[Class文件主版本号与JDK兼容性 ]的搜索结果

...g Boot 3.0版本已在紧锣密鼓的开发之中，预计将在未来某个时间点发布。届时，开发者将面临如何在多模块项目中批量更新至Spring Boot 3.0的问题。 实际上，通过上述文章介绍的方法，我们完全可以提前准备一个BOM文件，声明即将发布的Spring Boot 3.0相关组件的预览或测试版本。这样一来，在新版本正式发布时，只需简单修改BOM中的版本号，即可实现快速、准确的版本迁移，大大降低了因版本升级带来的潜在风险和工作量。 此外，随着微服务架构的普及以及云原生技术的发展，像Jenkins、GitLab CI/CD等持续集成/持续部署工具也提供了与Maven dependencyManagement相辅相成的功能，可进一步自动化依赖管理和构建流程。例如，通过配置pipeline脚本，可以在代码合并时自动检查并更新指定范围内的依赖版本，确保项目的各个组件始终保持最新且兼容的状态。 因此，对于现代软件开发团队而言，掌握dependencyManagement的核心用法，并结合当前流行的DevOps实践，能够有效提升项目迭代效率，降低维护成本，确保项目的长期稳定性和可持续发展性。

...一个很常见的问题——版本冲突。尤其是在使用Kotlin这个强大的编程语言时，这个问题可能会更加突出。版本冲突这个问题，其实就像我们平时做菜一样，你想想看，如果每个人手里拿着不同版本的食谱，有的是1.0版，有的是2.0版，这些食谱对某些材料的要求可能各不相同。比如一个食谱说要用老抽酱油，另一个却说必须用生抽酱油，这就跟我们在开发过程中使用的各种库或者依赖项的情况类似。大家各自依赖的版本如果不一致，甚至相互之间存在兼容性问题，那这道“程序大餐”就很可能因为“版本冲突”这个调料放错了而搞砸了。下面，我们就一起来看看如何解决这个问题。 一、了解版本冲突 首先，我们需要理解什么是版本冲突。版本冲突这个事，其实就跟咱生活中遇到的矛盾一样，就好比咱们在做一个项目时，拉来了两个或者更多的“帮手”（也就是依赖项），但是这些帮手各自的要求和标准（版本）存在不匹配、对不上号的情况，这样一来就产生了冲突，大伙儿没法和谐共事了。这通常会导致我们的程序无法正常运行或者运行出现问题。 二、版本冲突的原因 那么，为什么会出现版本冲突呢？主要有以下几个原因： 1. 不同的库或依赖项使用了不同的API。当你在做项目的时候，假如几个不同的部分都用了同一个API接口，但各自用的版本号又不统一，这时候就很可能遇到些兼容性的小麻烦。 2. 一些新的特性或者修复可能只存在于新版本中。要是我们不及时更新我们依赖的那些玩意儿，可能就错过不少重要的优化和修复，这可不得了啊！ 3. 编译器或解释器的版本也会影响版本冲突的问题。如果我们的编译器或解释器版本过低，可能无法处理某些高级特性的语法。 三、如何避免版本冲突 虽然版本冲突是一个难以完全避免的问题，但是我们可以采取一些措施来减少它的发生。以下是一些避免版本冲突的方法： 1. 选择一个稳定的版本。当我们需要使用某个库或依赖项时，可以选择一个已经稳定并且很少会有重大改动的版本。这样可以大大降低版本冲突的风险。 2. 定期检查并更新依赖项。咱们应该养成个习惯，时不时检查一下我们正在使用的那些依赖项，看看它们有没有出新的版本。如果有，那咱就尽量把它们更新到最新鲜的那个版本，这样才能保证一直走在潮流尖端，用起来更顺手！这样可以确保我们的项目能够利用最新的特性和修复。 3. 使用约束解决工具。有些IDE，比如IntelliJ IDEA，就像个贴心的小助手，它自带了一些超级实用的工具，专门帮我们在导入各种依赖项时摆平那些让人头疼的版本冲突问题，让你可以更省心、更顺畅地进行开发。 四、如何解决版本冲突 一旦出现了版本冲突，我们该如何解决呢？以下是一些解决版本冲突的方法： 1. 升级其中一个库或依赖项的版本。要是我们发现这问题出在某个库或者依赖项版本不匹配，闹了点小矛盾的话，那咱们不妨试一试给它升个级，更新到最新版，没准儿就能解决问题啦。但是在升级之前，我们应该先确保升级后的版本不会引起其他问题。 2. 使用不同的命名空间。要是我们发现这冲突是由于大家都在用相同的API导致的，那咱们就可以考虑给这些API换个不同的“地盘”，比如换个命名空间，让它们各玩各的，互不影响。这样可以在不影响代码功能的情况下避免冲突。 3. 使用编译器参数。有些编译器提供了可以设置特定版本的选项。我们可以使用这些选项来强制编译器使用特定的版本。 总的来说，版本冲突是我们开发过程中经常遇到的问题，但是只要我们采取适当的措施，就可以有效地避免和解决它。当你用Kotlin开发的时候，千万记住要时不时瞅瞅咱们项目的依赖库有没有更新到新版本。尽可能让咱项目里所有东西都保持同一拍子，别让版本乱糟糟的，这样才能更顺畅地开发嘛。这样不仅可以提高我们的开发效率，还可以保证我们的项目能够稳定运行。

...ation——注解，JDK1.5新增加的功能。它能够添加到 Java 源代码的语法元数据。类、方法、变量、参数、包都可以被注解，可用来将信息元数据与程序元素进行关联。目前很多开源库都使用到了注解，最熟悉的ButtonKnife中的@ViewInject(R.id.x)就可以替代findViewId，不懂这一块技术的同学第一眼看上去肯定会一脸懵逼，下面会手把手带大家写出ButtonKnife的注解使用。使用注解可以简化代码，提高开发效率。本文简单介绍下注解的使用，并对几个 Android 开源库的注解使用原理进行简析。 1、作用 标记，用于告诉编译器一些信息 ； 编译时动态处理，如动态生成代码 ； 运行时动态处理，如得到注解信息。 2、分类 标准 Annotation， 包括 Override, Deprecated, SuppressWarnings。也都是Java自带的几个 Annotation，上面三个分别表示重写函数，不鼓励使用(有更好方式、使用有风险或已不在维护)，忽略某项 Warning； 元 Annotation ，@Retention, @Target, @Inherited, @Documented。元 Annotation 是指用来定义 Annotation 的 Annotation，在后面 Annotation 自定义部分会详细介绍含义； 自定义 Annotation ， 表示自己根据需要定义的 Annotation，定义时需要用到上面的元 Annotation 这里只是一种分类而已，也可以根据作用域分为源码时、编译时、运行时 Annotation。通过 @interface 定义，注解名即为自定义注解名。 一、自定义注解 例如，注解@MethodInfo： @Documented@Retention(RetentionPolicy.RUNTIME)@Target(ElementType.METHOD)@Inheritedpublic @interface MethodInfo {String author() default "annotation@gmail.com";String date();int version() default 1;} 使用到了元Annotation： @Documented 是否会保存到 Javadoc 文档中 ； @Retention 保留时间，可选值 SOURCE（源码时），CLASS（编译时），RUNTIME（运行时），默认为 CLASS，值为 SOURCE 大都为 Mark Annotation，这类 Annotation 大都用来校验，比如 Override, Deprecated, SuppressWarnings ； @Target 用来指定修饰的元素，如 CONSTRUCTOR:用于描述构造器、FIELD:用于描述域、LOCAL_VARIABLE:用于描述局部变量、METHOD:用于描述方法、PACKAGE:用于描述包、PARAMETER:用于描述参数、TYPE:用于描述类、接口(包括注解类型) 或enum声明。 @Inherited 是否可以被继承，默认为 false。 注解的参数名为注解类的方法名，且： 所有方法没有方法体，没有参数没有修饰符，实际只允许 public & abstract 修饰符，默认为 public ，不允许抛异常； 方法返回值只能是基本类型，String, Class, annotation, enumeration 或者是他们的一维数组； 若只有一个默认属性，可直接用 value() 函数。一个属性都没有表示该 Annotation 为 Mark Annotation。 public class App {@MethodInfo(author = “annotation.cn+android@gmail.com”,date = "2011/01/11",version = 2)public String getAppName() {return "appname";} } 调用自定义MethodInfo 的示例，这里注解的作用实际是给方法添加相关信息： author、date、version 。 二、实战注解Butter Knife 首先，先定义一个ViewInject注解。 public @interface ViewInject { int value() default -1;} 紧接着，为刚自定义注解添加元注解。 @Target({ElementType.FIELD, ElementType.PARAMETER, ElementType.METHOD})@Retention(RetentionPolicy.RUNTIME)public @interface ViewInject {int value() default -1;} 再定义一个注解LayoutInject @Target(ElementType.TYPE)@Retention(RetentionPolicy.RUNTIME)public @interface LayoutInject {int value() default -1;} 定义一个基础的Activity。 package cn.wsy.myretrofit.annotation;import android.os.Bundle;import android.support.v7.app.AppCompatActivity;import android.util.Log;import java.lang.reflect.Field;public class InjectActivity extends AppCompatActivity {private int mLayoutId = -1;@Overrideprotected void onCreate(Bundle savedInstanceState) {super.onCreate(savedInstanceState);displayInjectLayout();displayInjectView();}/ 解析注解view id/private void displayInjectView() {if (mLayoutId <=0){return ;}Class<?> clazz = this.getClass();Field[] fields = clazz.getDeclaredFields();//获得声明的成员变量for (Field field : fields) {//判断是否有注解try {if (field.getAnnotations() != null) {if (field.isAnnotationPresent(ViewInject.class)) {//如果属于这个注解//为这个控件设置属性field.setAccessible(true);//允许修改反射属性ViewInject inject = field.getAnnotation(ViewInject.class);field.set(this, this.findViewById(inject.value()));} }} catch (Exception e) {Log.e("wusy", "not found view id!");} }}/ 注解布局Layout id/private void displayInjectLayout() {Class<?> clazz = this.getClass();if (clazz.getAnnotations() != null){if (clazz.isAnnotationPresent(LayouyInject.class)){LayouyInject inject = clazz.getAnnotation(LayouyInject.class);mLayoutId = inject.value();setContentView(mLayoutId);} }} } 首先，这里是根据映射实现设置控件的注解，java中使用反射的机制效率性能并不高。这里只是举例子实现注解。ButterKnife官方申明不是通过反射机制，因此效率会高点。 