太阳或其他行星，注意变化：</p><img src="/statics/images/course/planets.gif" width="145" height="126" alt="Planets" usemap="planetmap"><map name="planetmap"><area shape="rect" coords="0,0,82,126" target="_blank" alt="Sun" href="/statics/images/course/sun.gif"><area shape="circle" coords="90,58,3" target="_blank" alt="Mercury" href="/statics/images/course/merglobe.gif"><area shape="circle" coords="124,58,8" target="_blank" alt="Venus" href="/statics/images/course/venglobe.gif"></map></body></html> 4、HTML <select> 标签定义及使用说明 <select> 元素用来创建下拉列表。 <!DOCTYPE html><html><head><meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><select><option value="volvo" style="display:none">Volvo</option><option value="saab">Saab</option><option value="opel">Opel</option><option value="audi">Audi</option></select></body></html> 5、HTML <style> 标签 <style> 标签包含了 HTML 文档的样式详细，在默认情况下，在该元素内写入的样式指令将被认为是CSS。 <!DOCTYPE html><html><head><meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title><style type="text/css">h1 {color:red;}p {color:blue;}</style></head><body><h1>这是一个标题</h1><p>这是一个段落。</p></body></html> 7、HTML <sub> 标签包含在 <sub> 标签和其结束标签 </sub> 中的内容会以正常内容的一半的高度显示在下方，而且通常较小，请参见下述例子： <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool教程(w3cschool.cn)</title> </head><body><p>这个文本包含 <sub>下标</sub>文本。</p><p>这个文本包含 <sup>上标</sup> 文本。</p></body></html> 8、HTML <summary> 标签 <summary> 标签元素作为一个<datails>元素的标题，该标题可以包含详细的信息，但是默认情况下不显示，需要单击才能显示详细信息，请参考下述示 <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><details><summary>Copyright 1999-2011.</summary><p> - by Refsnes Data. All Rights Reserved.</p><p>All content and graphics on this web site are the property of the company Refsnes Data.</p></details><p><b>注意：</b>目前只有 Chrome 和 Safari 6 支持 summary 标签。</p></body></html> 9、HTML <table> 标签 <table> 标签用来定义 HTML 表格，一个简单的 HTML 表格应该包括两行两列，如下述示例所示： <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool教程(w3cschool.cn)</title> </head><body><table border="1"><tr><th>Month</th><th>Savings</th></tr><tr><td>January</td><td>$100</td></tr><tr><td>February</td><td>$80</td></tr></table></body></html> 10、HTML <textarea> 标签 <textarea> 标签表示多行纯文本编辑控件，用户可在其文本区域中写入文本，请参考下述示例： <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool 在线教程(w3cschool.cn)</title> </head><body><textarea rows="10" cols="30">我是一个文本框。</textarea></body></html> 11、HTML <tt> 标签 - HTML5 不支持 <tt> 标签用来改变字体样式，使标签中的文本显示为打字机文本，请参考下述例子： <!DOCTYPE html><html><body><p>This text is normal.</p><p><tt>This text is teletype text.</tt></p></body></html> 12、HTML <u> 标签 <u> 标签可以用来对标签内的文本实现下划线样式，请参考下述示例： <!DOCTYPE html><html><body><p>This is a <u>parragraph</u>.</p></body></html> 13、HTML <ul> 标签 <ul> 标签表示HTML页面中项目的无序列表，一般会以项目符号列表呈现，请参考下述例子： <!DOCTYPE html><html><head><meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><h4>无序列表:</h4><ul><li>咖啡</li><li>茶</li><li>牛奶</li></ul></body></html> 14、HTML <video> 标签 <video> 标签可以将视频内容嵌入到HTML文档中，请参考下述示例： <!DOCTYPE html><html><body><video width="320" height="240" controls><source src="/statics/demosource/movie.mp4" type="video/mp4"><source src="/statics/demosource/movie.ogg" type="video/ogg">您的浏览器不支持 HTML5 video 标签。</video></body></html> 15、HTML <ol> 标签 <ol> 标签在 HTML 中表示有序列表，是 ordered lists 的缩写。您可以自定义有序列表的初始序号，请参考下面的实例： <!DOCTYPE html><html><head><meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><ol><li>咖啡</li><li>茶</li><li>牛奶</li></ol><ol start="50"><li>咖啡</li><li>茶</li><li>牛奶</li></ol></body></html> 16、HTML <noframes> 标签HTML5不支持该标签 <noframes> 标签用于支持不支持 <frame> 元素的浏览器，请参考下面的示例： <html><head><meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><frameset cols="25%,50%,25%"><frame src="/statics/demosource/frame_a.htm"><frame src="/statics/demosource/frame_b.htm"><frame src="/statics/demosource/frame_c.htm"><noframes>抱歉，您的浏览器不支持 frame 属性！</noframes></frameset></html> 17、HTML <hr> 标签 <hr> 标签表示段落级元素之间的主题划分。例如，在下面的实例中我们对具有主题变化的内容使用了 <hr> 标签： <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><h1>HTML</h1><p>HTML 是用于描述 web 页面的一种语言。</p><hr><h1>CSS</h1><p>CSS 定义如何显示 HTML 元素。</p></body></html> 18、HTML <h1> - <h6> 标签 <h1> - <h6> 标签用来定义 HTML 标题，表示了 HTML 网页中六个级别的标题。您可以通过下面的这个实例来看看每个级别的标题有什么区别： <!DOCTYPE html><html><head><meta charset="utf-8"><title>W3Cschool(w3cschool.cn)</title></head><body><h1>这是标题1</h1><h2>这是标题2</h2><h3>这是标题 3</h3><h4>这是标题 4</h4><h5>这是标题 5</h5><h6>这是标题 6</h6></body></html> 19、HTML <center> 标签 - HTML 5 不支持 <center> 标签控制文本的居中显示，不能在 HTML5 中使用。 <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><p>这是一些文本。</p><center>这个文本居中对齐。</center><p>这是一些文本</p></body></html> 20、HTML <button> 标签 <button> 标签用来设置 HTML 中的按钮。 <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><button type="button" onclick="alert('Hello world!')">Click Me!</button></body></html> 21、HTML <br> 标签 <br> 标签是空标签，可插入一个简单的换行符。 <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><p>使用br元素<br>在文本中<br>换行。</p></body></html> 22、HTML <dt> 标签 <dt> 标签只能够作为 <dl> 标签的一个子元素出现，常常后跟一个 <dd> 标签。 <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><dl><dt>咖啡</dt><dd>黑色的热饮</dd><dt>牛奶</dt><dd>白色的冷饮</dd></dl></body></html> 23、HTML <fieldset> 标签 <fieldset> 标签内的一组表单元素会在 WEB 浏览器中以特殊的方式显示，比如不同样式的边界、3D效果等。 <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><form><fieldset><legend>个人信息:</legend>姓名: <input type="text"><br>邮箱: <input type="text"><br>生日: <input type="text"></fieldset></form></body></html> 24、HTML <embed> 标签 <embed> 标签用来定义在页面中嵌入的内容，比如插件。比如，在下面的实例中我们嵌入了一个 flash 动画： <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><embed src="/statics/demosource/helloworld.swf" tppabs="http://W3Cschool.com/tags/helloworld.swf"></body></html> 25、HTML <font> 标签 - HTML5 不支持 <font> 标签的使用示例如下所示，该标签已经过时，因此我们不建议您使用该标签。 <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><p><font size="3" color="red">这是一些文本！</font></p><p><font size="2" color="blue">这是一些文本！</font></p><p><font face="verdana" color="green">这是一些文本！</font></p></body></html> 26、HTML <label> 标签 <label> 标签是一种常见的表单控件，触发对应表单控件功能，让用户在使用表单的时候能够有更好的体验。参考下述的实例： <!DOCTYPE html><html><head> <meta charset="utf-8"> <title>W3Cschool(w3cschool.cn)</title> </head><body><p>点击其中一个文本标签选中选项：</p><form action="/statics/demosource/demo-form.php"><label for="male">Male</label><input type="radio" name="sex" id="male" value="male"><br><label for="female">Female</label><input type="radio" name="sex" id="female" value="female"><br><br><input type="submit" value="提交"></form></body></html> 记录一些重要标签！本篇文章为转载内容。原文链接：https://blog.csdn.net/chehec2010/article/details/85060460。该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