package cn.wsy.myretrofit;import android.os.Bundle;import android.widget.TextView;import cn.wsy.myretrofit.annotation.InjectActivity;import cn.wsy.myretrofit.annotation.LayouyInject;import cn.wsy.myretrofit.annotation.ViewInject;@LayoutInject(R.layout.activity_main)public class MainActivity extends InjectActivity {@ViewInject(R.id.textview)private TextView textView;@ViewInject(R.id.textview1)private TextView textview1;@ViewInject(R.id.textview2)private TextView textview2;@ViewInject(R.id.textview3)private TextView textview3;@ViewInject(R.id.textview4)private TextView textview4;@ViewInject(R.id.textview5)private TextView textview5;@Overrideprotected void onCreate(Bundle savedInstanceState) {super.onCreate(savedInstanceState);//设置属性textView.setText("OK");textview1.setText("OK1");textview2.setText("OK2");textview3.setText("OK3");textview4.setText("OK4");textview5.setText("OK5");} } 上面直接继承InjectActivity即可，文章上面也有说过：LayouyInject为什么作用域是TYPE，首先在加载view的时候，肯定是优先加载布局啊，ButterKnife也不例外。因此选择作用域在描述类，并且存在运行时。 二、解析Annotation原理 1、运行时 Annotation 解析 (1) 运行时 Annotation 指 @Retention 为 RUNTIME 的 Annotation，可手动调用下面常用 API 解析 method.getAnnotation(AnnotationName.class);method.getAnnotations();method.isAnnotationPresent(AnnotationName.class); 其他 @Target 如 Field，Class 方法类似 。 getAnnotation(AnnotationName.class) 表示得到该 Target 某个 Annotation 的信息，一个 Target 可以被多个 Annotation 修饰； getAnnotations() 则表示得到该 Target 所有 Annotation ； isAnnotationPresent(AnnotationName.class) 表示该 Target 是否被某个 Annotation 修饰； (2) 解析示例如下： public static void main(String[] args) {try {Class cls = Class.forName("cn.trinea.java.test.annotation.App");for (Method method : cls.getMethods()) {MethodInfo methodInfo = method.getAnnotation(MethodInfo.class);if (methodInfo != null) {System.out.println("method name:" + method.getName());System.out.println("method author:" + methodInfo.author());System.out.println("method version:" + methodInfo.version());System.out.println("method date:" + methodInfo.date());} }} catch (ClassNotFoundException e) {e.printStackTrace();} } 以之前自定义的 MethodInfo 为例，利用 Target（这里是 Method）getAnnotation 函数得到 Annotation 信息，然后就可以调用 Annotation 的方法得到响应属性值 。 2、编译时 Annotation 解析 (1) 编译时 Annotation 指 @Retention 为 CLASS 的 Annotation，甴 apt(Annotation Processing Tool) 解析自动解析。 使用方法： 自定义类集成自 AbstractProcessor； 重写其中的 process 函数 这块很多同学不理解，实际是 apt(Annotation Processing Tool) 在编译时自动查找所有继承自 AbstractProcessor 的类，然后调用他们的 process 方法去处理。 (2) 假设之前自定义的 MethodInfo 的 @Retention 为 CLASS，解析示例如下： @SupportedAnnotationTypes({ "cn.trinea.java.test.annotation.MethodInfo" })public class MethodInfoProcessor extends AbstractProcessor {@Overridepublic boolean process(Set<? extends TypeElement> annotations, RoundEnvironment env) {HashMap<String, String> map = new HashMap<String, String>();for (TypeElement te : annotations) {for (Element element : env.getElementsAnnotatedWith(te)) {MethodInfo methodInfo = element.getAnnotation(MethodInfo.class);map.put(element.getEnclosingElement().toString(), methodInfo.author());} }return false;} } SupportedAnnotationTypes 表示这个 Processor 要处理的 Annotation 名字。 process 函数中参数 annotations 表示待处理的 Annotations，参数 env 表示当前或是之前的运行环境 process 函数返回值表示这组 annotations 是否被这个 Processor 接受，如果接受后续子的 rocessor 不会再对这个 Annotations 进行处理 三、几个 Android 开源库 Annotation 原理简析 1、Retrofit (1) 调用 @GET("/users/{username}")User getUser(@Path("username") String username); (2) 定义 @Documented@Target(METHOD)@Retention(RUNTIME)@RestMethod("GET")public @interface GET {String value();} 从定义可看出 Retrofit 的 Get Annotation 是运行时 Annotation，并且只能用于修饰 Method (3) 原理 private void parseMethodAnnotations() {for (Annotation methodAnnotation : method.getAnnotations()) {Class<? extends Annotation> annotationType = methodAnnotation.annotationType();RestMethod methodInfo = null;for (Annotation innerAnnotation : annotationType.getAnnotations()) {if (RestMethod.class == innerAnnotation.annotationType()) {methodInfo = (RestMethod) innerAnnotation;break;} }……} } RestMethodInfo.java 的 parseMethodAnnotations 方法如上，会检查每个方法的每个 Annotation， 看是否被 RestMethod 这个 Annotation 修饰的 Annotation 修饰，这个有点绕，就是是否被 GET、DELETE、POST、PUT、HEAD、PATCH 这些 Annotation 修饰，然后得到 Annotation 信息，在对接口进行动态代理时会掉用到这些 Annotation 信息从而完成调用。 因为 Retrofit 原理设计到动态代理，这里只介绍 Annotation。 2、Butter Knife (1) 调用 @InjectView(R.id.user) EditText username; (2) 定义 @Retention(CLASS) @Target(FIELD)public @interface InjectView {int value();} 可看出 Butter Knife 的 InjectView Annotation 是编译时 Annotation，并且只能用于修饰属性 (3) 原理 @Override public boolean process(Set<? extends TypeElement> elements, RoundEnvironment env) {Map<TypeElement, ViewInjector> targetClassMap = findAndParseTargets(env);for (Map.Entry<TypeElement, ViewInjector> entry : targetClassMap.entrySet()) {TypeElement typeElement = entry.getKey();ViewInjector viewInjector = entry.getValue();try {JavaFileObject jfo = filer.createSourceFile(viewInjector.getFqcn(), typeElement);Writer writer = jfo.openWriter();writer.write(viewInjector.brewJava());writer.flush();writer.close();} catch (IOException e) {error(typeElement, "Unable to write injector for type %s: %s", typeElement, e.getMessage());} }return true;} ButterKnifeProcessor.java 的 process 方法如上，编译时，在此方法中过滤 InjectView 这个 Annotation 到 targetClassMap 后，会根据 targetClassMap 中元素生成不同的 class 文件到最终的 APK 中，然后在运行时调用 ButterKnife.inject(x) 函数时会到之前编译时生成的类中去找。 3、ActiveAndroid (1) 调用 @Column(name = “Name") public String name; (2) 定义 @Target(ElementType.FIELD)@Retention(RetentionPolicy.RUNTIME)public @interface Column {……} 可看出 ActiveAndroid 的 Column Annotation 是运行时 Annotation，并且只能用于修饰属性 (3) 原理 Field idField = getIdField(type);mColumnNames.put(idField, mIdName);List<Field> fields = new LinkedList<Field>(ReflectionUtils.getDeclaredColumnFields(type));Collections.reverse(fields);for (Field field : fields) {if (field.isAnnotationPresent(Column.class)) {final Column columnAnnotation = field.getAnnotation(Column.class);String columnName = columnAnnotation.name();if (TextUtils.isEmpty(columnName)) {columnName = field.getName();}mColumnNames.put(field, columnName);} } TableInfo.java 的构造函数如上，运行时，得到所有行信息并存储起来用来构件表信息。 ———————————————————————— 最后一个问题，看看这段代码最后运行结果： public class Person {private int id;private String name;public Person(int id, String name) {this.id = id;this.name = name;}public boolean equals(Person person) {return person.id == id;}public int hashCode() {return id;}public static void main(String[] args) {Set<Person> set = new HashSet<Person>();for (int i = 0; i < 10; i++) {set.add(new Person(i, "Jim"));}System.out.println(set.size());} } 答案：示例代码运行结果应该是 10 而不是 1，这个示例代码程序实际想说明的是标记型注解 Override 的作用，为 equals 方法加上 Override 注解就知道 equals 方法的重载是错误的，参数不对。 本篇文章为转载内容。原文链接：https://blog.csdn.net/csdn_aiyang/article/details/81564408。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...eeWx捷微V3.3版本发布——微信管家平台（支持微信公众号，微信企业号，支付窗） JeeWx捷微V3.3版本紧跟微信小程序更新，在原有多触点版本基础上，引入了更多的新亮点，支持微信公众号、微信企业号、支付宝服务窗等多触点开发，采用微服务框架实现，可插拔可集成，轻量级开发，对小程序的接入和应用进行了探索和封装。JEEWX将继续引领未来多触点模式的应用，并将拥抱小程序，是开发互联网运营推广项目的首选（微信、企业号、支付窗、微博、小程序等等）。 一、升级日志 升级spring版本4.x，解决jdk8支持问题。 用户重置密码样式问题； 升级jeewx-api 升级小程序接口； 精简maven pom的引用删掉不需要的依赖； 增加 H+页面首页风格。 升级封装的第三方平台接口 升级上传其他媒体素材接口，兼容缩略图 增加获取接口分析数据接口 增加评论相关接口 升级minidao 版本号 二、平台功能介绍 【微信公众号】 1. 微信账号管理 2. 微信菜单管理 3. 关注欢迎语 4. 关键字管理 5. 自定义菜单 6. 小程序链接 7. 文本素材管理 8. 图文素材管理 9. 微信永久素材 10. 支持多公众号 11. 微信大转盘 12. 微信刮刮乐 13. 微网站 14. 翻译 15. 天气 16. author2.0链接 17. 微信第三方平台（全网发布） 18. 长链接转短连接 19. 系统用户管理 20. 系统用户角色 21. 系统菜单管理 【微信企业号】 1. 微信企业号管理 2. 微信应用管理 3. 素材管理：文本素材 4. 素材管理：图文素材 5. 菜单管理 6. 通讯录管理 7. 用户管理 8. 用户消息管理 9. 用户消息快捷回复 10. 关键字管理 11. 关注回复管理 12. 企业号群发功能 13. 企业号群发日志 【支付宝服务窗】 1. 支付窗账号管理 2. 关键字管理 3. 素材管理：文本素材 4. 素材管理：图文素材 5. 关注回复 6. 菜单管理 7. 用户管理 8. 用户消息 9. 用户消息快捷回复 10. 支付窗群发 11. 支付窗群发记录 三、下载地址 源码下载： http://git.oschina.net/jeecg/jeewx 官方网站： www.jeewx.com QQ技术群： 287090836 体验公众号： 四、系统演示 本篇文章为转载内容。原文链接：https://blog.csdn.net/zhangdaiscott/article/details/90769252。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

... 第二章：系统需求与兼容性 2.1 硬件与软件环境 - CentOS 7.5要求稳定的硬件资源，包括足够的内存和CPU性能。 - 至少需要64位的Linux内核版本，因为SQL Server 2016是64位的。 bash 检查系统版本和CPU架构 uname -a - 验证你的CentOS版本是否满足要求，确保支持的内核模块已安装。 2.2 兼容性概述 - SQL Server 2016 for Linux支持多种架构，包括x86和x86_64，但不支持ARM架构。 - 在决定安装前，确认你的硬件是兼容的，可以通过dpkg --print-architecture或cat /proc/cpuinfo检查。 第三章：安装准备 3.1 添加官方仓库 - 在CentOS 7中，我们需要添加Microsoft的Yum源才能获取SQL Server的安装包。 bash wget -qO- https://packages.microsoft.com/keys/microsoft.asc | sudo apt-key add - echo "deb [arch=amd64,signed-by=/usr/share/keyrings/microsoft-archive-keyring.gpg] https://packages.microsoft.com/repos/mssql-release/centos7_amd64 yum stable" | sudo tee /etc/yum.repos.d/mssql-release.repo - 更新yum仓库以便安装最新版本。 bash sudo yum update -y 3.2 选择安装类型 - SQL Server 2016提供了两种安装选项：Evaluation（免费试用版，适合开发和测试）和Community（商业版，需要订阅）。 bash sudo yum install msopengauss msopengauss-client msopengauss-devel -y - 或者，选择Community版，可能需要替换msopengauss为mssql-server。 第四章：安装与配置 4.1 安装SQL Server - 使用yum安装SQL Server，记得替换版本号和实例名称。 bash sudo yum install mssql-server-2016 -y sudo systemctl start msopengauss - 如果是社区版，可能会看到类似mssql-server的包名。 4.2 配置和初始化 - 使用mssql-conf工具进行基本配置，如设置监听端口和密码。 bash sudo opt/mssql/bin/mssql-conf setup - 选择“Custom Configuration”，根据需要自定义安装。 4.3 数据库实例管理 - 创建数据库实例，例如： bash sudo opt/mssql-tools/bin/sqlcmd -S localhost -U sa -P 'your_password' -Q "CREATE DATABASE YourDatabaseName" - 更改默认的sa用户密码： bash sudo opt/mssql-tools/bin/sqlcmd -S localhost -U sa -P 'old_password' -Q "ALTER LOGIN sa WITH PASSWORD = 'new_password'" 第五章：连接与验证 5.1 命令行工具 - 使用sqlcmd工具连接到新安装的数据库。 bash sqlcmd -S localhost -U sa -P 'your_password' - 验证连接成功后，可以执行查询操作。 5.2图形化工具 - 可以选择安装SQL Server Management Studio（SSMS）的Linux版本，或者使用第三方工具如ssms-linux，来进行更直观的管理。 结论 6.1 总结与展望 - CentOS 7确实可以安装SQL Server 2016，尽管它已经不再是最新版本，但对于那些还在使用或需要兼容旧版本的用户来说，这是一个可行的选择。 - 未来，随着技术的迭代，SQL Server on Linux的体验会越来越完善，跨平台的数据库管理将更加无缝。 在这个快速发展的技术时代，适应变化并充分利用新的工具是关键。真心希望这篇指南能像老朋友一样，手把手教你轻松搞定在Linux大本营里安装和打理SQL Server 2016的那些事儿，让你畅游在数据库的海洋里无阻无碍。嘿，想找最潮的解决招数对吧？记得翻翻官方手册，那里有新鲜出炉的支援和超实用的建议！

...，在部署到某些数据库版本时，我们可能会遇到一些问题。 二、问题描述 当我们使用SpringBoot部署应用程序时，有时会发现程序无法正常运行，或者出现了错误。这种情况可能是由于数据库版本不兼容导致的。比方说，假设我们现在用的是MySQL 5.6版本的数据库，但咱们的应用程序却偷偷依赖了MySQL 5.7里的一些新功能。这样的话，就极有可能会闹点儿小矛盾，出点问题。 三、解决方案 那么，当我们在部署到某些数据库版本时出现问题时，我们应该如何解决呢？ 首先，我们需要检查我们的应用程序是否与目标数据库版本兼容。这可以通过查看应用程序的配置文件或者依赖关系来完成。比如，我们可以翻翻pom.xml这个配置文件，瞅瞅里面的依赖项是不是对某个特定的数据库版本提供了支持。 其次，如果我们的应用程序确实需要使用某些只在新版本数据库中提供的功能，那么我们需要更新我们的数据库。这可以通过使用数据库迁移工具来完成。例如，我们可以使用Flyway或者Liquibase这样的工具，将旧版本的数据库升级到新版本。 最后，如果我们不能更新数据库，那么我们可以考虑修改我们的应用程序代码，使其能够在旧版本数据库上运行。这可能意味着咱们得采取一些特别的手段，比如说，别去碰那些新潮的数据库功能，或者亲自动手编写额外的代码，来仿造这些特性的工作方式。就像是玩乐高积木一样，有时候我们不能用最新的配件，反而需要自己动手拼接出相似的部件来满足需求。 四、代码示例 接下来，我将以一个简单的示例来演示如何在SpringBoot应用程序中使用数据库迁移工具。假设我们有一个名为User的实体类，我们想要将其保存到数据库中。 java @Entity @Table(name = "users") public class User { @Id @GeneratedValue(strategy = GenerationType.AUTO) private Long id; @Column(nullable = false) private String name; // getters and setters } 然后，我们需要创建一个SpringBoot应用程序，并添加Spring Data JPA和HSQLDB依赖。 xml org.springframework.boot spring-boot-starter-data-jpa org.hsqldb hsqldb runtime 接着，我们需要创建一个application.properties文件，配置数据库连接信息。 properties spring.datasource.url=jdbc:hsqldb:mem:testdb spring.datasource.driverClassName=org.hsqldb.jdbcDriver spring.datasource.username=sa spring.datasource.password= spring.jpa.hibernate.ddl-auto=create 然后，我们需要创建一个UserRepository接口，定义CRUD操作方法。 java public interface UserRepository extends JpaRepository { } 最后，我们可以在控制器中调用UserRepository的方法，将用户保存到数据库中。 java @RestController public class UserController { private final UserRepository userRepository; public UserController(UserRepository userRepository) { this.userRepository = userRepository; } @PostMapping("/users") public ResponseEntity createUser(@RequestBody User user) { userRepository.save(user); return ResponseEntity.ok().build(); } } 以上就是使用SpringBoot进行数据库迁移的基本步骤。这样子做，我们就能轻轻松松地管理、更新咱们的数据库，确保我们的应用程序能够像老黄牛一样稳稳当当地运行起来，一点儿都不带出岔子的。