2023-10-11 23:43:21

296

转载

转载文章

[转载]Java Work

...e()工作表创建之后方法可以设置列宽自定义表头新建单元格自定义策略实现RowWriteHandler行回调接口，在afterRowDispose()行操作完之后方法可以设置行高设置行样式自定义策略实现CustomerCellHandler单元格回调接口，在afterCellDispose()单元格操作完之后方法可以根据行号，列宽甚至是单元格的值来设置单元格样式可以对单元格的值获取和修改样式通常包括内容格式、批注、背景色、自动换行、平和垂直居中、边框大小和颜色、字体实例（格式，颜色，大小，加粗等）等自定义策略继承AbstractMergeStrategy单元格合并抽象类，在merge()方法中可以通过CellRangeAddress合并单元格过于复杂的表格可以使用模板，配合写出write和填充fill一起使用 Mybatis 在mapper方法的@select中也是可以直接书写动态SQL的，但要使用<script></script>包裹，这样就不用在java文件和xml文件切换了，将@select中包裹的代码直接放到浏览器的控制台输出后会自动转义\n,\t,+,"等动态sql中“<” 和 “>” 号要用转义字符 “<” 和 ”>“ （分号要带）动态sql中test中表达式通常使用 test=“id != null and id != ‘’”，要注意的是字符串不能直接识别单引号，有两种方法使用id==“1001"或者id==‘1001’.toString()，另外参数如果是boolean，可以直接使用test=”!flag"，如果判定集合的话可以使用 test=“list != null and list.size>0” 返回数据类型为Map只能接收一条记录，字段为键名，字段值为值，但通常是用实体类接收，或是使用注解@MapKey来进行每条记录的映射，效果等同于List用Stream流转Map foreach遍历list collection=“list” item=“vo” separator="," open="(" close=")"> {vo.id} foreach遍历map collection=“map” index=“key” item=“value”，{key}获取建，{value}获取值，$亦可 collection=“map.entrySet()” index=“key” item=“value”，同上 collection=“map.keys” item=“key”，{key}为键不要使用where 1=1，使用动态where拼接，会自动剔除where后多余的and和or 单个参数时无论基本和引用并且未使用在动态SQL可以不加参数注解@Param，但一旦参数大于一个或者参数在动态SQL中使用就必须加@Param 并不是直接把参数加引号，而是变成?的形式交给prepareStatement处理，$直接使用值，当ORDER BY诸如此类不需要加引号的参数时，使用$代替，但为避免sql注入，该参数不能交由用户控制 Plus 官方API https://baomidou.com/guide/ @TableName 表名 @TableField(strategy = FieldStrategy.IGNORED) 更新不会忽略NULL值 @TableField(exist = false)表明该字段非数据字段，否则新增更新会报错 MybatisPlus对于单表的操作还是非常优秀的，在对单表进行新增或者更新的时候经常使用，但对于单表的查询业务上很少出现仅仅查询一张表的情况，但也会有，如果条件不大于3个还是可以使用的，多了倒没有直接写SQL来的方便了 MybatisPlus的批量插入也是通过for循环插入的，还是建议使用Mybatis的动态foreach进行批量插入 MybatisPlus的分页器会对方法中的参数判断，如果存在分页对象就先查询总数看是否大于0，然后拼接当前的数据库limit语句，所以如果我们分页对象为null，就可以实现不分页查询 Object paramObj = boundSql.getParameterObject();IPage page = null;if (paramObj instanceof IPage) { ……public static String getOriginalCountSql(String originalSql) {return String.format("SELECT COUNT(1) FROM ( %s ) TOTAL", originalSql);} ……originalSql = DialectFactory.buildPaginationSql(page, buildSql, dbType, this.dialectClazz); ……public String buildPaginationSql(String originalSql, long offset, long limit) {StringBuilder sql = new StringBuilder(originalSql);sql.append(" LIMIT ").append(offset).append(",").append(limit);return sql.toString();} IDEA 插件 Lombok : 快速生成getter、setter等 Alibaba Java Coding Guidelines ：阿里规约扫描 Rainbow Brackets ：彩色括号 HighlightBracketPair ：高亮提示 MyBatisX ：mabatisPlus提供的xml和mapper转换的插件，小鸟图标 CamelCase ：大小写、驼峰、下划线、中划线转换插件使用shift+Alt+u进行转换（很方便）可以在Editor中设置CamelCase的转换，一般只保留下划线和驼峰两种 String Manipulation ：字符串工具（未使用） RestfulToolkit http ：Restful请求工具打开idea，在右侧边栏会有一个标签（RestServices），打开可以看到里面是url路径 ctrl+\或者ctrl+alt+n会检索路径 Ctrl + Enter格式化json 没有记忆功能，也不能加token，只是查找请求路径使用 easycode ：代码生成工具（个人觉得很好用，常用于生成实体类）支持自定义模板支持添加自定义列，不影响数据库支持多表同时生成支持自定义类型映射支持配置导入导出支持动态调试支持自定义属性 Power Mode 11 ：打字特效（纯属装逼） Nyan Progress Bar ：漂亮的进度条（纯属装逼） Other Vo：数据持久化模型 Query：数据查询模型 Dto：数据传输模型本篇文章为转载内容。原文链接：https://blog.csdn.net/qq_40910781/article/details/111416185。该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