... 1. 确认操作系统兼容性 DataX支持Windows, Linux, macOS等多个主流操作系统。首先，亲，咱得先瞅瞅你电脑操作系统是啥类型、啥版本的，然后再确认一下，你的JDK版本是不是在1.8及以上哈，这一步很重要~ 2. 下载DataX 访问DataX官网（https://datax.apache.org/）下载对应的操作系统版本的DataX压缩包。比如说，如果你正在用的是Linux系统，就可以考虑下载那个最新的“apache-datax-最新版本-number.tar.gz”文件哈。 bash wget https://datax.apache.org/releases/datax-最新版本-number.tar.gz 3. 解压DataX 使用tar命令解压下载的DataX压缩包： bash tar -zxvf apache-datax-最新版本-number.tar.gz cd apache-datax-最新版本-number 四、DataX环境配置 1. 配置DataX主目录 DataX默认将bin目录下的脚本添加至系统PATH环境变量中，以便于在任何路径下执行DataX命令。根据上述解压后的目录结构，设置如下环境变量： bash export DATAX_HOME=绝对路径/to/datax-最新版本-number/bin export PATH=$DATAX_HOME:$PATH 2. 配置DataX运行时依赖 在conf目录下找到runtime.properties文件，配置JVM参数及Hadoop、Spark等运行时依赖。以下是一份参考样例： properties JVM参数配置 设置内存大小为1G yarn.appMaster.resource.memory.mb=1024 yarn.appMaster.heap.memory.mb=512 executor.resource.memory.mb=512 executor.heap.memory.mb=256 executor.instances=1 如果有Hadoop环境 hadoop.home.dir=/path/to/hadoop hadoop.security.authentication=kerberos hadoop.conf.dir=/path/to/hadoop/conf 如果有Spark环境 spark.master=local[2] spark.executor.memory=512m spark.driver.memory=512m 3. 配置DataX任务配置文件 在conf目录下创建一个新的XML配置文件，例如my_data_sync.xml，用于定义具体的源和目标数据源、数据传输规则等信息。以下是简单的配置示例： xml 0 0 五、启动DataX任务 配置完成后，我们可以通过DataX CLI命令行工具来启动我们的数据同步任务： bash $ ./bin/datax job submit conf/my_data_sync.xml 此时，DataX会按照my_data_sync.xml中的配置内容，定时从MySQL数据库读取数据，并将其写入到HDFS指定的路径上。 六、总结 通过本文的介绍，相信您已经对DataX的基本安装及配置有了初步的认识和实践。在实际操作的时候，你可能还会碰到需要根据不同的业务情况，灵活调整DataX任务配置的情况。这样一来，才能让它更好地符合你的数据传输需求，就像是给它量身定制了一样，更加贴心地服务于你的业务场景。不断探索和实践，DataX将成为您数据处理与迁移的强大助手！

...的命令行参数或者配置文件中的语法存在错误。Maven是一个强大的依赖管理工具，其灵活性使得配置变得复杂，同时也增加了出错的可能性。 三、常见原因与排查步骤 1. 配置文件错误 检查pom.xml文件是否正确。错误可能出现在元素属性值、标签闭合、版本号、依赖关系等方面。 示例：错误的pom.xml配置可能导致无法识别的元素或属性。 xml com.example example-module unknown-version 这里，属性值未指定，导致Maven无法识别该版本信息。 2. 命令行参数错误 在执行Maven命令时输入的参数不正确或拼写错误。 示例：错误的命令行参数可能导致构建失败。 bash mvn compile -Dsome.property=wrong-value 这里的参数-Dsome.property=wrong-value中property的值可能与实际配置不匹配，导致Maven无法识别或处理。 3. 依赖冲突 多个版本的依赖包共存，且版本不兼容。 示例：两个依赖包同时声明了相同的类名或方法名，但版本不同，可能会引发编译错误。 xml org.example example-library 1.0.0 org.example example-library 1.0.1 四、解决方案与优化建议 1. 检查pom.xml文件 - 确保所有元素闭合、属性值正确。 - 使用IDE的自动完成功能或在线工具验证pom.xml的语法正确性。 2. 修正命令行参数 - 确认参数的拼写和格式正确。 - 使用Maven的help:effective-pom命令查看实际生效的pom.xml配置，确保与预期一致。 3. 解决依赖冲突 - 使用标签排除不必要的依赖。 - 更新或降级依赖版本以避免冲突。 - 使用Maven的dependency:tree命令查看依赖树，识别并解决潜在的冲突。 五、总结与反思 面对“Error:The project has a build goal with an invalid syntax”的挑战，关键在于细致地检查配置文件和构建命令，以及理解依赖关系。每一次遇到这样的错误，都是对Maven配置知识的深化学习机会。哎呀，你知道吗？就像你练习弹吉他一样，多用多练，咱们用Maven这个工具也能越来越顺手！它能帮咱们开发时节省不少时间，就像是有了个超级助手，能自动搞定那些繁琐的构建工作，让咱们的项目推进得飞快，没有那么多绊脚石挡道。是不是感觉挺酷的？咱们得好好加油，让这玩意儿成为咱们的拿手好戏！ 六、结语 Maven作为项目构建管理工具，虽然强大且灵活，但也伴随着一定的复杂性和挑战。嘿！兄弟，这篇文章就是想给你支点招儿，让你在开发过程中遇到问题时能更顺手地找到解决方法，让编程这个事儿变得不那么头疼，提升你的码农体验感。别再为那些小bug烦恼了，跟着我的节奏，咱们一起搞定代码里的小麻烦，让编程之路畅通无阻！嘿，兄弟！听好了，每当你碰上棘手的问题，那可是你升级技能、长本事的绝佳机会！别急，拿出点好奇心，再添点耐心，咱们一起动手，一步步地去解谜，去学习，去挑战。就像在探险一样，慢慢你会发现自己的开发者之路越走越宽广，越来越精彩！所以啊，别怕困难，它们都是你的成长伙伴，加油，咱们一起成为更棒的开发者吧！

...么着？要是你对内存、文件啊，或者是网络连接这些玩意儿管得不好，那可就麻烦大了！搞不好程序就直接崩了，辛辛苦苦弄的数据全都没了，还有可能给坏蛋们留下可乘之机，让他们钻安全漏洞的空子。所以啊，咱们在这些事儿上可得细心点儿，别让它们成为你的大麻烦！哎呀，你瞧这C++，简直就是编程界的超级英雄嘛！它手里的工具可多啦，能让开发者们在写代码的时候，就像盖高楼大厦一样稳稳当当，既安全又可靠。想象一下，你用C++编程，就像是在用魔法，不仅能够创造出超酷的软件，还能让这些软件运行得比闪电还快，稳定性那就更不用说了，简直是无敌的存在！所以啊，如果你是个编程小能手，那C++绝对是你不可错过的神器！在这篇文章中，我们将探讨如何利用C++的特性，特别是资源管理机制，来构建异常安全的程序设计。 第一部分：资源管理的重要性 资源管理是程序设计中不可或缺的一部分，它关乎程序的稳定性和安全性。哎呀，你要是写代码的时候，不小心没把那些用到的资源，比如文件夹的小钥匙、数据库的密码本或者网线插头啥的，都给好好放回原位，那可是大麻烦啊！不光是浪费了电脑里的宝贵空间，程序要是遇到点啥意外，就像没关紧的水龙头，没法好好休息，容易出故障。更糟糕的是，这些乱糟糟的资源可能还会给坏人提供机会，让他们偷偷溜进你的系统里捣乱。所以，记得每次用完资源，都要好好收好，别让它们乱跑！因此，确保资源在不再需要时被正确地释放，对于构建健壮和可靠的软件至关重要。 第二部分：C++中的资源管理方法 C++提供了几种不同的方式来管理资源，包括智能指针、RAII（Resource Acquisition Is Initialization）原则以及手动管理资源的方法。在这篇文章中，我们将重点介绍智能指针，尤其是std::unique_ptr和std::shared_ptr，它们是现代C++中实现资源管理的强大工具。 代码示例 1: 使用 std::unique_ptr 管理资源 cpp include include class Resource { public: Resource() { std::cout << "Resource created." << std::endl; } ~Resource() { std::cout << "Resource destroyed." << std::endl; } }; int main() { std::unique_ptr resource = std::make_unique(); // 使用资源... return 0; } 在这个例子中，当 resource 对象离开作用域时（即函数执行完毕），Resource 的析构函数会被自动调用，确保资源被正确释放。这就是RAII原则的一个简单应用，它使得资源管理变得简洁且易于理解。 代码示例 2: 使用 std::shared_ptr 实现共享所有权 cpp include include class SharedResource { public: SharedResource() { std::cout << "SharedResource created." << std::endl; } ~SharedResource() { std::cout << "SharedResource destroyed." << std::endl; } }; int main() { std::shared_ptr shared_resource1 = std::make_shared(); std::shared_ptr shared_resource2 = shared_resource1; // 共享资源... return 0; } 这里展示了 std::shared_ptr 如何允许多个对象共享对同一资源的所有权。当最后一个持有 shared_resource1 的引用消失时，资源才会被释放。这种机制有助于避免内存泄漏，并确保资源在适当的时候被释放。 第三部分：异常安全的资源管理 在C++中，异常安全的资源管理尤为重要。当程序中包含可能抛出异常的操作时，确保资源在异常发生时也能得到妥善处理，是非常关键的。智能指针提供了一种自然的方式来实现这一点，因为它们会在异常发生时自动释放资源，而无需额外的保护措施。 代码示例 3: 异常安全的资源管理示例 cpp include include include class CriticalResource { public: CriticalResource() { std::cout << "CriticalResource created." << std::endl; } ~CriticalResource() { std::cout << "CriticalResource destroyed." << std::endl; } void criticalOperation() { throw std::runtime_error("An error occurred during critical operation."); } }; int main() { try { std::unique_ptr critical_resource = std::make_unique(); critical_resource->criticalOperation(); } catch (const std::exception& e) { std::cerr << "Exception caught: " << e.what() << std::endl; } return 0; } 在上述代码中，critical_operation 可能会抛出异常。哎呀，你知道的，critical_resource 这个家伙可是被 std::unique_ptr 给罩着呢！这可真是太好了，因为这样，如果程序里突然蹦出个异常来，critical_resource 就能自动被释放掉，不会出现啥乱七八糟、不靠谱的行为。这下子，咱们就不用操心资源没清理干净这种事儿啦！ 第四部分：结论 通过使用C++的智能指针和RAII原则，我们可以轻松地实现异常安全的资源管理，这大大增强了程序的可靠性和稳定性。哎呀，兄弟，你要是想让你的代码跑得顺畅，资源管理这事儿可得好好抓牢！别小瞧了它，这玩意儿能防住好多坑，比如内存漏了或者资源没收好，那程序一不小心就卡死或者出bug，用户体验直接掉分。还有啊，万一程序遇到点啥意外，比如服务器突然断电啥的，资源管理做得好，程序就能像小猫一样，优雅地处理问题，然后自己蹦跶回来，用户一点都感觉不到。这样一来，不光用户体验上去了，系统的稳定性和质量也跟着水涨船高，你说值不值！ 总之，资源管理是构建强大、安全和高效的C++程序的关键。嘿！兄弟，学了这些技术后，你就能像大厨炒菜一样，把程序做得既美味又营养。这样一来，修修补补的工作就少多了，就像不用天天洗碗一样爽快！而且，你的代码就像是一本好书，别人一看就懂，就像看《哈利·波特》一样过瘾。最后，用户得到的服务就像五星级餐厅的餐点，稳定又可靠，他们吃得开心，你也跟着美滋滋！

...都是一股脑写在一个大文件里，然后加载到网页的，这样就直接导致了管理上的混乱： 在css增量开发时，要时刻注意命名空间问题；到了调试阶段，又不得不依赖谷歌控制台或firebug的元素定位，有时父类的某个属性影响了子类，导致修改子类样式无法达到预期。。。。 自从有了react和vue，css的灵魂得到了救赎。这两种框架均提出组件化编程的思想，也就是将html，css，js均凝聚成一个不可分割的小部件，留出对外通信的接口，然后灵活组合使用，譬如下图所示： 这样一来，css就有了打包的可能性。打包的好处是： css也有了模块化，可以不用再关心命名空间问题，只需专心将这个部件渲染好，出了问题也更容易定位追踪。 知其然知其所以然，我们搞懂了为啥css要打包的道理，下面就可以愉快而主动的学习了。 仔细权衡了一下，这里我并不打算引入react或vue讲解，因为这样会增加大家理解上的负担。学习新东西，最忌讳的就是学了这个又牵扯到那个，结果精力分散重点转移，到最后很可能一个都没搞懂，还增加了自己的挫败感。 为了简单起见，我们仍旧沿用前面那个案例做讲解，先把这个webpack玩转再说。 咱们看一下具体玩法。首先还是安装插件，这里我们需要两个工具： npm install style-loadernpm install css-loader 原料有了，我们做一下测试文件做测试。我们首先新建一个style.css文件，目录结构如下： style.css: .content {color: red;} 很简单，就是一个样式类。然后我们改一下helloworld.js文件。 helloworld.js: // 引入css模块var styles = require('../style.css');// 输出模块module.exports = () => {// 这里使用了箭头函数，还有let和const关键字哦～～let content = "Hello ";const NAME = "ES6";var div = document.createElement('div');div.setAttribute('class', styles.content); // 使用样式类div.innerHTML = content + NAME;return div;}; 注意，这里跟我们平时写的有点不一样。 我们在建一个dom节点时，指定了一个样式类。但是这个样式类，是以包的形式存在的，也就是一个模块。 综合起来看我们这个helloworld.js模块，是不是把html，css和js凝聚成了一个小整体了呢？ 我知道你已经迫不及待的想看结果了，好吧，咱们赶紧写一下配置文件跑起来吧~~ webpack.config.js: var path = require('path');module.exports = {entry: './src/index.js',output: {path: path.resolve(__dirname, 'dist'),filename: 'bundle.js'},module: {rules: [{test: /\.js$/,exclude: /node_modules/,loader: 'babel-loader',options: {presets: ['env']} }, {test: /\.css$/,loader: 'style-loader!css-loader?modules'}]} }; 说明： style-loader和css-loader是工具名称。 !感叹号是分割符，表示两个工具都参与处理。 ?问号，其实跟url的问号一样，就是后面要跟参数的意思。 而modules这个参数呢，就是将css打包成模块。跟js打包是一样的，你不必再担心不同模块具有相同类名时造成的问题了。 我们运行一下：（我这次特地没在局部安装webpack-cli，发现可以运行，因为我昨天在全局安装了webpack-cli，之所以要在全局安装而单独局部安装不行，可能跟package.json有关，因为这里都没有用到package.json）。 如果不报错，我们打开浏览器，看一下index.html： 我们看到，样式已然生效了，但是我们打开控制台，看到class的名称并非是我们写的样式类.content,而是生成了新名称，这就说明webpack的编译生效了。 我们打开bundle.js看一下，css其实已经被打包编译到了bundle.js文件里：（太长，截了一部分） 我们看到，css打包后，存在形态已经变成了js。这没有什么可奇怪的，只有这样才能使用包的形式做管理，css本身，是无法达到这样的目的的，所以，它还是二等公民。。。。 本篇文章为转载内容。原文链接：https://blog.csdn.net/DreamFJ/article/details/81700004。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...接把密钥啥的写进配置文件的老办法，那简直就是在玩火自焚啊！Google Cloud Secret Manager 提供了加密存储、访问控制等功能，简直是保护秘钥的最佳选择之一。 所以，当我把这两者放在一起的时候，脑海里立刻浮现出一个画面：Tornado 快速响应前端请求，而 Secret Manager 在背后默默守护着那些珍贵的秘密。是不是很带感？接下来我们就一步步深入探索它们的合作方式吧！ --- 2. 初识Tornado 搭建一个简单的Web服务 既然要玩转 Tornado，咱们得先搭个基础框架才行。好嘞，接下来我就简单搞个小网页服务，就让它回一句暖心的问候就行啦！虽然看起来简单，但这可是后续一切的基础哦！ python import tornado.ioloop import tornado.web class MainHandler(tornado.web.RequestHandler): def get(self): self.write("Hello, Tornado!") def make_app(): return tornado.web.Application([ (r"/", MainHandler), ]) if __name__ == "__main__": app = make_app() app.listen(8888) print("Server started at http://localhost:8888") tornado.ioloop.IOLoop.current().start() 这段代码超级简单对不对？我们定义了一个 MainHandler 类继承自 tornado.web.RequestHandler，重写了它的 get 方法，当收到 GET 请求时就会执行这个方法，并向客户端返回 "Hello, Tornado!"。然后呢，就用 make_app 这个函数把路由和这个处理器绑在一起，最后再启动服务器，让它开始监听 8888 端口。 运行后打开浏览器输入 http://localhost:8888，就能看到页面显示 "Hello, Tornado!" 了。是不是特别爽？不过别急着高兴，这只是万里长征的第一步呢！ --- 3. 引入Google Cloud Secret Manager：让秘密不再裸奔 现在我们知道如何用 Tornado 做点事情了，但问题是，如果我们的应用程序需要用到一些敏感信息（例如数据库连接字符串），该怎么办呢？直接写在代码里吗？当然不行！这就是为什么我们要引入 Google Cloud Secret Manager。 3.1 安装依赖库 首先需要安装 Google Cloud 的官方 Python SDK： bash pip install google-cloud-secret-manager 3.2 获取Secret Manager中的值 假设我们在 Google Cloud Console 上已经创建了一个名为 my-secret 的密钥，并且它里面保存了我们的数据库密码。我们可以这样从 Secret Manager 中读取这个值： python from google.cloud import secretmanager def access_secret_version(project_id, secret_id, version_id): client = secretmanager.SecretManagerServiceClient() name = f"projects/{project_id}/secrets/{secret_id}/versions/{version_id}" response = client.access_secret_version(name=name) payload = response.payload.data.decode('UTF-8') return payload 使用示例 db_password = access_secret_version("your-project-id", "my-secret", "latest") print(f"Database Password: {db_password}") 这段代码做了什么呢？很简单，它实例化了一个 SecretManagerServiceClient 对象，然后根据提供的项目 ID、密钥名称以及版本号去访问对应的密钥内容。注意这里的 version_id 参数可以设置为 "latest" 来获取最新的版本。 --- 4. 将两者结合起来 构建更安全的应用 那么问题来了，怎么才能让 Tornado 和 Google Cloud Secret Manager 协同工作呢？其实答案很简单——我们可以将从 Secret Manager 获取到的敏感数据注入到 Tornado 的配置对象中，从而在整个应用范围内使用这些信息。 4.1 修改Tornado应用以支持从Secret Manager加载配置 让我们修改之前的 MainHandler 类，让它从 Secret Manager 中加载数据库密码并用于某种操作（比如查询数据库）。为了简化演示，这里我们假设有一个 get_db_password 函数负责完成这项任务： python from google.cloud import secretmanager def get_db_password(): client = secretmanager.SecretManagerServiceClient() name = f"projects/{YOUR_PROJECT_ID}/secrets/my-secret/versions/latest" response = client.access_secret_version(name=name) return response.payload.data.decode('UTF-8') class MainHandler(tornado.web.RequestHandler): def initialize(self, db_password): self.db_password = db_password def get(self): self.write(f"Connected to database with password: {self.db_password}") def make_app(): db_password = get_db_password() return tornado.web.Application([ (r"/", MainHandler, {"db_password": db_password}), ]) 在这个例子中，我们在 make_app 函数中调用了 get_db_password() 来获取数据库密码，并将其传递给 MainHandler 的构造函数作为参数。这样一来，每个 MainHandler 实例都会拥有自己的数据库密码属性。 --- 5. 总结与展望 好了朋友们，今天的分享就到这里啦！通过这篇文章，我们了解了如何利用 Tornado 和 Google Cloud Secret Manager 来构建更加安全可靠的 Web 应用。虽然过程中遇到了不少挑战，但最终的效果还是让我感到非常满意。 未来的话，我还想尝试更多有趣的功能组合，比如结合 Redis 缓存提高性能，或者利用 Pub/Sub 实现消息队列机制。如果你也有类似的想法或者遇到什么问题，欢迎随时跟我交流呀！ 最后祝大家 coding愉快，记得保护好自己的秘密哦~ 😊

...公众认知中，AT&T版本已死，后起之秀一定程度上修正了问题。 目前各种更优秀的远程控制和分享协议取代了VNC的位置，尽管例如苹果仍然系统內建VNC作为远程方式。但在非桌面领域，VNC还有我们想不到的重要性，比如工控领域需要远程屏幕传输的场景，这也是为什么这系列漏洞作者会关注这一块。 漏洞技术概况 Pavel总结到，在阶段漏洞挖掘中共上报11个漏洞。在披露邮件中描述了其中4个的技术细节，均在协议数据包处理代码中，漏洞类型古典，分别是全局缓冲区溢出、堆溢出和空指针解引用。其中缓冲区溢出类型漏洞可方便构造PoC，实现远程任意代码执行的漏洞利用。 漏洞本身原理简单，也并不是关键。以其中一个为例，Pavel在发现时负责任地向LibVNC作者提交了issue，并跟进漏洞修复过程；在第一次修复之后，复核并指出修复代码无效，给出了有效patch。这个过程是常规操作。 漏洞疑点 有意思的是，在漏洞披露邮件中，Pavel重点谈了自己对这系列漏洞的一些周边发现，也是这里提到的原因。其中，关于存在漏洞的代码，作者表述： 我最初认为，这些问题是libvnc开发者自己代码中的错误，但看起来并非如此。其中有一些（如CoRRE数据处理函数中的堆缓冲区溢出），出现在AT&T实验室1999年的代码中，而后被很多软件开发者原样复制（在Github上搜索一下HandleCoRREBPP函数，你就知道），LibVNC和TightVNC也是如此。 为了证实，翻阅了这部分代码，确实在其中数据处理相关代码文件看到了剑桥和AT&T实验室的文件头GPL声明注释，中国菜刀 这证实这些文件是直接从最初剑桥实验室版本VNC移植过来的，且使用方式是 直接代码包含，而非独立库引用方式。在官方开源发布并停止更新后，LibVNC使用的这部分代码基本没有改动——除了少数变量命名方式的统一，以及本次漏洞修复。通过搜索，我找到了2000年发布的相关代码文件，确认这些文件与LibVNC中引入的原始版本一致。 另外，Pavel同时反馈了TightVNC中相同的问题。TightVNC与LibVNC没有继承和直接引用关系，但上述VNC代码同样被TightVNC使用，问题的模式不约而同。