2023-05-26 23:30:52

268

转载

转载文章

[转载]web常见攻防

...本攻击，因为缩写和 CSS (Cascading Style Sheets) 重叠，所以只能叫 XSS。 XSS 的原理是恶意攻击者往 Web 页面里插入恶意可执行网页脚本代码，当用户浏览该页之时，嵌入其中 Web 里面的脚本代码会被执行，从而可以达到攻击者盗取用户信息或其他侵犯用户安全隐私的目的。XSS 的攻击方式千变万化，但还是可以大致细分为几种类型。非持久型 XSS 非持久型 XSS 漏洞，也叫反射型 XSS 漏洞，一般是通过给别人发送带有恶意脚本代码参数的 URL，当 URL 地址被打开时，特有的恶意代码参数被 HTML 解析、执行。非持久型 XSS 举一个例子，比如你的 Web 页面中包含有以下代码： Select your language:<select><script>document.write(''+ '<option value=1>'+ location.href.substring(location.href.indexOf('default=') + 8)+ '</option>');document.write('<option value=2>English</option>');</script></select> 攻击者可以直接通过 URL 类似：https://xx.com/xx?default=<script>alert(document.cookie)</script>) 注入可执行的脚本代码。非持久型 XSS 漏洞攻击有以下几点特征：即时性，不经过服务器存储，直接通过 HTTP 的 GET 和 POST 请求就能完成一次攻击，拿到用户隐私数据。攻击者需要诱骗点击反馈率低，所以较难发现和响应修复盗取用户敏感保密信息为了防止出现非持久型 XSS 漏洞，需要确保这么几件事情： Web 页面渲染的所有内容或者渲染的数据都必须来自于服务端。尽量不要从 URL，document.referrer，document.forms 等这种 DOM API 中获取数据直接渲染。尽量不要使用 eval, new Function()，document.write()，document.writeln()，window.setInterval()，window.setTimeout()，innerHTML，document.creteElement() 等可执行字符串的方法。如果做不到以上几点，也必须对涉及 DOM 渲染的方法传入的字符串参数做 escape 转义。前端渲染的时候对任何的字段都需要做 escape 转义编码。 escape 转义的目的是将一些构成 HTML 标签的元素转义，比如 <，>，空格等，转义成 <，>，等显示转义字符。有很多开源的工具可以协助我们做 escape 转义。持久型 XSS 持久型 XSS 漏洞，也被称为存储型 XSS 漏洞，一般存在于 Form 表单提交等交互功能，如发帖留言，提交文本信息等，黑客利用的 XSS 漏洞，将内容经正常功能提交进入数据库持久保存，当前端页面获得后端从数据库中读出的注入代码时，恰好将其渲染执行。主要注入页面方式和非持久型 XSS 漏洞类似，只不过持久型的不是来源于 URL，refferer，forms 等，而是来源于后端从数据库中读出来的数据。持久型 XSS 攻击不需要诱骗点击，黑客只需要在提交表单的地方完成注入即可，但是这种 XSS 攻击的成本相对还是很高。攻击成功需要同时满足以下几个条件： POST 请求提交表单后端没做转义直接入库。后端从数据库中取出数据没做转义直接输出给前端。前端拿到后端数据没做转义直接渲染成 DOM。持久型 XSS 有以下几个特点：持久性，植入在数据库中危害面广，甚至可以让用户机器变成 DDoS 攻击的肉鸡。盗取用户敏感私密信息为了防止持久型 XSS 漏洞，需要前后端共同努力：后端在入库前应该选择不相信任何前端数据，将所有的字段统一进行转义处理。后端在输出给前端数据统一进行转义处理。前端在渲染页面 DOM 的时候应该选择不相信任何后端数据，任何字段都需要做转义处理。基于字符集的 XSS 其实现在很多的浏览器以及各种开源的库都专门针对了 XSS 进行转义处理，尽量默认抵御绝大多数 XSS 攻击，但是还是有很多方式可以绕过转义规则，让人防不胜防。比如「基于字符集的 XSS 攻击」就是绕过这些转义处理的一种攻击方式，比如有些 Web 页面字符集不固定，用户输入非期望字符集的字符，有时会绕过转义过滤规则。以基于 utf-7 的 XSS 为例 utf-7 是可以将所有的 unicode 通过 7bit 来表示的一种字符集 (但现在已经从 Unicode 规格中移除)。这个字符集为了通过 7bit 来表示所有的文字, 除去数字和一部分的符号,其它的部分将都以 base64 编码为基础的方式呈现。 <script>alert("xss")</script>可以被解释为：+ADw-script+AD4-alert(+ACI-xss+ACI-)+ADw-/script+AD4- 可以形成「基于字符集的 XSS 攻击」的原因是由于浏览器在 meta 没有指定 charset 的时候有自动识别编码的机制，所以这类攻击通常就是发生在没有指定或者没来得及指定 meta 标签的 charset 的情况下。所以我们有什么办法避免这种 XSS 呢？记住指定 XML 中不仅要指定字符集为 utf-8，而且标签要闭合牛文推荐：http://drops.wooyun.org/papers/1327 （这个讲的很详细）基于 Flash 的跨站 XSS 基于 Flash 的跨站 XSS 也是属于反射型 XSS 的一种，虽然现在开发 ActionScript 的产品线几乎没有了，但还是提一句吧，AS 脚本可以接受用户输入并操作 cookie，攻击者可以配合其他 XSS（持久型或者非持久型）方法将恶意 swf 文件嵌入页面中。主要是因为 AS 有时候需要和 JS 传参交互，攻击者会通过恶意的 XSS 注入篡改参数，窃取并操作cookie。避免方法：严格管理 cookie 的读写权限对 Flash 能接受用户输入的参数进行过滤 escape 转义处理未经验证的跳转 XSS 有一些场景是后端需要对一个传进来的待跳转的 URL 参数进行一个 302 跳转，可能其中会带有一些用户的敏感（cookie）信息。如果服务器端做302 跳转，跳转的地址来自用户的输入，攻击者可以输入一个恶意的跳转地址来执行脚本。这时候需要通过以下方式来防止这类漏洞：对待跳转的 URL 参数做白名单或者某种规则过滤后端注意对敏感信息的保护, 比如 cookie 使用来源验证。 CSRF CSRF（Cross-Site Request Forgery），中文名称：跨站请求伪造攻击那么 CSRF 到底能够干嘛呢？你可以这样简单的理解：攻击者可以盗用你的登陆信息，以你的身份模拟发送各种请求。攻击者只要借助少许的社会工程学的诡计，例如通过 QQ 等聊天软件发送的链接(有些还伪装成短域名，用户无法分辨)，攻击者就能迫使 Web 应用的用户去执行攻击者预设的操作。例如，当用户登录网络银行去查看其存款余额，在他没有退出时，就点击了一个 QQ 好友发来的链接，那么该用户银行帐户中的资金就有可能被转移到攻击者指定的帐户中。所以遇到 CSRF 攻击时，将对终端用户的数据和操作指令构成严重的威胁。当受攻击的终端用户具有管理员帐户的时候，CSRF 攻击将危及整个 Web 应用程序。 CSRF 原理下图大概描述了 CSRF 攻击的原理，可以理解为有一个小偷在你配钥匙的地方得到了你家的钥匙，然后拿着要是去你家想偷什么偷什么。 csrf原理完成 CSRF 攻击必须要有三个条件：用户已经登录了站点 A，并在本地记录了 cookie 在用户没有登出站点 A 的情况下（也就是 cookie 生效的情况下），访问了恶意攻击者提供的引诱危险站点 B (B 站点要求访问站点A)。站点 A 没有做任何 CSRF 防御你也许会问：「如果我不满足以上三个条件中的任意一个，就不会受到 CSRF 的攻击」。其实可以这么说的，但你不能保证以下情况不会发生：你不能保证你登录了一个网站后，不再打开一个 tab 页面并访问另外的网站，特别现在浏览器都是支持多 tab 的。你不能保证你关闭浏览器了后，你本地的 cookie 立刻过期，你上次的会话已经结束。上图中所谓的攻击网站 B，可能是一个存在其他漏洞的可信任的经常被人访问的网站。预防 CSRF CSRF 的防御可以从服务端和客户端两方面着手，防御效果是从服务端着手效果比较好，现在一般的 CSRF 防御也都在服务端进行。服务端的预防 CSRF 攻击的方式方法有多种，但思路上都是差不多的，主要从以下两个方面入手：正确使用 GET，POST 请求和 cookie 在非 GET 请求中增加 token 一般而言，普通的 Web 应用都是以 GET、POST 请求为主，还有一种请求是 cookie 方式。我们一般都是按照如下规则设计应用的请求： GET 请求常用在查看，列举，展示等不需要改变资源属性的时候（数据库 query 查询的时候） POST 请求常用在 From 表单提交，改变一个资源的属性或者做其他一些事情的时候（数据库有 insert、update、delete 的时候）当正确的使用了 GET 和 POST 请求之后，剩下的就是在非 GET 方式的请求中增加随机数，这个大概有三种方式来进行：为每个用户生成一个唯一的 cookie token，所有表单都包含同一个伪随机值，这种方案最简单，因为攻击者不能获得第三方的 cookie(理论上)，所以表单中的数据也就构造失败，但是由于用户的 cookie 很容易由于网站的 XSS 漏洞而被盗取，所以这个方案必须要在没有 XSS 的情况下才安全。每个 POST 请求使用验证码，这个方案算是比较完美的，但是需要用户多次输入验证码，用户体验比较差，所以不适合在业务中大量运用。渲染表单的时候，为每一个表单包含一个 csrfToken，提交表单的时候，带上 csrfToken，然后在后端做 csrfToken 验证。 CSRF 的防御可以根据应用场景的不同自行选择。CSRF 的防御工作确实会在正常业务逻辑的基础上带来很多额外的开发量，但是这种工作量是值得的，毕竟用户隐私以及财产安全是产品最基础的根本。 SQL 注入 SQL 注入漏洞（SQL Injection）是 Web 开发中最常见的一种安全漏洞。可以用它来从数据库获取敏感信息，或者利用数据库的特性执行添加用户，导出文件等一系列恶意操作，甚至有可能获取数据库乃至系统用户最高权限。而造成 SQL 注入的原因是因为程序没有有效的转义过滤用户的输入，使攻击者成功的向服务器提交恶意的 SQL 查询代码，程序在接收后错误的将攻击者的输入作为查询语句的一部分执行，导致原始的查询逻辑被改变，额外的执行了攻击者精心构造的恶意代码。很多 Web 开发者没有意识到 SQL 查询是可以被篡改的，从而把 SQL 查询当作可信任的命令。殊不知，SQL 查询是可以绕开访问控制，从而绕过身份验证和权限检查的。更有甚者，有可能通过 SQL 查询去运行主机系统级的命令。 SQL 注入原理下面将通过一些真实的例子来详细讲解 SQL 注入的方式的原理。考虑以下简单的管理员登录表单： <form action="/login" method="POST"><p>Username: <input type="text" name="username" /></p><p>Password: <input type="password" name="password" /></p><p><input type="submit" value="登陆" /></p></form> 后端的 SQL 语句可能是如下这样的： let querySQL = SELECT FROM userWHERE username='${username}'AND psw='${password}'; // 接下来就是执行 sql 语句… 目的就是来验证用户名和密码是不是正确，按理说乍一看上面的 SQL 语句也没什么毛病，确实是能够达到我们的目的，可是你只是站在用户会老老实实按照你的设计来输入的角度来看问题，如果有一个恶意攻击者输入的用户名是 zoumiaojiang’ OR 1 = 1 --，密码随意输入，就可以直接登入系统了。WFT! 冷静下来思考一下，我们之前预想的真实 SQL 语句是: SELECT FROM user WHERE username='zoumiaojiang' AND psw='mypassword' 可以恶意攻击者的奇怪用户名将你的 SQL 语句变成了如下形式： SELECT FROM user WHERE username='zoumiaojiang' OR 1 = 1 --' AND psw='xxxx' 在 SQL 中，-- 是注释后面的内容的意思，所以查询语句就变成了： SELECT FROM user WHERE username='zoumiaojiang' OR 1 = 1 这条 SQL 语句的查询条件永远为真，所以意思就是恶意攻击者不用我的密码，就可以登录进我的账号，然后可以在里面为所欲为，然而这还只是最简单的注入，牛逼的 SQL 注入高手甚至可以通过 SQL 查询去运行主机系统级的命令，将你主机里的内容一览无余，这里我也没有这个能力讲解的太深入，毕竟不是专业研究这类攻击的，但是通过以上的例子，已经了解了 SQL 注入的原理，我们基本已经能找到防御 SQL 注入的方案了。如何预防 SQL 注入防止 SQL 注入主要是不能允许用户输入的内容影响正常的 SQL 语句的逻辑，当用户的输入的信息将要用来拼接 SQL 语句的话，我们应该永远选择不相信，任何内容都必须进行转义过滤，当然做到这个还是不够的，下面列出防御 SQL 注入的几点注意事项：严格限制Web应用的数据库的操作权限，给此用户提供仅仅能够满足其工作的最低权限，从而最大限度的减少注入攻击对数据库的危害后端代码检查输入的数据是否符合预期，严格限制变量的类型，例如使用正则表达式进行一些匹配处理。对进入数据库的特殊字符（’，"，\，<，>，&，，; 等）进行转义处理，或编码转换。基本上所有的后端语言都有对字符串进行转义处理的方法，比如 lodash 的 lodash._escapehtmlchar 库。所有的查询语句建议使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到 SQL 语句中，即不要直接拼接 SQL 语句。例如 Node.js 中的 mysqljs 库的 query 方法中的 ? 占位参数。 mysql.query(SELECT FROM user WHERE username = ? AND psw = ?, [username, psw]); 在应用发布之前建议使用专业的 SQL 注入检测工具进行检测，以及时修补被发现的 SQL 注入漏洞。网上有很多这方面的开源工具，例如 sqlmap、SQLninja 等。避免网站打印出 SQL 错误信息，比如类型错误、字段不匹配等，把代码里的 SQL 语句暴露出来，以防止攻击者利用这些错误信息进行 SQL 注入。不要过于细化返回的错误信息，如果目的是方便调试，就去使用后端日志，不要在接口上过多的暴露出错信息，毕竟真正的用户不关心太多的技术细节，只要话术合理就行。碰到要操作的数据库的代码，一定要慎重，小心使得万年船，多找几个人多来几次 code review，将问题都暴露出来，而且要善于利用工具，操作数据库相关的代码属于机密，没事不要去各种论坛晒自家站点的 SQL 语句，万一被人盯上了呢？命令行注入命令行注入漏洞，指的是攻击者能够通过 HTTP 请求直接侵入主机，执行攻击者预设的 shell 命令，听起来好像匪夷所思，这往往是 Web 开发者最容易忽视但是却是最危险的一个漏洞之一，看一个实例：假如现在需要实现一个需求：用户提交一些内容到服务器，然后在服务器执行一些系统命令去产出一个结果返回给用户，接口的部分实现如下： // 以 Node.js 为例，假如在接口中需要从 github 下载用户指定的 repoconst exec = require('mz/child_process').exec;let params = {/ 用户输入的参数 /};exec(git clone ${params.repo} /some/path); 这段代码确实能够满足业务需求，正常的用户也确实能从指定的 git repo 上下载到想要的代码，可是和 SQL 注入一样，这段代码在恶意攻击者眼中，简直就是香饽饽。如果 params.repo 传入的是 https://github.com/zoumiaojiang/zoumiaojiang.github.io.git 当然没问题了。可是如果 params.repo 传入的是 https://github.com/xx/xx.git && rm -rf / && 恰好你的服务是用 root 权限起的就惨了。具体恶意攻击者能用命令行注入干什么也像 SQL 注入一样，手法是千变万化的，比如「反弹 shell 注入」等，但原理都是一样的，我们绝对有能力防止命令行注入发生。防止命令行注入需要做到以下几件事情：后端对前端提交内容需要完全选择不相信，并且对其进行规则限制（比如正则表达式）。在调用系统命令前对所有传入参数进行命令行参数转义过滤。不要直接拼接命令语句，借助一些工具做拼接、转义预处理，例如 Node.js 的 shell-escape npm 包。还是前面的例子，我们可以做到如下： const exec = require('mz/child_process').exec;// 借助 shell-escape npm 包解决参数转义过滤问题const shellescape = require('shell-escape');let params = {/ 用户输入的参数 /};// 先过滤一下参数，让参数符合预期if (!/正确的表达式/.test(params.repo)) {return;}let cmd = shellescape(['git','clone',params.repo,'/some/path']);// cmd 的值: git clone 'https://github.com/xx/xx.git && rm -rf / &&' /some/path// 这样就不会被注入成功了。exec(cmd); DDoS 攻击 DDoS 又叫分布式拒绝服务，全称 Distributed Denial of Service，其原理就是利用大量的请求造成资源过载，导致服务不可用，这个攻击应该不能算是安全问题，这应该算是一个另类的存在，因为这种攻击根本就是耍流氓的存在，「伤敌一千，自损八百」的行为。出于保护 Web App 不受攻击的攻防角度，还是介绍一下 DDoS 攻击吧，毕竟也是挺常见的。 DDoS 攻击可以理解为：「你开了一家店，隔壁家点看不惯，就雇了一大堆黑社会人员进你店里干坐着，也不消费，其他客人也进不来，导致你营业惨淡」。为啥说 DDoS 是个「伤敌一千，自损八百」的行为呢？毕竟隔壁店还是花了不少钱雇黑社会但是啥也没得到不是？DDoS 攻击的目的基本上就以下几个：深仇大恨，就是要干死你敲诈你，不给钱就干你忽悠你，不买我防火墙服务就会有“人”继续干你也许你的站点遭受过 DDoS 攻击，具体什么原因怎么解读见仁见智。DDos 攻击从层次上可分为网络层攻击与应用层攻击，从攻击手法上可分为快型流量攻击与慢型流量攻击，但其原理都是造成资源过载，导致服务不可用。网络层 DDoS 网络层 DDos 攻击包括 SYN Flood、ACK Flood、UDP Flood、ICMP Flood 等。 SYN Flood 攻击 SYN flood 攻击主要利用了 TCP 三次握手过程中的 Bug，我们都知道 TCP 三次握手过程是要建立连接的双方发送 SYN，SYN + ACK，ACK 数据包，而当攻击方随意构造源 IP 去发送 SYN 包时，服务器返回的 SYN + ACK 就不能得到应答（因为 IP 是随意构造的），此时服务器就会尝试重新发送，并且会有至少 30s 的等待时间，导致资源饱和服务不可用，此攻击属于慢型 DDoS 攻击。 ACK Flood 攻击 ACK Flood 攻击是在 TCP 连接建立之后，所有的数据传输 TCP 报文都是带有 ACK 标志位的，主机在接收到一个带有 ACK 标志位的数据包的时候，需要检查该数据包所表示的连接四元组是否存在，如果存在则检查该数据包所表示的状态是否合法，然后再向应用层传递该数据包。如果在检查中发现该数据包不合法，例如该数据包所指向的目的端口在本机并未开放，则主机操作系统协议栈会回应 RST 包告诉对方此端口不存在。 UDP Flood 攻击 UDP flood 攻击是由于 UDP 是一种无连接的协议，因此攻击者可以伪造大量的源 IP 地址去发送 UDP 包，此种攻击属于大流量攻击。正常应用情况下，UDP 包双向流量会基本相等，因此发起这种攻击的攻击者在消耗对方资源的时候也在消耗自己的资源。 ICMP Flood 攻击 ICMP Flood 攻击属于大流量攻击，其原理就是不断发送不正常的 ICMP 包（所谓不正常就是 ICMP 包内容很大），导致目标带宽被占用，但其本身资源也会被消耗。目前很多服务器都是禁 ping 的（在防火墙在可以屏蔽 ICMP 包），因此这种攻击方式已经落伍。网络层 DDoS 防御网络层的 DDoS 攻击究其本质其实是无法防御的，我们能做得就是不断优化服务本身部署的网络架构，以及提升网络带宽。当然，还是做好以下几件事也是有助于缓解网络层 DDoS 攻击的冲击：网络架构上做好优化，采用负载均衡分流。确保服务器的系统文件是最新的版本，并及时更新系统补丁。添加抗 DDos 设备，进行流量清洗。限制同时打开的 SYN 半连接数目，缩短 SYN 半连接的 Timeout 时间。限制单 IP 请求频率。防火墙等防护设置禁止 ICMP 包等。严格限制对外开放的服务器的向外访问。运行端口映射程序或端口扫描程序，要认真检查特权端口和非特权端口。关闭不必要的服务。认真检查网络设备和主机/服务器系统的日志。只要日志出现漏洞或是时间变更,那这台机器就可能遭到了攻击。限制在防火墙外与网络文件共享。这样会给黑客截取系统文件的机会，主机的信息暴露给黑客，无疑是给了对方入侵的机会。加钱堆机器。。报警。。应用层 DDoS 应用层 DDoS 攻击不是发生在网络层，是发生在 TCP 建立握手成功之后，应用程序处理请求的时候，现在很多常见的 DDoS 攻击都是应用层攻击。应用层攻击千变万化，目的就是在网络应用层耗尽你的带宽，下面列出集中典型的攻击类型。 CC 攻击当时绿盟为了防御 DDoS 攻击研发了一款叫做 Collapasar 的产品，能够有效的防御 SYN Flood 攻击。黑客为了挑衅，研发了一款 Challenge Collapasar 攻击工具（简称 CC）。 CC 攻击的原理，就是针对消耗资源比较大的页面不断发起不正常的请求，导致资源耗尽。因此在发送 CC 攻击前，我们需要寻找加载比较慢，消耗资源比较多的网页，比如需要查询数据库的页面、读写硬盘文件的等。通过 CC 攻击，使用爬虫对某些加载需要消耗大量资源的页面发起 HTTP 请求。 DNS Flood DNS Flood 攻击采用的方法是向被攻击的服务器发送大量的域名解析请求，通常请求解析的域名是随机生成或者是网络世界上根本不存在的域名，被攻击的DNS 服务器在接收到域名解析请求的时候首先会在服务器上查找是否有对应的缓存，如果查找不到并且该域名无法直接由服务器解析的时候，DNS 服务器会向其上层 DNS 服务器递归查询域名信息。域名解析的过程给服务器带来了很大的负载，每秒钟域名解析请求超过一定的数量就会造成 DNS 服务器解析域名超时。根据微软的统计数据，一台 DNS 服务器所能承受的动态域名查询的上限是每秒钟 9000 个请求。而我们知道，在一台 P3 的 PC 机上可以轻易地构造出每秒钟几万个域名解析请求，足以使一台硬件配置极高的 DNS 服务器瘫痪，由此可见 DNS 服务器的脆弱性。 HTTP 慢速连接攻击针对 HTTP 协议，先建立起 HTTP 连接，设置一个较大的 Conetnt-Length，每次只发送很少的字节，让服务器一直以为 HTTP 头部没有传输完成，这样连接一多就很快会出现连接耗尽。应用层 DDoS 防御判断 User-Agent 字段（不可靠，因为可以随意构造）针对 IP + cookie，限制访问频率（由于 cookie 可以更改，IP 可以使用代理，或者肉鸡，也不可靠) 关闭服务器最大连接数等，合理配置中间件，缓解 DDoS 攻击。请求中添加验证码，比如请求中有数据库操作的时候。编写代码时，尽量实现优化，并合理使用缓存技术，减少数据库的读取操作。加钱堆机器。。报警。。应用层的防御有时比网络层的更难，因为导致应用层被 DDoS 攻击的因素非常多，有时往往是因为程序员的失误，导致某个页面加载需要消耗大量资源，有时是因为中间件配置不当等等。而应用层 DDoS 防御的核心就是区分人与机器（爬虫），因为大量的请求不可能是人为的，肯定是机器构造的。因此如果能有效的区分人与爬虫行为，则可以很好地防御此攻击。其他 DDoS 攻击发起 DDoS 也是需要大量的带宽资源的，但是互联网就像森林，林子大了什么鸟都有，DDoS 攻击者也能找到其他的方式发起廉价并且极具杀伤力的 DDoS 攻击。利用 XSS 举个例子，如果 12306 页面有一个 XSS 持久型漏洞被恶意攻击者发现，只需在春节抢票期间在这个漏洞中执行脚本使得往某一个小站点随便发点什么请求，然后随着用户访问的增多，感染用户增多，被攻击的站点自然就会迅速瘫痪了。这种 DDoS 简直就是无本万利，不用惊讶，现在大站有 XSS 漏洞的不要太多。来自 P2P 网络攻击大家都知道，互联网上的 P2P 用户和流量都是一个极为庞大的数字。如果他们都去一个指定的地方下载数据，成千上万的真实 IP 地址连接过来，没有哪个设备能够支撑住。拿 BT 下载来说，伪造一些热门视频的种子，发布到搜索引擎，就足以骗到许多用户和流量了，但是这只是基础攻击。高级的 P2P 攻击，是直接欺骗资源管理服务器。如迅雷客户端会把自己发现的资源上传到资源管理服务器，然后推送给其它需要下载相同资源的用户，这样，一个链接就发布出去。通过协议逆向，攻击者伪造出大批量的热门资源信息通过资源管理中心分发出去，瞬间就可以传遍整个 P2P 网络。更为恐怖的是，这种攻击是无法停止的，即使是攻击者自身也无法停止，攻击一直持续到 P2P 官方发现问题更新服务器且下载用户重启下载软件为止。最后总结下，DDoS 不可能防的住，就好比你的店只能容纳 50 人，黑社会有 100 人，你就换一家大店，能容纳 500 人，然后黑社会又找来了 1000 人，这种堆人头的做法就是 DDoS 本质上的攻防之道，「道高一尺，魔高一丈，魔高一尺，道高一丈」，讲真，必要的时候就答应勒索你的人的条件吧，实在不行就报警吧。流量劫持流量劫持应该算是黑产行业的一大经济支柱了吧？简直是让人恶心到吐，不吐槽了，还是继续谈干货吧，流量劫持基本分两种：DNS 劫持和 HTTP 劫持，目的都是一样的，就是当用户访问 zoumiaojiang.com 的时候，给你展示的并不是或者不完全是 zoumiaojiang.com 提供的 “内容”。 DNS 劫持 DNS 劫持，也叫做域名劫持，可以这么理解，「你打了一辆车想去商场吃饭，结果你打的车是小作坊派来的，直接给你拉到小作坊去了」，DNS 的作用是把网络地址域名对应到真实的计算机能够识别的 IP 地址，以便计算机能够进一步通信，传递网址和内容等。如果当用户通过某一个域名访问一个站点的时候，被篡改的 DNS 服务器返回的是一个恶意的钓鱼站点的 IP，用户就被劫持到了恶意钓鱼站点，然后继而会被钓鱼输入各种账号密码信息，泄漏隐私。 dns劫持这类劫持，要不就是网络运营商搞的鬼，一般小的网络运营商与黑产勾结会劫持 DNS，要不就是电脑中毒，被恶意篡改了路由器的 DNS 配置，基本上做为开发者或站长却是很难察觉的，除非有用户反馈，现在升级版的 DNS 劫持还可以对特定用户、特定区域等使用了用户画像进行筛选用户劫持的办法，另外这类广告显示更加随机更小，一般站长除非用户投诉否则很难觉察到，就算觉察到了取证举报更难。无论如何，如果接到有 DNS 劫持的反馈，一定要做好以下几件事：取证很重要，时间、地点、IP、拨号账户、截屏、URL 地址等一定要有。可以跟劫持区域的电信运营商进行投诉反馈。如果投诉反馈无效，直接去工信部投诉，一般来说会加白你的域名。 HTTP 劫持 HTTP 劫持您可以这么理解，「你打了一辆车想去商场吃饭，结果司机跟你一路给你递小作坊的广告」，HTTP 劫持主要是当用户访问某个站点的时候会经过运营商网络，而不法运营商和黑产勾结能够截获 HTTP 请求返回内容，并且能够篡改内容，然后再返回给用户，从而实现劫持页面，轻则插入小广告，重则直接篡改成钓鱼网站页面骗用户隐私。能够实施流量劫持的根本原因，是 HTTP 协议没有办法对通信对方的身份进行校验以及对数据完整性进行校验。如果能解决这个问题，则流量劫持将无法轻易发生。所以防止 HTTP 劫持的方法只有将内容加密，让劫持者无法破解篡改，这样就可以防止 HTTP 劫持了。 HTTPS 协议就是一种基于 SSL 协议的安全加密网络应用层协议，可以很好的防止 HTTP 劫持。这里有篇文章讲的不错。HTTPS 在这就不深讲了，后面有机会我会单独好好讲讲 HTTPS。如果不想站点被 HTTP 劫持，赶紧将你的站点全站改造成 HTTPS 吧。服务器漏洞服务器除了以上提到的那些大名鼎鼎的漏洞和臭名昭著的攻击以外，其实还有很多其他的漏洞，往往也很容易被忽视，在这个小节也稍微介绍几种。越权操作漏洞如果你的系统是有登录控制的，那就要格外小心了，因为很有可能你的系统越权操作漏洞，越权操作漏洞可以简单的总结为「A 用户能看到或者操作 B 用户的隐私内容」，如果你的系统中还有权限控制就更加需要小心了。所以每一个请求都需要做 userid 的判断以下是一段有漏洞的后端示意代码： // ctx 为请求的 context 上下文let msgId = ctx.params.msgId;mysql.query('SELECT FROM msg_table WHERE msg_id = ?',[msgId]); 以上代码是任何人都可以查询到任何用户的消息，只要有 msg_id 就可以，这就是比较典型的越权漏洞，需要如下这么改进一下： // ctx 为请求的 context 上下文let msgId = ctx.params.msgId;let userId = ctx.session.userId; // 从会话中取出当前登陆的 userIdmysql.query('SELECT FROM msg_table WHERE msg_id = ? AND user_id = ?',[msgId, userId]); 嗯，大概就是这个意思，如果有更严格的权限控制，那在每个请求中凡是涉及到数据库的操作都需要先进行严格的验证，并且在设计数据库表的时候需要考虑进 userId 的账号关联以及权限关联。目录遍历漏洞目录遍历漏洞指通过在 URL 或参数中构造 …/，./ 和类似的跨父目录字符串的 ASCII 编码、unicode 编码等，完成目录跳转，读取操作系统各个目录下的敏感文件，也可以称作「任意文件读取漏洞」。目录遍历漏洞原理：程序没有充分过滤用户输入的 …/ 之类的目录跳转符，导致用户可以通过提交目录跳转来遍历服务器上的任意文件。使用多个… 符号，不断向上跳转，最终停留在根 /，通过绝对路径去读取任意文件。目录遍历漏洞几个示例和测试，一般构造 URL 然后使用浏览器直接访问，或者使用 Web 漏洞扫描工具检测，当然也可以自写程序测试。 http://somehost.com/../../../../../../../../../etc/passwdhttp://somehost.com/some/path?file=../../Windows/system.ini 借助 %00 空字符截断是一个比较经典的攻击手法http://somehost.com/some/path?file=../../Windows/system.ini%00.js 使用了 IIS 的脚本目录来移动目录并执行指令http://somehost.com/scripts/..%5c../Windows/System32/cmd.exe?/c+dir+c:\ 防御方法就是需要对 URL 或者参数进行 …/，./ 等字符的转义过滤。物理路径泄漏物理路径泄露属于低风险等级缺陷，它的危害一般被描述为「攻击者可以利用此漏洞得到信息，来对系统进一步地攻击」，通常都是系统报错 500 的错误信息直接返回到页面可见导致的漏洞。得到物理路径有些时候它能给攻击者带来一些有用的信息，比如说：可以大致了解系统的文件目录结构；可以看出系统所使用的第三方软件；也说不定会得到一个合法的用户名（因为很多人把自己的用户名作为网站的目录名）。防止这种泄漏的方法就是做好后端程序的出错处理，定制特殊的 500 报错页面。源码暴露漏洞和物理路径泄露类似，就是攻击者可以通过请求直接获取到你站点的后端源代码，然后就可以对系统进一步研究攻击。那么导致源代码暴露的原因是什么呢？基本上就是发生在服务器配置上了，服务器可以设置哪些路径的文件才可以被直接访问的，这里给一个 koa 服务起的例子，正常的 koa 服务器可以通过 koa-static 中间件去指定静态资源的目录，好让静态资源可以通过路径的路由访问。比如你的系统源代码目录是这样的： |- project|- src|- static|- ...|- server.js 你想要将 static 的文件夹配成静态资源目录，你应该会在 server.js 做如下配置： const Koa = require('koa');const serve = require('koa-static');const app = new Koa();app.use(serve(__dirname + '/project/static')); 但是如果配错了静态资源的目录，可能就出大事了，比如： // ...app.use(serve(__dirname + '/project')); 这样所有的源代码都可以通过路由访问到了，所有的服务器都提供了静态资源机制，所以在通过服务器配置静态资源目录和路径的时候，一定要注意检验，不然很可能产生漏洞。最后，希望 Web 开发者们能够管理好自己的代码隐私，注意代码安全问题，比如不要将产品的含有敏感信息的代码放到第三方外部站点或者暴露给外部用户，尤其是前端代码，私钥类似的保密性的东西不要直接输出在代码里或者页面中。也许还有很多值得注意的点，但是归根结底还是绷住安全那根弦，对待每一行代码都要多多推敲。请关注我的订阅号本篇文章为转载内容。原文链接：https://blog.csdn.net/MrCoderStack/article/details/88547919。该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