Pavel测试发现在Ubuntu最新版本TightVNC套件（1.3.10版本）中同样存在该问题，上报给当前软件所有者GlavSoft公司，但对方声称目前精力放在不受GPL限制的TightVNC 2.x版本开发中，对开源的1.x版本漏洞代码“可能会进行修复”。看起来，这个问题被踢给了各大Linux发行版社区来焦虑了——如果他们愿意接锅。 问题思考 在披露邮件中，Pavel认为，这些代码bug“如此明显，让人无法相信之前没被人发现过……也许是因为某些特殊理由才始终没得到修复”。 事实上，我们都知道目前存在一些对开源基础软件进行安全扫描的大型项目，例如Google的OSS；同时，仍然存活的开源项目也越来越注重自身代码发布前的安全扫描，Fortify、Coverity的扫描也成为很多项目和平台的标配。在这样一些眼睛注视下，为什么还有这样的问题？我认为就这个具体事例来说，可能有如下两个因素： ·上游已死。仍然在被维护的代码，存在版本更迭，也存在外界的持续关注、漏洞报告和修复、开发的迭代，对于负责人的开发者，持续跟进、评估、同步代码的改动是可能的。但是一旦一份代码走完了生命周期，就像一段史实一样会很少再被改动。 ·对第三方上游代码的无条件信任。我们很多人都有过基础组件、中间件的开发经历，不乏有人使用Coverity开启全部规则进行代码扫描、严格修复所有提示的问题甚至编程规范warning；报告往往很长，其中也包括有源码形式包含的第三方代码中的问题。但是，我们一方面倾向于认为这些被广泛使用的代码不应存在问题（不然早就被人挖过了），一方面考虑这些引用的代码往往是组件或库的形式被使用，应该有其上下文才能认定是否确实有可被利用的漏洞条件，现在单独扫描这部分代码一般出来的都是误报。所以这些代码的问题都容易被忽视。 但是透过这个具体例子，再延伸思考相关的实践，这里最根本的问题可以总结为一个模式： 复制粘贴风险。复制粘贴并不简单意味着剽窃，实际是当前软件领域、互联网行业发展的基础模式，但其中有一些没人能尝试解决的问题： ·在传统代码领域，如C代码中，对第三方代码功能的复用依赖，往往通过直接进行库的引入实现，第三方代码独立而完整，也较容易进行整体更新；这是最简单的情况，只需要所有下游使用者保证仅使用官方版本，跟进官方更新即可；但在实践中很难如此贯彻，这是下节讨论的问题。 ·有些第三方发布的代码，模式就是需要被源码形式包含到其他项目中进行统一编译使用（例如腾讯的开源Json解析库RapidJSON，就是纯C++头文件形式）。在开源领域有如GPL等规约对此进行规范，下游开发者遵循协议，引用代码，强制或可选地显式保留其GPL声明，可以进行使用和更改。这样的源码依赖关系，结合规范化的changelog声明代码改动，侧面也是为开发过程中跟进考虑。但是一个成型的产品，比如企业自有的服务端底层产品、中间件，新版本的发版更新是复杂的过程，开发者在旧版本仍然“功能正常”的情况下往往倾向于不跟进新版本；而上游代码如果进行安全漏洞修复，通常也都只在其最新版本代码中改动，安全修复与功能迭代并存，如果没有类似Linux发行版社区的努力，旧版本代码完全没有干净的安全更新patch可用。 ·在特定场景下，有些开发实践可能不严格遵循开源代码协议限定，引入了GPL等协议保护的代码而不做声明（以规避相关责任），丢失了引入和版本的信息跟踪；在另一些场景下，可能存在对开源代码进行大刀阔斧的修改、剪裁、定制，以符合自身业务的极端需求，但是过多的修改、人员的迭代造成与官方代码严重的失同步，丧失可维护性。 ·更一般的情况是，在开发中，开发者个体往往心照不宣的存在对网上代码文件、代码片段的复制-粘贴操作。被参考的代码，可能有上述的开源代码，也可能有各种Github作者练手项目、技术博客分享的代码片段、正式开源项目仅用来说明用法的不完备示例代码。这些代码的引入完全无迹可寻，即便是作者自己也很难解释用了什么。这种情况下，上面两条认定的那些与官方安全更新失同步的问题同样存在，且引入了独特的风险：被借鉴的代码可能只是原作者随手写的、仅仅是功能成立的片段，甚至可能是恶意作者随意散布的有安全问题的代码。由此，问题进入了最大的发散空间。 在Synopsys下BLACKDUCK软件之前发布的《2018 Open Source Security and Risk Analysis Report》中分析，96%的应用中包含有开源组件和代码，开源代码在应用全部代码中的占比约为57%，78%的应用中在引用的三方开源代码中存在历史漏洞。也就是说，现在互联网上所有厂商开发的软件、应用，其开发人员自己写的代码都是一少部分，多数都是借鉴来的。而这还只是可统计、可追溯的；至于上面提到的非规范的代码引用，如果也纳入进来考虑，三方代码占应用中的比例会上升到多少？曾经有分析认为至少占80%，我们只期望不会更高。 Ⅱ. 从碎片到乱刃：OpenSSH在野后门一览 在进行基础软件梳理时，回忆到反病毒安全软件提供商ESET在2018年十月发布的一份白皮书《THE DARK SIDE OF THE FORSSHE: A landscape of OpenSSH backdoors》。其站在一个具有广泛用户基础的软件提供商角度，给出了一份分析报告，数据和结论超出我们对于当前基础软件使用全景的估量。以下以我的角度对其中一方面进行解读。 一些必要背景 SSH的作用和重要性无需赘言；虽然我们站在传统互联网公司角度，可以认为SSH是通往生产服务器的生命通道，但当前多样化的产业环境已经不止于此（如之前libssh事件中，不幸被我言中的，SSH在网络设备、IoT设备上（如f5）的广泛使用）。 OpenSSH是目前绝大多数SSH服务端的基础软件，有完备的开发团队、发布规范、维护机制，本身是靠谱的。如同绝大多数基础软件开源项目的做法，OpenSSH对漏洞有及时的响应，针对最新版本代码发出安全补丁，但是各大Linux发行版使用的有各种版本的OpenSSH，这些社区自行负责将官方开发者的安全补丁移植到自己系统搭载的低版本代码上。天空彩 白皮书披露的现状 如果你是一个企业的运维管理人员，需要向企业生产服务器安装OpenSSH或者其它基础软件，最简单的方式当然是使用系统的软件管理安装即可。但是有时候，出于迁移成本考虑，可能企业需要在一个旧版本系统上，使用较新版本的OpenSSL、OpenSSH等基础软件，这些系统不提供，需要自行安装；或者需要一个某有种特殊特性的定制版本。这时，可能会选择从某些rpm包集中站下载某些不具名第三方提供的现成的安装包，或者下载非官方的定制化源码本地编译后安装，总之从这里引入了不确定性。 这种不确定性有多大？我们粗估一下，似乎不应成为问题。但这份白皮书给我们看到了鲜活的数据。 ESET研究人员从OpenSSH的一次历史大规模Linux服务端恶意软件Windigo中获得启示，采用某种巧妙的方式，面向在野的服务器进行数据采集，主要是系统与版本、安装的OpenSSH版本信息以及服务端程序文件的一个特殊签名。整理一个签名白名单，包含有所有能搜索到的官方发布二进制版本、各大Linux发行版本各个版本所带的程序文件版本，将这些标定为正常样本进行去除。最终结论是： ·共发现了几百个非白名单版本的OpenSSH服务端程序文件ssh和sshd； ·分析这些样本，将代码部分完全相同，仅仅是数据和配置不同的合并为一类，且分析判定确认有恶意代码的，共归纳为 21个各异的恶意OpenSSH家族； ·在21个恶意家族中，有12个家族在10月份时完全没有被公开发现分析过；而剩余的有一部分使用了历史上披露的恶意代码样本，甚至有源代码； ·所有恶意样本的实现，从实现复杂度、代码混淆和自我保护程度到代码特征有很大跨度的不同，但整体看，目的以偷取用户凭证等敏感信息、回连外传到攻击者为主，其中有的攻击者回连地址已经存在并活跃数年之久； ·这些后门的操控者，既有传统恶意软件黑产人员，也有APT组织； ·所有恶意软件或多或少都在被害主机上有未抹除的痕迹。ESET研究者尝试使用蜜罐引诱出攻击者，但仍有许多未解之谜。这场对抗，仍未取胜。 白皮书用了大篇幅做技术分析报告，此处供细节分析，不展开分析，以下为根据恶意程序复杂度描绘的21个家族图谱： 问题思考 问题引入的可能渠道，我在开头进行了一点推测，主要是由人的原因切入的，除此以外，最可能的是恶意攻击者在利用各种方法入侵目标主机后，主动替换了目标OpenSSH为恶意版本，从而达成攻击持久化操作。但是这些都是止血的安全运维人员该考虑的事情；关键问题是，透过表象，这显露了什么威胁形式？ 这个问题很好回答，之前也曾经反复说过：基础软件碎片化。 如上一章节简单提到，在开发过程中有各种可能的渠道引入开发者不完全了解和信任的代码；在运维过程中也是如此。二者互相作用，造成了软件碎片化的庞杂现状。在企业内部，同一份基础软件库，可能不同的业务线各自定制一份，放到企业私有软件仓库源中，有些会有人持续更新供自己产品使用，有些由系统软件基础设施维护人员单独维护，有些则可能是开发人员临时想起来上传的，他们自己都不记得；后续用到的这个基础软件的开发和团队，在这个源上搜索到已有的库，很大概率会倾向于直接使用，不管来源、是否有质量背书等。长此以往问题会持续发酵。而我们开最坏的脑洞，是否可能有黑产人员入职到内部，提交个恶意基础库之后就走人的可能？现行企业安全开发流程中审核机制的普遍缺失给这留下了空位。 将源码来源碎片化与二进制使用碎片化并起来考虑，我们不难看到一个远远超过OpenSSH事件威胁程度的图景。但这个问题不是仅仅靠开发阶段规约、运维阶段规范、企业内部管控、行业自查、政府监管就可以根除的，最大的问题归根结底两句话： 不可能用一场战役对抗持续威胁；不可能用有限分析对抗无限未知。 Ⅲ. 从自信到自省：RHEL、CentOS backport版本BIND漏洞 2018年12月20日凌晨，在备战冬至的软件供应链安全大赛决赛时，我注意到漏洞预警平台捕获的一封邮件。但这不是一个漏洞初始披露邮件，而是对一个稍早已披露的BIND在RedHat、CentOS发行版上特定版本的1day漏洞CVE-2018-5742，由BIND的官方开发者进行额外信息澄(shuǎi)清(guō)的邮件。 一些必要背景 关于BIND 互联网的一个古老而基础的设施是DNS，这个概念在读者不应陌生。而BIND“是现今互联网上最常使用的DNS软件，使用BIND作为服务器软件的DNS服务器约占所有DNS服务器的九成。BIND现在由互联网系统协会负责开发与维护参考。”所以BIND的基础地位即是如此，因此也一向被大量白帽黑帽反复测试、挖掘漏洞，其开发者大概也一直处在紧绷着应对的处境。 关于ISC和RedHat 说到开发者，上面提到BIND的官方开发者是互联网系统协会（ISC）。ISC是一个老牌非营利组织，目前主要就是BIND和DHCP基础设施的维护者。而BIND本身如同大多数历史悠久的互联网基础开源软件，是4个UCB在校生在DARPA资助下于1984年的实验室产物，直到2012年由ISC接管。 那么RedHat在此中是什么角色呢？这又要提到我之前提到的Linux发行版和自带软件维护策略。Red Hat Enterprise Linux（RHEL）及其社区版CentOS秉持着稳健的软件策略，每个大的发行版本的软件仓库，都只选用最必要且质量久经时间考验的软件版本，哪怕那些版本实在是老掉牙。这不是一种过分的保守，事实证明这种策略往往给RedHat用户在最新漏洞面前提供了保障——代码总是跑得越少，潜在漏洞越多。 但是这有两个关键问题。一方面，如果开源基础软件被发现一例有历史沿革的代码漏洞，那么官方开发者基本都只为其最新代码负责，在当前代码上推出修复补丁。另一方面，互联网基础设施虽然不像其上的应用那样爆发性迭代，但依然持续有一些新特性涌现，其中一些是必不可少的，但同样只在最新代码中提供。两个刚需推动下，各Linux发行版对长期支持版本系统的软件都采用一致的策略，即保持其基础软件在一个固定的版本，但对于这些版本软件的最新漏洞、必要的最新软件特性，由发行版维护者将官方开发者最新代码改动“向后移植”到旧版本代码中，即backport。这就是基础软件的“官宣”碎片化的源头。 讲道理，Linux发行版维护者与社区具有比较靠谱的开发能力和监督机制，backport又基本就是一些复制粘贴工作，应当是很稳当的……但真是如此吗？ CVE-2018-5742漏洞概况 CVE-2018-5742是一个简单的缓冲区溢出类型漏洞，官方评定其漏洞等级moderate，认为危害不大，漏洞修复不积极，披露信息不多，也没有积极给出代码修复patch和新版本rpm包。因为该漏洞仅在设置DEBUG_LEVEL为10以上才会触发，由远程攻击者构造畸形请求造成BIND服务崩溃，在正常的生产环境几乎不可能具有危害，RedHat官方也只是给出了用户自查建议。 这个漏洞只出现在RHEL和CentOS版本7中搭载的BIND 9.9.4-65及之后版本。RedHat同ISC的声明中都证实，这个漏洞的引入原因，是RedHat在尝试将BIND 9.11版本2016年新增的NTA机制向后移植到RedHat 7系中固定搭载的BIND 9.9版本代码时，偶然的代码错误。NTA是DNS安全扩展（DNSSEC）中，用于在特定域关闭DNSSEC校验以避免不必要的校验失败的机制；但这个漏洞不需要对NTA本身有进一步了解。 漏洞具体分析 官方没有给出具体分析，但根据CentOS社区里先前有用户反馈的bug，我得以很容易还原漏洞链路并定位到根本原因。 若干用户共同反馈，其使用的BIND 9.9.4-RedHat-9.9.4-72.el7发生崩溃（coredump），并给出如下的崩溃时调用栈backtrace： 这个调用过程的逻辑为，在9 dns_message_logfmtpacket函数判断当前软件设置是否DEBUG_LEVEL大于10，若是，对用户请求数据包做日志记录，先后调用8 dns_message_totext、7 dns_message_sectiontotext、6 dns_master_rdatasettotext、5 rdataset_totext将请求进行按协议分解分段后写出。 