2023-01-03 14:51:12

493

转载

JQuery

jquery改变css样式动画

...楚，其animate方法虽然强大且易于使用，但随着原生CSS3动画功能的增强和完善，开发者们有了更多的选择。近期，Web开发社区对CSS3动画的关注度日益提升，尤其是Transition和Animation属性的广泛运用，使得开发者无需依赖JavaScript库就能创建出平滑、高性能的动画效果。例如，通过CSS Transition可以轻松实现元素样式过渡，只需定义transition-duration、transition-property等属性即可；而CSS Animation则支持关键帧动画，允许开发者精细控制动画每一阶段的样式变化。同时，现代浏览器对于硬件加速的支持，使得CSS3动画在性能上甚至优于某些基于JavaScript实现的方案。诸如Animate.css、Hover.css等开源CSS动画库也应运而生，它们提供了丰富的预设动画效果，大大简化了开发流程。然而，这并不意味着jQuery过时或不再适用。在需要复杂交互逻辑或需兼容老旧浏览器的情况下，jQuery及animate方法依然具有不可替代的优势。因此，在实际项目中，开发者可以根据需求灵活选择jQuery与CSS3动画结合使用，以达到最佳的用户体验与开发效率。总的来说，无论是jQuery的animate方法还是CSS3原生动画，都是为了更好地服务于网页动态效果的设计与实现。在追求技术创新与优化体验的道路上，了解并掌握多种工具和技术的应用场景和优缺点，是每一位前端开发者不断提升自身能力的关键所在。

2023-11-29 08:09:32

378

软件工程师

JQuery

jquery改变文本框字体

...，包含了大量的函数和方法，旨在简化和增强开发人员编写JavaScript程序的过程。在本文中，jQuery被定义为一种常用的JavaScript库，它提供了丰富的API接口来处理HTML文档对象模型（DOM）操作和CSS样式控制等功能，使得开发者能够更加高效地进行Web前端开发。 CSS样式 , CSS（Cascading Style Sheets）样式是一种样式表语言，用于描述HTML或XML（包括如SVG、MathML等各种XML方言）文档的呈现。在网页设计中，CSS样式负责定义HTML元素的布局、颜色、字体和其他视觉表现形式。文章提到，jQuery的“css”函数可以用来动态修改HTML元素的CSS样式属性，比如文本框的字体大小和颜色。选择器 , 在jQuery和CSS中，选择器是用来查找和定位HTML文档中特定元素的一种机制。通过字符串表达式，开发者可以根据元素的标签名、类名、ID以及其他属性值等特征精确或模糊地选取目标元素。在给出的文章示例中，使用的选择器是input type= text ，这表示选取所有类型为\ text\ 的input元素。通过这种方式，jQuery能获取到需要修改样式的文本框元素，并进一步应用css函数设置其样式属性。

2023-12-10 16:36:43

417

程序媛

转载文章

[转载]layui内置图标不满足需求，自定义添加阿里矢量图标

...库是一个高效且实用的方法，特别是在内置图标无法满足项目需求时。实际上，不仅限于layui，诸如Vue、React等现代前端框架同样支持并鼓励开发者引入第三方图标库以丰富界面元素。近日，阿里云矢量图标库持续更新，新增了大量行业特性和场景相关的图标，如云计算、物联网、人工智能等领域的专业图标，使得开发者能够紧跟时代潮流，为各类Web应用提供更加贴切和细致的视觉表达。同时，阿里矢量图标库还优化了图标自定义流程，用户可以在线编辑、一键下载符合项目需求的定制化图标包，大大提升了开发效率。此外，对于那些对前端性能有严格要求的开发者来说，采用SVG Sprite技术整合图标资源可进一步提升页面加载速度与渲染性能。通过将多个SVG图标组合成一个SVG文件，并利用CSS进行调用，既能减少HTTP请求，又能确保图标在不同分辨率下清晰显示。总之，在实际开发过程中，充分结合各种图标资源库的优势，灵活运用到layui等前端框架中，不仅可以增强界面美观度，还能有效提高开发灵活性与用户体验。不断关注阿里矢量图标库等资源的更新动态，将有助于开发者与时俱进，打造出更具竞争力的产品界面。

2023-01-15 13:55:36

531

转载

CSS

css样式表覆盖插件

运用CSS样式表替代插件，可以轻松地对网站上的元素进行外观调整。这种方法可以让网站开发者更自如地设计网页界面，并且可以改变组件的标准样式。下面我们来掌握一下CSS样式表替代插件的具体运用方法。首先，我们需要在HTML文档中导入插件CSS文件地址。例如，比如我们要运用的插件为“plugin.css”，那么我们可以在head标签中插入以下代码： <link rel="stylesheet" type="text/css" href="plugin.css"> 接下来，我们要开始为插件的元素制定个性化样式规则。首先，我们需要识别插件组件标识符。一般可以通过审查元素的方式来查阅插件元素的属性。例如，如果我们要调整插件元素的字号和颜色，可以运用以下代码： <style> .plugin-element { font-size: 14px; color: 333; } </style> 以上代码中，“.plugin-element”为插件元素的类名，“font-size”用于设置字号，“color”用于设置字体颜色。如果想要替代插件元素的默认样式表，我们需要将自定义的样式表放在默认样式表之后，这样我们的样式表才会替代默认样式表。可以运用以下代码来实现： <link rel="stylesheet" type="text/css" href="plugin.css"> <style> .plugin-element { font-size: 14px; color: 333; } </style> 最后，我们还可以运用!important关键字来强制替代其他样式表。例如： .plugin-element { font-size: 14px!important; color: 333!important; } 需要注意的是，运用!important关键字可能会影响到其他样式表的表现，因此应该尽量避免运用。综上所述，运用CSS样式表替代插件可以让我们更自如地定制网站元素的外观。同时，我们需要注意插件组件标识符，以及运用!important关键字的影响。

2023-05-26 10:19:55

459

编程狂人

Lua

Lua中table.insert函数错误：nil参数导致的'bad argument'问题及变量初始化的重要性

... 'insert' table expected, got nil" 错误 Lua，作为一种轻量级脚本语言，以其小巧、灵活和高效而备受开发者的喜爱。在我们实际编写代码的时候，有时候会遇到一些让人脑壳疼的错误信息，就比如那个“bad argument 2 to 'insert'，本来应该是个表格来着，结果却收到了nil”。这就像是你准备往抽屉里放衣服，却发现抽屉位置空空如也，这可真是让人丈二和尚摸不着头脑。本文将带你一起深入探讨这个错误背后的原因，并通过丰富的代码实例帮你理解它，以便你在今后的开发过程中能更游刃有余地处理此类问题。 1. 错误解析在Lua中，当你尝试使用table.insert方法时，该方法期望接收到两个参数：一个是表（table），另一个是要插入到表中的元素。当错误信息提示"bad argument 2 to 'insert'"时，意味着函数接收到的第二个参数存在问题。这里的"2"实际上是指第二个实参，"table expected, got nil"则明确告诉我们，原本应该是一个table类型的参数，但实际获取的是nil。 2. 代码示例与分析示例一： lua -- 创建一个空表 local myTable = {} -- 尝试向表中插入一个元素，但没有指定要插入哪个表 table.insert(nil, "I am supposed to be in a table!") -- 运行这段代码将会抛出错误：bad argument 1 to 'insert' (table expected, got nil) 在这段代码中，我们试图调用table.insert函数，但作为第一个参数传入了nil而非table，因此出现了上述错误。错误信息中的“1”是因为在Lua中，函数参数是从1开始计数的。示例二： lua -- 正确创建并初始化一个table local myTable = {"Element 1", "Element 2"} -- 试图插入一个新的元素，但是新元素的引用丢失 local newElement = "New Element" newElement = nil -- 这里将newElement设为nil table.insert(myTable, newElement) -- 运行这段代码将会抛出错误：bad argument 2 to 'insert' (value expected, got nil) 在这个例子中，尽管我们正确提供了table作为table.insert的第一个参数，但第二个参数newElement被设置为了nil，导致插入操作失败。 3. 解决方案与思考过程理解了错误来源后，解决问题的关键在于确保传递给table.insert的两个参数都是有效的。关于第一个参数，你可得把它搞清楚了，必须是个实实在在的table，不能是nil空空如也；而第二个参数呢，也得瞪大眼睛瞧仔细了，确保它是你真正想塞进那个表里的“良民”，也就是个有效的值。 lua -- 正确的插入操作演示 local myTable = {"Element 1", "Element 2"} -- 确保新元素存在且非nil local newElement = "New Element" table.insert(myTable, newElement) -- 此时不会出现错误 print(table.concat(myTable, ", ")) -- 输出: "Element 1, Element 2, New Element" 在实际编程过程中，我们需要时刻保持警惕，确保对变量的管理和引用是准确无误的，尤其是在进行数据结构操作如插入、删除或更新时。这种精细到每根汗毛的编程习惯，可不只是能帮我们躲开“参数错误”这类小坑，更能给咱们的程序打上一层强心针，让它的稳定性和坚固程度蹭蹭上涨。总之，面对"bad argument 2 to 'insert' table expected, got nil"这类错误，记住一点：在执行任何修改table的操作前，请先确认所有相关变量都已正确初始化并且指向有效的值。这样一来，你就能把Lua这门超级灵活的语言玩得溜溜的，让它变成你的趁手神器，而不是绊你前进步伐的小石头。

2023-11-12 10:48:28

109

断桥残雪

Element-UI

Element-UI在Vue项目中的整合实践：兼容Bootstrap与React，解决样式冲突与组件集成问题

...alk/index.css'; Vue.use(ElementUI); 这样，你就可以在整个Vue项目中方便地调用Element-UI的各种组件了。 2. Element-UI与Bootstrap的整合虽然Element-UI提供了全面的UI组件，但在某些情况下，你可能仍想利用Bootstrap的CSS样式来丰富项目的视觉效果。这时，你需要做的就是分别引入这两个库，并注意避免样式冲突。 html 需要注意的是，由于Bootstrap和Element-UI都对一些基础样式进行了定义，比如按钮、表格等，因此在具体使用时，你可能需要通过自定义CSS来调整样式层级或者覆盖默认样式，确保两者能够和谐共存。 3. Element-UI与React的交融尽管Element-UI是为Vue设计的，但这并不意味着它不能与React配合使用。借助vue-reactive-components等库，我们可以实现Element-UI在React项目中的集成。 jsx import { withReact } from 'vue-reactive-components'; import { Button } from 'element-ui'; const ElButton = withReact(Button); function MyReactComponent() { return ( {/ 使用Element-UI的Button组件 /} 点击我 ); } export default MyReactComponent; 在这段代码中，我们将Element-UI的Button组件转换为了可以在React中使用的组件。虽然这种方法并非完美无缝，但足以满足基本需求。当然啦，根据你手头项目的复杂程度和实际需求，你可能还需要深入去解决状态管理啊、事件绑定这些个问题。 4. 结合思考与探讨在实际开发中，框架与库的整合往往涉及到诸多细节和挑战。就像我们在上面举的例子中见识到的那样，重点其实就一句话：摸透每个框架或者库的核心本领和运作门道，这样咱们才能慧眼识珠，挑出最合适的组合方案。同时呢，这也意味着咱们得有那么点儿随机应变的能耐和脑洞大开的创新思维，好随时对付那些从天而降的技术挑战。总的来说，无论是Element-UI与Bootstrap还是React的结合，都是为了构建出功能完善且美观的Web应用。在这个过程中，咱们得把各种框架的优点都榨干了用尽，同时还要像玩拼图一样巧妙解决那些可能出现的兼容性小插曲。只有这样，才能真正打造出一个既跑得飞快又稳如磐石的项目来。希望本文能帮助你在实战中更好地驾驭这些工具，让技术服务于业务，创造更大价值。

2023-12-10 16:00:20

389

诗和远方

ReactJS

React中构建可复用淡入动画组件：通过useState钩子与CSS动画实现封装与代码复用

...点按钮，页面上的某个元素就像被施展了魔法一样，慢慢地、优雅地从隐形状态显现出来，给你带来意想不到的视觉惊喜。步骤二：封装动画效果接下来，我们需要封装动画效果。在做这个操作的时候，我们可以把动画效果单独打包成一个自定义的小部件或者函数，这样一来，你在其他任何需要的地方都能随时调用它，就像从工具箱里取出小工具一样方便。比如说，我们能创建一个名叫FadeIn的组件，这个小家伙呢，会接收一个props参数，这个参数的作用可大了，就是用来告诉我们它要让哪个元素逐渐显现出来，实现淡入效果。步骤三：使用动画效果最后，我们需要在应用程序中使用动画效果。在这个过程中，我们可以直接调用封装好的动画效果，而不必再次编写动画效果的代码。比如说，当你点击一个按钮的时候，我们可以在那个按钮的“事件响应小助手”里头，呼唤出一个叫FadeIn的小工具，让它帮忙让某个元素像魔术般慢慢显现出来，实现淡入的效果。四、实战演示现在，让我们来看一下如何利用React构建一个可复用的淡入动画库或组件。首先，我们需要定义动画效果。想在React项目里实现一个淡入动画效果？这里有个小窍门。首先，我们可以巧妙地利用React那个叫做useState的小工具来掌控状态的变化。然后呢，再搭配CSS动画的魔法，就能轻松把淡入效果玩转起来，让元素如同晨雾般自然显现。以下是代码示例： javascript import React, { useState } from 'react'; import './FadeIn.css'; const FadeIn = ({ children }) => { const [show, setShow] = useState(false); return ( {children} ); }; export default FadeIn; 在上述代码中，我们首先导入了useState钩子和相关的CSS文件。接下来，我们捣鼓出了一个名叫FadeIn的组件，这个小家伙有个特性，它可以接受一个叫children的属性，这个属性呢，就是用来告诉我们它要帮哪些内容慢慢变得可见，也就是淡入进来。在咱这组件里面，我们用了一个叫做useState的小玩意儿来捯饬"show"这个状态。简单来说，就是如果"show"这小家伙的值是true，那我们就把内容亮出来给大家瞅瞅；否则的话，就把它藏起来，不让大家看到。此外，我们还添加了一个CSS类名fade-in和hidden，用于控制淡入和隐藏的效果。接下来，我们需要在应用程序中使用动画效果。以下是一个简单的示例，我们在点击按钮时，调用FadeIn组件来淡入某个元素： javascript import React, { useState } from 'react'; import FadeIn from './FadeIn'; function App() { const [showMessage, setShowMessage] = useState(false); const handleClick = () => { setShowMessage(true); }; return ( Click me {showMessage && {message} } ); } export default App; 在上述代码中，我们首先导入了FadeIn组件和useState钩子。然后，我们定义了一个App组件，这个组件包含一个按钮和一个FadeIn组件。当按钮被点击时，我们调用setShowMessage方法来改变showMessage的状态，从而触发FadeIn组件的淡入效果。