由以上关键调用环节，联动RedHat在9.9.4版本BIND源码包中关于引入NTA特性的源码patch，进行代码分析，很快定位到问题产生的位置，在上述backtrace中的5，masterdump.c文件rdataset_totext函数。漏洞相关代码片段中，RedHat进行backport后，这里引入的代码为： 这里判断对于请求中的注释类型数据，直接通过isc_buffer_putstr宏对缓存进行操作，在BIND工程中自定义维护的缓冲区结构对象target上，附加一字节字符串（一个分号）。而漏洞就是由此产生：isc_buffer_putstr中不做缓冲区边界检查保证，这里在缓冲区已满情况下将造成off-by-one溢出，并触发了缓冲区实现代码中的assertion。 而ISC上游官方版本的代码在这里是怎么写的呢？找到ISC版本BIND 9.11代码，这里是这样的： 这里可以看到，官方代码在做同样的“附加一个分号”这个操作时，审慎的使用了做缓冲区剩余空间校验的str_totext函数，并额外做返回值成功校验。而上述提到的str_totext函数与RETERR宏，在移植版本的masterdump.c中，RedHat开发者也都做了保留。但是，查看代码上下文发现，在RedHat开发者进行代码移植过程中，对官方代码进行了功能上的若干剪裁，包括一些细分数据类型记录的支持；而这里对缓冲区写入一字节，也许开发者完全没想到溢出的可能，所以自作主张地简化了代码调用过程。 问题思考 这个漏洞本身几乎没什么危害，但是背后足以引起思考。 没有人在“借”别人代码时能不出错 不同于之前章节提到的那种场景——将代码文件或片段复制到自己类似的代码上下文借用——backport作为一种官方且成熟的做法，借用的代码来源、粘贴到的代码上下文，是具有同源属性的，而且开发者一般是追求稳定性优先的社区开发人员，似乎质量应该有足够保障。但是这里的关键问题是：代码总要有一手、充分的语义理解，才能有可信的使用保障；因此，只要是处理他人的代码，因为不够理解而错误使用的风险，只可能减小，没办法消除。 如上分析，本次漏洞的产生看似只是做代码移植的开发者“自作主张”之下“改错了”。但是更广泛且可能的情况是，原始开发者在版本迭代中引入或更新大量基础数据结构、API的定义，并用在新的特性实现代码中；而后向移植开发人员仅需要最小规模的功能代码，所以会对增量代码进行一定规模的修改、剪裁、还原，以此适应旧版本基本代码。这些过程同样伴随着第三方开发人员不可避免的“望文生义”，以及随之而来的风险。后向移植操作也同样助长了软件碎片化过程，其中每一个碎片都存在这样的问题；每一个碎片在自身生命周期也将有持续性影响。 多级复制粘贴无异于雪上加霜 这里简单探讨的是企业通行的系统和基础软件建设实践。一些国内外厂商和社区发布的定制化Linux发行版，本身是有其它发行版，如CentOS特定版本渊源的，在基础软件上即便同其上游发行版最新版本间也存在断层滞后。RedHat相对于基础软件开发者之间已经隔了一层backport，而我们则人为制造了二级风险。 在很多基础而关键的软件上，企业系统基础设施的维护者出于与RedHat类似的初衷，往往会决定自行backport一份拷贝；通过早年心脏滴血事件的洗礼，即暴露出来OpenSSL一个例子。无论是需要RHEL还没来得及移植的新版本功能特性，还是出于对特殊使用上下文场景中更高执行效率的追求，企业都可能自行对RHEL上基础软件源码包进行修改定制重打包。这个过程除了将风险幂次放大外，也进一步加深了代码的不可解释性（包括基础软件开发人员流动性带来的不可解释）。 Ⅳ. 从武功到死穴：从systemd-journald信息泄露一窥API误用 1月10日凌晨两点，漏洞预警平台爬收取一封漏洞披露邮件。披露者是Qualys，那就铁定是重型发布了。最后看披露漏洞的目标，systemd？这就非常有意思了。 一些必要背景 systemd是什么，不好简单回答。Linux上面软件命名，习惯以某软件名后带个‘d’表示后台守护管理程序；所以systemd就可以说是整个系统的看守吧。而即便现在描述了systemd是什么，可能也很快会落伍，因为其初始及核心开发者Lennart Poettering（供职于Red Hat）描述它是“永无开发完结完整、始终跟进技术进展的、统一所有发行版无止境的差异”的一种底层软件。笼统讲有三个作用：中央化系统及设置管理；其它软件开发的基础框架；应用程序和系统内核之间的胶水。如今几乎所有Linux发行版已经默认提供systemd，包括RHEL/CentOS 7及后续版本。总之很基础、很底层、很重要就对了。systemd本体是个主要实现init系统的框架，但还有若干关键组件完成其它工作；这次被爆漏洞的是其journald组件，是负责系统事件日志记录的看守程序。 额外地还想简单提一句Qualys这个公司。该公司创立于1999年，官方介绍为信息安全与云安全解决方案企业，to B的安全业务非常全面，有些也是国内企业很少有布局的方面；例如上面提到的涉及碎片化和代码移植过程的历史漏洞移动，也在其漏洞管理解决方案中有所体现。但是我们对这家公司粗浅的了解来源于其安全研究团队近几年的发声，这两年间发布过的，包括有『stack clash』、『sudo get_tty_name提权』、『OpenSSH信息泄露与堆溢出』、『GHOST：glibc gethostbyname缓冲区溢出』等大新闻（仅截至2017年年中）。从中可见，这个研究团队专门啃硬骨头，而且还总能开拓出来新的啃食方式，往往爆出来一些别人没想到的新漏洞类型。从这个角度，再联想之前刷爆朋友圈的《安全研究者的自我修养》所倡导的“通过看历史漏洞、看别人的最新成果去举一反三”的理念，可见差距。 CVE-2018-16866漏洞详情 这次漏洞披露，打包了三个漏洞： ·16864和16865是内存破坏类型 ·16866是信息泄露 ·而16865和16866两个漏洞组和利用可以拿到root shell。 漏洞分析已经在披露中写的很详细了，这里不复述；而针对16866的漏洞成因来龙去脉，Qualys跟踪的结果留下了一点想象和反思空间，我们来看一下。 漏洞相关代码片段是这样的（漏洞修复前）： 读者可以先肉眼过一遍这段代码有什么问题。实际上我一开始也没看出来，向下读才恍然大悟。 这段代码中，外部信息输入通过buf传入做记录处理。输入数据一般包含有空白字符间隔，需要分隔开逐个记录，有效的分隔符包括空格、制表符、回车、换行，代码中将其写入常量字符串；在逐字符扫描输入数据字符串时，将当前字符使用strchr在上述间隔符字符串中检索是否匹配，以此判断是否为间隔符；在240行，通过这样的判断，跳过记录单元字符串的头部连续空白字符。 但是问题在于，strchr这个极其基础的字符串处理函数，对于C字符串终止字符'\0'的处理上有个坑：'\0'也被认为是被检索字符串当中的一个有效字符。所以在240行，当当前扫描到的字符为字符串末尾的NULL时，strchr返回的是WHITESPACE常量字符串的终止位置而非NULL，这导致了越界。 看起来，这是一个典型的问题：API误用（API mis-use），只不过这个被误用的库函数有点太基础，让我忍不住想是不是还会有大量的类似漏洞……当然也反思我自己写的代码是不是也有同样情况，然而略一思考就释然了——我那么笨的代码都用for循环加if判断了:) 漏洞引入和消除历史 有意思的是，Qualys研究人员很贴心地替我做了一步漏洞成因溯源，这才是单独提这个漏洞的原因。漏洞的引入是在2015年的一个commit中： 在GitHub中，定位到上述2015年的commit信息，这里commit的备注信息为： journald: do not strip leading whitespace from messages. Keep leading whitespace for compatibility with older syslog implementations. Also useful when piping formatted output to the logger command. Keep removing trailing whitespace. OK，看起来是一个兼容性调整，对记录信息不再跳过开头所有连续空白字符，只不过用strchr的简洁写法比较突出开发者精炼的开发风格（并不），说得过去。 之后在2018年八月的一个当时尚未推正式版的另一次commit中被修复了，先是还原成了ec5ff4那次commit之前的写法，然后改成了加校验的方式： 虽然Qualys研究者认为上述的修改是“无心插柳”的改动，但是在GitHub可以看到，a6aadf这次commit是因为有外部用户反馈了输入数据为单个冒号情况下journald堆溢出崩溃的issue，才由开发者有目的性地修复的；而之后在859510这个commit再次改动回来，理由是待记录的消息都是使用单个空格作为间隔符的，而上一个commit粗暴地去掉了这种协议兼容性特性。 如果没有以上纠结的修改和改回历史，也许我会倾向于怀疑，在最开始漏洞引入的那个commit，既然改动代码没有新增功能特性、没有解决什么问题（毕竟其后三年，这个改动的代码也没有被反映issue），也并非出于代码规范等考虑，那么这么轻描淡写的一次提交，难免有人为蓄意引入漏洞的嫌疑。当然，看到几次修复的原因，这种可能性就不大了，虽然大家仍可以保留意见。但是抛开是否人为这个因素，单纯从代码的漏洞成因看，一个传统但躲不开的问题仍值得探讨：API误用。 API误用：程序员何苦为难程序员 如果之前的章节给读者留下了我反对代码模块化和复用的印象，那么这里需要正名一下，我们认可这是当下开发实践不可避免的趋势，也增进了社会开发速度。而API的设计决定了写代码和用代码的双方“舒适度”的问题，由此而来的API误用问题，也是一直被当做单纯的软件工程课题讨论。在此方面个人并没有什么研究，自然也没办法系统地给出分类和学术方案，只是谈一下自己的经验和想法。 一篇比较新的学术文章总结了API误用的研究，其中一个独立章节专门分析Java密码学组件API误用的实际，当中引述之前论文认为，密码学API是非常容易被误用的，比如对期望输入数据（数据类型，数据来源，编码形式）要求的混淆，API的必需调用次序和依赖缺失（比如缺少或冗余多次调用了初始化函数、主动资源回收函数）等。凑巧在此方面我有一点体会：曾经因为业务方需要，需要使用C++对一个Java的密码基础中间件做移植。Java对密码学组件支持，有原生的JDK模块和权威的BouncyCastle包可用；而C/C++只能使用第三方库，考虑到系统平台最大兼容和最小代码量，使用Linux平台默认自带的OpenSSL的密码套件。但在开发过程中感受到了OpenSSL满满的恶意：其中的API设计不可谓不反人类，很多参数没有明确的说明（比如同样是表示长度的函数参数，可能在不同地方分别以字节/比特/分组数为计数单位）；函数的线程安全没有任何解释标注，需要自行试验；不清楚函数执行之后，是其自行做了资源释放还是需要有另外API做gc，不知道资源释放操作时是否规规矩矩地先擦除后释放……此类问题不一而足，导致经过了漫长的测试之后，这份中间件才提供出来供使用。而在业务场景中，还会存在比如其它语言调用的情形，这些又暴露出来OpenSSL API误用的一些完全无从参考的问题。这一切都成为了噩梦；当然这无法为我自己开解是个不称职开发的指责，但仅就OpenSSL而言其API设计之恶劣也是始终被人诟病的问题，也是之后其他替代者宣称改进的地方。 当然，问题是上下游都脱不了干系的。我们自己作为高速迭代中的开发人员，对于二方、三方提供的中间件、API，又有多少人能自信地说自己仔细、认真地阅读过开发指南和API、规范说明呢？做过通用产品技术运营的朋友可能很容易理解，自己产品的直接用户日常抛出不看文档的愚蠢问题带来的困扰。对于密码学套件，这个问题还好办一些，毕竟如果在没有背景知识的情况下对API望文生义地一通调用，绝大多数情况下都会以抛异常形式告终；但还是有很多情况，API误用埋下的是长期隐患。 不是所有API误用情形最终都有机会发展成为可利用的安全漏洞，但作为一个由人的因素引入的风险，这将长期存在并困扰软件供应链（虽然对安全研究者、黑客与白帽子是很欣慰的事情）。可惜，传统的白盒代码扫描能力，基于对代码语义的理解和构建，但是涉及到API则需要预先的抽象，这一点目前似乎仍然是需要人工干预的事情；或者轻量级一点的方案，可以case by case地分析，为所有可能被误用的API建模并单独扫描，这自然也有很强局限性。在一个很底层可信的开发者还对C标准库API存在误用的现实内，我们需要更多的思考才能说接下来的解法。 Ⅴ. 从规则到陷阱：NASA JIRA误配置致信息泄露血案 软件的定义包括了代码组成的程序，以及相关的配置、文档等。当我们说软件的漏洞、风险时，往往只聚焦在其中的代码中；关于软件供应链安全风险，我们的比赛、前面分析的例子也都聚焦在了代码的问题；但是真正的威胁都来源于不可思议之处，那么代码之外有没有可能存在来源于上游的威胁呢？这里就借助实例来探讨一下，在“配置”当中可能栽倒的坑。 引子：发不到500英里以外的邮件？ 让我们先从一个轻松愉快的小例子引入。这个例子初见于Linux中国的一篇译文。 简单说，作者描述了这么一个让人啼笑皆非的问题：单位的邮件服务器发送邮件，发送目标距离本地500英里范围之外的一律失败，邮件就像悠悠球一样只能飞出一定距离。这个问题本身让描述者感到尴尬，就像一个技术人员被老板问到“为什么从家里笔记本上Ctrl-C后不能在公司台式机上Ctrl-V”一样。 