2023-03-14 20:38:59

105

草原牧歌-t

JQuery插件下载

jQuery适合移动设备触摸屏的响应式幻灯片插件

...和flickity.css文件，开发者可以轻松实现具有自适应布局功能的轮播图组件，使内容能够在智能手机、平板电脑以及桌面显示器上优雅展现。该插件提供了丰富的定制选项，如自定义细胞（cell）对齐方式、容器内居中显示、自动播放模式等，使得开发人员可以根据实际需求调整幻灯片的表现效果。此外，Flickity还支持多点触摸手势，用户可以通过手指滑动顺畅地浏览图片或内容区域，大大提升了移动端用户的交互体验。总结来说，Flickity作为一款移动优先的响应式幻灯片插件，凭借其轻量级设计、CSS3加速过渡以及强大的触摸友好特性，成为了众多前端开发者构建现代化、高品质网站与应用时的理想选择。点我下载文件大小：433.03 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下：本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。若擅自商用导致的一切后果，由使用者承担责任。

2023-03-10 17:35:18

276

本站

JQuery插件下载

基于Bootstrap的表格头固定的jQuery表格插件

...介绍 jquery-table-fixed-head是一款专为需要高效展示大量数据的网站设计的jQuery插件。这款插件巧妙地结合了Bootstrap框架的强大功能与jQuery的灵活性，使得网页开发者能够轻松实现Bootstrap表格中头部的固定效果。这意味着当用户向下滚动浏览表格内容时，表格的顶部标题栏将始终保持可见状态，极大地提升了用户体验。使用这款插件，开发者无需编写复杂的CSS或JavaScript代码，只需简单地引入插件文件并在相应的表格元素上添加特定的类或属性即可。这不仅简化了开发流程，还确保了页面加载速度和性能不受影响。此外，由于其基于Bootstrap的设计，它能够无缝集成到任何已经采用Bootstrap进行布局和样式的项目中，提供一致且专业的视觉效果。无论你是正在构建一个产品详情页、数据分析报告还是任何需要展示复杂数据集的网站，jquery-table-fixed-head都能为你提供强大而便捷的支持。通过提升信息可读性和易用性，它帮助用户更快速、准确地获取所需信息，从而提高整体的用户满意度和参与度。总之，对于追求高质量用户体验的前端开发者而言，这是一款不可多得的工具。点我下载文件大小：89.90 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下：本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。若擅自商用导致的一切后果，由使用者承担责任。

2024-10-29 21:27:18

118

本站

JQuery插件下载

jQuery和CSS3炫酷圆形图片切换特效

...介绍 jQuery和CSS3炫酷圆形图片切换特效是一款极其吸引眼球的动态网页元素，旨在为网站设计增添一抹独特的视觉魅力。这款插件专为追求创新与个性化的开发者和设计师量身打造，利用jQuery与CSS3的强大功能，实现了一种令人叹为观止的圆形图片切换效果。通过集成animate.css库，该插件不仅能够轻松创建图片的平滑进入与离开动画，还赋予了用户自由定制动画细节的灵活性。这意味着，无论是淡入淡出、旋转还是翻转等动态效果，都能在圆形框架内流畅呈现，为用户带来沉浸式的视觉体验。此插件的使用方法简单直观，只需几个关键步骤即可将你的图片集转化为动感十足的圆形幻灯片展示。它支持自定义数量的图片，并允许用户随心所欲地调整图片之间的切换速度和动画时长，确保每一张图片都能以最佳状态呈现给观众。除了基本的圆形切换功能，这款插件还提供了丰富的自定义选项，包括但不限于背景颜色、过渡效果、圆角大小等，使得每个项目都能根据特定的风格和需求进行个性化调整。无论是个人博客、产品展示页还是企业网站，都能通过此插件的丰富功能，实现独一无二的视觉冲击力。总而言之，jQuery和CSS3炫酷圆形图片切换特效不仅是一套技术解决方案，更是一个激发创意、提升用户体验的工具。无论你是前端开发新手还是经验丰富的专业人士，都能从中找到满足需求的功能与灵感，共同探索网页设计的新边界。点我下载文件大小：93.75 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下：本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。若擅自商用导致的一切后果，由使用者承担责任。

2024-09-23 11:20:30

106

本站

JQuery

jquery改变css样式方法

...ery库中如何使用.css()函数对网页元素的CSS样式进行动态修改之后，我们进一步探讨一下现代前端开发领域中CSS处理技术的发展趋势和最佳实践。近期，随着Web Components和框架（如React、Vue）的普及，原生CSS API与JavaScript的结合愈发紧密。例如，在React中，通过styled-components或CSS Modules可以将CSS样式直接内联到JSX组件中，实现更精细化的样式控制和更好的可维护性。同时，CSS-in-JS方案使得动态修改样式更为方便，它采用JavaScript编程的方式来编写CSS，并能充分利用变量、函数等特性，大大提升了样式管理的灵活性。另外，随着浏览器原生API的不断进化，诸如CSS Variables（CSS自定义属性）、MutationObserver（用于监听DOM变化）、以及Houdini项目（旨在为开发者提供更低级别的CSS控制）等新兴技术，也为动态样式处理提供了更多可能。这些技术不仅增强了CSS样式的交互性和响应能力，也使jQuery等库在某些场景下的功能被逐步替代或者优化。总的来说，虽然jQuery的.css()方法在当前依然广泛应用于各类项目中，但随着Web技术的快速发展，理解并掌握新型CSS处理技术和理念对于提升前端开发效率与代码质量具有重要意义。因此，建议读者继续关注CSS领域的新标准、新工具及框架的最佳实践，以便在实际项目中更好地运用和发挥。

2023-10-26 21:49:22

350

电脑达人

Element-UI

Vue.js项目中利用Element-UI el-table实现行点击展开/收起子内容：row-click事件与状态变量应用

...ent-UI el-table组件的点击展开/收起功能后，我们还可以进一步探索更多高级定制和优化方案。例如，结合Vue.js的动态组件特性，可以设计更为灵活多样的展开内容区域，展示不同类型的嵌套数据或操作面板。此外，对于大数据量表格的性能优化也是值得关注的问题，通过懒加载、虚拟滚动等技术提高渲染效率。近期，Element Plus作为Element-UI的下一代版本，在处理表格组件方面提供了更多的改进与优化，比如更强大的API支持、更流畅的交互体验以及对Tree Table结构的良好兼容性，为实现复杂表格交互提供了新思路。开发者们可以通过学习Element Plus的新特性，升级现有项目以提升用户体验并紧跟前端技术潮流。同时，针对无障碍设计（Accessibility）的重要性日益凸显，如何确保el-table的展开/收起功能对键盘操作友好，符合WCAG 2.1标准，也成为了现代Web开发中的一个重要议题。通过对焦点管理、ARIA角色属性的合理设置，我们可以使所有用户，无论是否使用鼠标，都能顺畅地与具有展开/收起功能的数据表格进行交互。综上所述，深入理解和掌握表格组件的扩展功能不仅有助于提升项目的用户体验，也有利于开发者关注前端领域最新技术和无障碍设计的发展趋势，从而打造出更加高效、易用且包容的Web应用。

2023-10-23 16:53:41

404

青山绿水_t

HTML

传智书城html代码

...de字符集进行编码的方法，它是一种变长字节编码格式，能对世界上几乎所有的字符和符号进行编码表示。在文章所述的传智书城网站中，“meta charset=UTF-8”表明网页采用了UTF-8编码格式，确保了不同语言文字能在网页上正确无误地显示出来，满足国际化的使用需求。 CSS样式表 , 层叠样式表（Cascading Style Sheets），是一种用来描述HTML或XML（包括如SVG、MathML等各种XML方言）文档样式的样式表语言。在传智书城网站的HTML代码中，“link rel=stylesheet href=style.css”这一行说明网页链接了一个外部样式表文件“style.css”，通过CSS可以统一控制网页元素的布局、颜色、字体等视觉表现形式，实现网页的美化和风格统一化设计。

2023-08-22 12:19:23

463

算法侠

HTML

HTML标签与CSS结合实现文本样式个性化控制：内联元素、语义化标签及CSS选择器的运用

CSS选择器 , CSS选择器是CSS语言中用于指定要应用样式的HTML元素的规则。在文章中，通过结合标签与CSS选择器（如类名 .highlight 和ID选择器 unique-text），开发者可以精确地定位并控制特定文本片段的样式。 Shadow DOM , Shadow DOM是Web Components规范的一部分，它提供了一种封装和隔离组件内部结构及样式的方法。在实际项目中，Shadow DOM能够确保组件内的样式不会影响到全局样式，也不会被全局样式所影响，从而有效地解决了样式冲突问题，增强了代码的可维护性和复用性。 CSS-in-JS , CSS-in-JS是一种新兴的编写和管理CSS样式的方式，将CSS样式以JavaScript对象或字符串的形式定义在JavaScript代码中。这种方式使得样式能够根据应用程序的状态动态地创建和更新，并且易于模块化和维护。例如，在React或Vue项目中，styled-components库允许开发者直接在JavaScript中创建具有唯一类名的元素，并为其附加动态样式。

2023-09-18 15:40:18

446

星河万里

JQuery

jquery插件都怎么写

...，它提供了许多有用的方法和方法来优化Web开发。jQuery插件就是依赖jQuery集合增加了一些新的方法，以便我们可以更加方便地实现某些功能。那么，jQuery插件怎样编写呢？ //声明插件 $.fn.myPlugin = function(options){ //整合输入变量和预设选项 var settings = $.extend({}, defaults, options); //循环每个节点 this.each(function(){ //编写扩展功能 //... }); //回馈当前的jQuery对象以便连续调用 return this; } //预设选项 var defaults = { option1: value1, option2: value2, //... } 代码中使用$.fn来增加jQuery集合，其中myPlugin是插件名。options参数接收用户传入的参数，并与预设选项进行整合。this代表当前的选中的节点，使用each方法循环每个节点，为每个节点编写扩展功能。最后，回馈当前的jQuery对象以便连续调用。以上是一个简单的框架，我们可以根据实际需要进行修改和增加。下面是一个实现点击按钮使文本加粗的例子： //声明插件 $.fn.bold = function(){ //循环每个节点 this.each(function(){ //获取当前的节点 var $this = $(this); //添加点击事件 $this.on('click', function(){ //判断当前的状态 if($this.css('font-weight') == "bold"){ $this.css('font-weight', 'normal'); }else{ $this.css('font-weight', 'bold'); } }); }); //回馈当前的jQuery对象以便连续调用 return this; } 代码中声明了一个名为bold的插件，使用on方法为节点添加了点击事件。点击事件里判断当前的节点是否加粗，然后切换加粗状态。最后，回馈当前的jQuery对象以便连续调用。

2023-12-24 23:53:36

419

程序媛

VUE

vue和css

...，用于创建单页应用。CSS（层叠风格表）是用于调整网页视觉呈现和风格的编程语言。Vue和CSS可以在一起运用，以提高应用程序的交互性和设计。 Vue.component('MyButton', { template: '<button class="my-button">{ { buttonText } }</button>', props: { buttonText: { type: String, default: 'Click Me!' } } }); .my-button { color: fff; background-color: 007bff; border-color: 007bff; padding: 0.375rem 0.75rem; border-radius: 0.25rem; font-size: 1rem; line-height: 1.5; margin-top: 1rem; } 在上面的代码中，我们运用Vue模块构建了一个名为“MyButton”的按钮，并运用默认的“Click Me！”内容。然后我们运用CSS风格表调整按钮的界面和体验。运用CSS和Vue可以使我们更改按钮的边框色彩、字号、按钮内容等元素。在Vue中，我们还可以运用v-bind将实时数据关联到样式属性上，例如： <template> <div :style="{ backgroundColor: color }"> <p v-for="(item, index) in items" :key="index">{ { item } }</p> </div> </template> <script> export default { data() { return { items: ['apple', 'banana', 'orange'], color: 'red' } } } </script> 在上面的代码中，我们运用v-bind将color关联到div的background-color属性上。此外，我们还用v-for循环展现了一个p元素，展示了data中的item数组。总之，Vue和CSS可以很好地协同工作，以增强你的应用程序的视觉呈现和交互性。对于前端开发人员来说，重要的是了解如何运用Vue和CSS来创建具有相似界面和体验的模块，以提高代码的可重用性和可扩展性。

2023-09-02 10:50:23

编程狂人

转载文章

[转载]html实现折叠面板,js轻松实现折叠面板

...的hide和show方法就是采用这个属性 $('el').hide(); $('el').show(); / show: function() { return this.each(function() { //清除元素的内联display="none"的样式 this.style.display == "none" && (this.style.display = null) //当样式表里的该元素的display样式为none时，设置它的display为默认值 if (getComputedStyle(this, '').getPropertyValue("display") == "none") this.style.display = defaultDisplay(this.nodeName) //defaultDisplay是获取元素默认display的方法 }) }, hide: function() { return this.css("display", "none") } / transition: height 600ms; 改变容器的高度，配合overflow: hidden;实现平滑动画 //思路示例 //css .box { height: 0px; transition: height 600ms; overflow: hidden; background: 4b504c; } //html ... ... //js function openAndClose(){ var el = document.getElementById("box"); if(window.getComputedStyle(el).height == "0px"){ el.style.height = "300px"; }else{ el.style.height="0px"; } } //这样虽然实现了效果，但是需要提前知道容器的高度 //如果设置height为auto,然而transition并没有效果 transition: max-height 600ms; 将transition的属性换成max-height,max-height会限制元素的height小于这个值，所以我们将关闭状态的值设成0，打开状态设置成足够大 //思路示例 //css .box { height: 300px; max-height: 0px; transition: max-height 600ms; overflow: hidden; background: 4b504c; } //html ... ... //js function openAndClose(){ var el = document.getElementById("box"); if(window.getComputedStyle(el).maxHeight == "0px"){ el.style.maxHeight = "1040px"; }else{ el.style.maxHeight="0px"; } } //这样过程中就会有个不尽人意的地方，关闭的时候总会有点延迟 //原因可能是maxHeight到height这个值得过渡过程耗费了时间 //思路：取消transition==》设置height：auto==》 //获取容器真实height==》设置height：0==》 //设置transition==》触发浏览器重排==》 //设置容器真实height function openAndClose(){ var el = document.getElementById("box"); if(window.getComputedStyle(el).height == "0px"){ // mac Safari下，貌似auto也会触发transition, 故要none下~ el.style.transition = "none"; el.style.height = "auto"; var targetHeight = window.getComputedStyle(el).height; el.style.transition = "height 600ms" el.style.height = "0px"; el.offsetWidth;//触发浏览器重排 el.style.height = targetHeight; }else{ el.style.height="0px"; } } 其他 getComputedStyle() 方法获取的是最终应用在元素上的所有CSS属性对象|MDN 本篇文章为转载内容。原文链接：https://blog.csdn.net/weixin_39725844/article/details/117728423。该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

2023-04-03 15:59:22

139

转载

转载文章

[转载]AdvStringGrid 复选框、goRowSelect

...ringGrid1.Cells[1,I] := '第二列' + I.ToString;AdvStringGrid1.Cells[2,I] := '第三列' + I.ToString;end;end; 但是你会发现，checkbox再单元的左侧了，想居中怎么办，经过研究发现了advstring自身的一处bug,复选框是写死在左侧的。我修改下官方的源码，让其写死居中就可了。 procedure TForm5.Button3Click(Sender: TObject);varI: Integer;beginfor I := 1 to 48 dobeginAdvStringGrid1.ColWidths[0] := 50; //改变第一列的宽度。AdvStringGrid1.AddCheckBox(0, I, True, True);AdvStringGrid1.Cells[1,I] := '第二列' + I.ToString;AdvStringGrid1.Cells[2,I] := '第三列' + I.ToString;end;end; unit Unit5;interfaceusesWinapi.Windows, Winapi.Messages, System.SysUtils, System.Variants, System.Classes, Vcl.Graphics,Vcl.Controls, Vcl.Forms, Vcl.Dialogs, AdvUtil, AdvObj, BaseGrid, AdvGrid,RzGrids, Vcl.Grids, Vcl.StdCtrls, Vcl.ComCtrls, cxGraphics, cxControls,cxLookAndFeels, cxLookAndFeelPainters, dxSkinsCore, dxSkinBlack, dxSkinBlue,dxSkinBlueprint, dxSkinCaramel, dxSkinCoffee, dxSkinDarkRoom, dxSkinDarkSide,dxSkinDevExpressDarkStyle, dxSkinDevExpressStyle, dxSkinFoggy,dxSkinGlassOceans, dxSkinHighContrast, dxSkiniMaginary, dxSkinLilian,dxSkinLiquidSky, dxSkinLondonLiquidSky, dxSkinMcSkin, dxSkinMetropolis,dxSkinMetropolisDark, dxSkinMoneyTwins, dxSkinOffice2007Black,dxSkinOffice2007Blue, dxSkinOffice2007Green, dxSkinOffice2007Pink,dxSkinOffice2007Silver, dxSkinOffice2010Black, dxSkinOffice2010Blue,dxSkinOffice2010Silver, dxSkinOffice2013DarkGray, dxSkinOffice2013LightGray,dxSkinOffice2013White, dxSkinOffice2016Colorful, dxSkinOffice2016Dark,dxSkinPumpkin, dxSkinSeven, dxSkinSevenClassic, dxSkinSharp, dxSkinSharpPlus,dxSkinSilver, dxSkinSpringTime, dxSkinStardust, dxSkinSummer2008,dxSkinTheAsphaltWorld, dxSkinsDefaultPainters, dxSkinValentine,dxSkinVisualStudio2013Blue, dxSkinVisualStudio2013Dark,dxSkinVisualStudio2013Light, dxSkinVS2010, dxSkinWhiteprint,dxSkinXmas2008Blue, cxContainer, cxEdit, cxListView, AdvListV, RzListVw;typeTForm5 = class(TForm)AdvStringGrid1: TAdvStringGrid;Button3: TButton;Button1: TButton;Button2: TButton;Button4: TButton;procedure Button3Click(Sender: TObject);procedure Button1Click(Sender: TObject);procedure Button2Click(Sender: TObject);procedure Button4Click(Sender: TObject);private{ Private declarations }public{ Public declarations }end;TPerson = recordend;varForm5: TForm5;implementation{$R .dfm}uses qjson;procedure TForm5.Button1Click(Sender: TObject);beginAdvStringGrid1.CheckAll(0);end;procedure TForm5.Button2Click(Sender: TObject);beginAdvStringGrid1.UnCheckAll(0);end;procedure TForm5.Button3Click(Sender: TObject);varI: Integer;beginAdvStringGrid1.RowCount := 50;//一共50行0..49AdvStringGrid1.ColWidths[0] := 50;//改变第一列的宽度。AdvStringGrid1.AddCheckBoxColumn(0);//表示这一列都需要复选框//第0行是标题头,所以从1..49开始for I := 1 to 49 dobegin//AdvStringGrid1.AddCheckBox(0, I, False, False); //可以写在这里, 表示某个单元格需要增加复选框AdvStringGrid1.Cells[1,I] := '第二列' + I.ToString;AdvStringGrid1.Cells[2,I] := '第三列' + I.ToString;end;end;procedure TForm5.Button4Click(Sender: TObject);varI: Integer;MyList: TStringList;checkState: TCheckBoxState;beginMyList := TStringList.Create;//第0行是固定的标题头,跳过所以从1开始 1..49for I := 1 to AdvStringGrid1.RowCount - 1 dobeginAdvStringGrid1.GetCheckBoxState(0, I, checkState);if checkState = cbChecked thenbeginMyList.Add(AdvStringGrid1.Cells[1,I]);end;end;ShowMessage(MyList.Text);MyList.Free;end;end. 转载于:https://www.cnblogs.com/del88/p/6829650.html 本篇文章为转载内容。原文链接：https://blog.csdn.net/weixin_30797027/article/details/95698837。该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

2023-11-10 12:04:20

361

转载

知识学习

实践的时候请根据实际情况谨慎操作。

随机学习一条linux命令：

rsync -avz source destination - 在本地或远程之间同步文件夹并保留属性和压缩传输。