经过令人窒息的分析操作后，笔者定位到了问题原因：笔者作为负责的系统管理员，把SunOS默认安装的Senmail从老旧的版本5升级到了成熟的版本8，且对应于新版本诸多的新特性进行了对应配置，写入配置文件sendmail.cf；但第三方服务顾问在对单位系统进行打补丁升级维护时，将系统软件“升级”到了系统提供的最新版本，因此将Sendmail实际回退到了版本5，却为了软件行为一致性，原样保留了高版本使用的配置文件。但Sendmail并没有在大版本间保证配置文件兼容性，这导致很多版本5所需的配置项不存在于保留下来的sendmail.cf文件中，程序按默认值0处理；最终引起问题的就是，邮件服务器与接收端通信的超时时间配置项，当取默认配置值0时，邮件服务器在1个单位时间（约3毫秒）内没有收到网络回包即认为超时，而这3毫秒仅够电信号打来回飞出500英里。 这个“故事”可能会给技术人员一点警醒，错误的配置会导致预期之外的软件行为，但是配置如何会引入软件供应链方向的安全风险呢？这就引出了下一个重磅实例。 JIRA配置错误致NASA敏感信息泄露案例 我们都听过一个事情，马云在带队考察美国公司期间问Google CEO Larry Page自视谁为竞争对手，Larry的回答是NASA，因为最优秀的工程师都被NASA的梦想吸引过去了。由此我们显然能窥见NASA的技术水位之高，这样的人才团队大概至少是不会犯什么低级错误的。 但也许需要重新定义“低级错误”……1月11日一篇技术文章披露，NASA某官网部署使用的缺陷跟踪管理系统JIRA存在错误的配置，可分别泄漏内部员工（JIRA系统用户）的全部用户名和邮件地址，以及内部项目和团队名称到公众，如下： 问题的原因解释起来也非常简单：JIRA系统的过滤器和配置面板中，对于数据可见性的配置选项分别选定为All users和Everyone时，系统管理人员想当然地认为这意味着将数据对所有“系统用户”开放查看，但是JIRA的这两个选项的真实效果逆天，是面向“任意人”开放，即不限于系统登录用户，而是任何查看页面的人员。看到这里，我不厚道地笑了……“All users”并不意味着“All ‘users’”，意不意外，惊不惊喜？ 但是这种字面上把戏，为什么没有引起NASA工程师的注意呢，难道这样逆天的配置项没有在产品手册文档中加粗标红提示吗？本着为JIRA产品设计找回尊严的态度，我深入挖掘了一下官方说明，果然在Atlassian官方的一份confluence文档（看起来更像是一份增补的FAQ）中找到了相关说明： 所有未登录访客访问时，系统默认认定他们是匿名anonymous用户，所以各种权限配置中的all users或anyone显然应该将匿名用户包括在内。在7.2及之后版本中，则提供了“所有登录用户”的选项。 可以说是非常严谨且贴心了。比较讽刺的是，在我们的软件供应链安全大赛·C源代码赛季期间，我们设计圈定的恶意代码攻击目标还包括JIRA相关的敏感信息的窃取，但是却想不到有这么简单方便的方式，不动一行代码就可以从JIRA中偷走数据。 软件的使用，你“配”吗？ 无论是开放的代码还是成型的产品，我们在使用外部软件的时候，都是处于软件供应链下游的消费者角色，为了要充分理解上游开发和产品的真实细节意图，需要我们付出多大的努力才够“资格”？ 上一章节我们讨论过源码使用中必要细节信息缺失造成的“API误用”问题，而软件配置上的“误用”问题则复杂多样得多。从可控程度上讨论，至少有这几种因素定义了这个问题： ·软件用户对必要配置的现有文档缺少了解。这是最简单的场景，但又是完全不可避免的，这一点上我们所有有开发、产品或运营角色经验的应该都曾经体会过向不管不顾用户答疑的痛苦，而所有软件使用者也可以反省一下对所有软件的使用是否都以完整细致的文档阅读作为上手的准备工作，所以不必多说。 ·软件拥有者对配置条目缺少必要明确说明文档。就JIRA的例子而言，将NASA工程师归为上一条错误有些冤枉，而将JIRA归为这条更加合适。在边角但重要问题上的说明通过社区而非官方文档形式发布是一种不负责任的做法，但未引发安全事件的情况下还有多少这样的问题被默默隐藏呢？我们没办法要求在使用软件之前所有用户将软件相关所有文档、社区问答实现全部覆盖。这个问题范围内一个代表性例子是对配置项的默认值以及对应效果的说明缺失。 ·配置文件版本兼容性带来的误配置和安全问题。实际上，上面的SunOS Sendmail案例足以点出这个问题的存在性，但是在真实场景下，很可能不会以这么戏剧性形式出现。在企业的系统运维中，系统的版本迭代常见，但为软件行为一致性，配置的跨版本迁移是不可避免的操作；而且软件的更新迭代也不只会由系统更新推动，还有大量出于业务性能要求而主动进行的定制化升级，对于中小企业基础设施建设似乎是一个没怎么被提及过的问题。 ·配置项组合冲突问题。尽管对于单个配置项可能明确行为与影响，但是特定的配置项搭配可能造成不可预知的效果。这完全有可能是由于开发者与用户在信息不对等的情况下产生：开发者认为用户应该具有必需的背景知识，做了用户应当具备规避配置冲突能力的假设。一个例子是，对称密码算法在使用ECB、CBC分组工作模式时，从密码算法上要求输入数据长度必须是分组大小的整倍数，但如果用户搭配配置了秘钥对数据不做补齐（nopadding），则引入了非确定性行为：如果密码算法库对这种组合配置按某种默认补齐方式操作数据则会引起歧义，但如果在算法库代码层面对这种组合抛出错误则直接影响业务。 ·程序对配置项处理过程的潜在暗箱操作。这区别于简单的未文档化配置项行为，仅特指可能存在的蓄意、恶意行为。从某种意义上，上述“All users”也可以认为是这样的一种陷阱，通过浅层次暗示，引导用户做出错误且可能引起问题的配置。另一种情况是特定配置组合情况下触发恶意代码的行为，这种触发条件将使恶意代码具有规避检测的能力，且在用户基数上具有一定概率的用户命中率。当然这种情况由官方开发者直接引入的可能性很低，但是在众包开发的情况下如果存在，那么扫描方案是很难检测的。 Ⅵ. 从逆流到暗流：恶意代码溯源后的挑战 如果说前面所说的种种威胁都是面向关键目标和核心系统应该思考的问题，那么最后要抛出一个会把所有人拉进赛场的理由。除了前面所有那些在软件供应链下游被动污染受害的情况，还有一种情形：你有迹可循的代码，也许在不经意间会“反哺”到黑色产业链甚至特殊武器中；而现在研究用于对程序进行分析和溯源的技术，则会让你陷入百口莫辩的境地。 案例：黑产代码模块溯源疑云 1月29日，猎豹安全团队发布技术分析通报文章《电信、百度客户端源码疑遭泄漏，驱魔家族窃取隐私再起波澜》，矛头直指黑产上游的恶意信息窃取代码模块，认定其代码与两方产品存在微妙的关联：中国电信旗下“桌面3D动态天气”等多款软件，以及百度旗下“百度杀毒”等软件（已不可访问）。 文章中举证有三个关键点。 首先最直观的，是三者使用了相同的特征字符串、私有文件路径、自定义内部数据字段格式； 其次，在关键代码位置，三者在二进制程序汇编代码层面具有高度相似性； 最终，在一定范围的非通用程序逻辑上，三者在经过反汇编后的代码语义上显示出明显的雷同，并提供了如下两图佐证（图片来源）： 文章指出的涉事相关软件已经下线，对于上述样本文件的相似度试验暂不做复现，且无法求证存在相似、疑似同源的代码在三者中占比数据。对于上述指出的代码雷同现象，猎豹安全团队认为： 我们怀疑该病毒模块的作者通过某种渠道(比如“曾经就职”)，掌握有中国电信旗下部分客户端/服务端源码，并加以改造用于制作窃取用户隐私的病毒，另外在该病毒模块的代码中，我们还发现“百度”旗下部分客户端的基础调试日志函数库代码痕迹，整个“驱魔”病毒家族疑点重重，其制作传播背景愈发扑朔迷离。 这样的推断，固然有过于直接的依据（例如三款代码中均使用含有“baidu”字样的特征注册表项）；但更进一步地，需要注意到，三个样本在所指出的代码位置，具有直观可见的二进制汇编代码结构的相同，考虑到如果仅仅是恶意代码开发者先逆向另外两份代码后借鉴了代码逻辑，那么在面临反编译、代码上下文适配重构、跨编译器和选项的编译结果差异等诸多不确定环节，仍能保持二进制代码的雷同，似乎确实是只有从根本上的源代码泄漏（抄袭）且保持相同的开发编译环境才能成立。 但是我们却又无法做出更明确的推断。这一方面当然是出于严谨避免过度解读；而从另一方面考虑，黑产代码的一个关键出发点就是“隐藏自己”，而这里居然如此堂而皇之地照搬了代码，不但没有进行任何代码混淆、变形，甚至没有抹除疑似来源的关键字符串，如果将黑产视为智商在线的对手，那这里背后是否有其它考量，就值得琢磨了。 代码的比对、分析、溯源技术水准 上文中的安全团队基于大量样本和粗粒度比对方法，给出了一个初步的判断和疑点。那么是否有可能获得更确凿的分析结果，来证实或证伪同源猜想呢？ 无论是源代码还是二进制，代码比对技术作为一种基础手段，在软件供应链安全分析上都注定仍然有效。在我们的软件供应链安全大赛期间，针对PE二进制程序类型的题目，参赛队伍就纷纷采用了相关技术手段用于目标分析，包括：同源性分析，用于判定与目标软件相似度最高的同软件官方版本；细粒度的差异分析，用于尝试在忽略编译差异和特意引入的混淆之外，定位特意引入的恶意代码位置。当然，作为比赛中针对性的应对方案，受目标和环境引导约束，这些方法证明了可行性，却难以保证集成有最新技术方案。那么做一下预言，在不计入情报辅助条件下，下一代的代码比对将能够到达什么水准？ 这里结合近一年和今年内，已发表和未发表的学术领域顶级会议的相关文章来简单展望： ·针对海量甚至全量已知源码，将可以实现准确精细化的“作者归属”判定。在ACM CCS‘18会议上曾发表的一篇文章《Large-Scale and Language-Oblivious Code Authorship Identification》，描述了使用RNN进行大规模代码识别的方案，在圈定目标开发者，并预先提供每个开发者的5-7份已知的代码文件后，该技术方案可以很有效地识别大规模匿名代码仓库中隶属于每个开发者的代码：针对1600个Google Code Jam开发者8年间的所有代码可以实现96%的成功识别率，而针对745个C代码开发者于1987年之后在GitHub上面的全部公开代码仓库，识别率也高达94.38%。这样的结果在当下的场景中，已经足以实现对特定人的代码识别和跟踪（例如，考虑到特定开发人员可能由于编码习惯和规范意识，在时间和项目跨度上犯同样的错误）；可以预见，在该技术方向上，完全可以期望摆脱特定已知目标人的现有数据集学习的过程，并实现更细粒度的归属分析，例如代码段、代码行、提交历史。 ·针对二进制代码，更准确、更大规模、更快速的代码主程序分析和同源性匹配。近年来作为一项程序分析基础技术研究，二进制代码相似性分析又重新获得了学术界和工业界的关注。在2018年和2019（已录用）的安全领域四大顶级会议上，每次都会有该方向最新成果的展示，如S&P‘2019上录用的《Asm2Vec: Boosting Static Representation Robustness for Binary Clone Search against Code Obfuscation and Compiler Optimization》，实现无先验知识的条件下的最优汇编代码级别克隆检测，针对漏洞库的漏洞代码检测可实现0误报、100%召回。而2018年北京HITB会议上，Google Project Zero成员、二进制比对工具BinDiff原始作者Thomas Dullien，探讨了他借用改造Google自家SimHash算法思想，用于针对二进制代码控制流图做相似性检测的尝试和阶段结果；这种引入规模数据处理的思路，也可期望能够在目前其他技术方案大多精细化而低效的情况下，为高效、快速、大规模甚至全量代码克隆检测勾出未来方案。 ·代码比对方案对编辑、优化、变形、混淆的对抗。近年所有技术方案都以对代码“变种”的检测有效性作为关键衡量标准，并一定程度上予以保证。上文CCS‘18论文工作，针对典型源代码混淆（如Tigress）处理后的代码，大规模数据集上可有93.42%的准确识别率；S&P‘19论文针对跨编译器和编译选项、业界常用的OLLVM编译时混淆方案进行试验，在全部可用的混淆方案保护之下的代码仍然可以完成81%以上的克隆检测。值得注意的是以上方案都并非针对特定混淆方案单独优化的，方法具有通用价值；而除此以外还有很多针对性的的反混淆研究成果可用；因此，可以认为在采用常规商用代码混淆方案下，即便存在隐藏内部业务逻辑不被逆向的能力，但仍然可以被有效定位代码复用和开发者自然人。 代码溯源技术面前的“挑战” 作为软件供应链安全的独立分析方，健壮的代码比对技术是决定性的基石；而当脑洞大开，考虑到行业的发展，也许以下两种假设的情景，将把每一个“正当”的产品、开发者置于尴尬的境地。 代码仿制 在本章节引述的“驱魔家族”代码疑云案例中，黑产方面通过某种方式获得了正常代码中，功能逻辑可以被自身复用的片段，并以某种方法将其在保持原样的情况下拼接形成了恶意程序。即便在此例中并非如此，但这却暴露了隐忧：将来是不是有这种可能，我的正常代码被泄漏或逆向后出现在恶意软件中，被溯源后扣上黑锅？ 这种担忧可能以多种渠道和形式成为现实。 从上游看，内部源码被人为泄漏是最简单的形式（实际上，考虑到代码的完整生命周期似乎并没有作为企业核心数据资产得到保护，目前实质上有没有这样的代码在野泄漏还是个未知数），而通过程序逆向还原代码逻辑也在一定程度上可获取原始代码关键特征。 从下游看，则可能有多种方式将恶意代码伪造得像正常代码并实现“碰瓷”。最简单地，可以大量复用关键代码特征（如字符串，自定义数据结构，关键分支条件，数据记录和交换私有格式等）。考虑到在进行溯源时，分析者实际上不需要100%的匹配度才会怀疑，因此仅仅是仿造原始程序对于第三方公开库代码的特殊定制改动，也足以将公众的疑点转移。而近年来类似自动补丁代码搜索生成的方案也可能被用来在一份最终代码中包含有二方甚至多方原始代码的特征和片段。 基于开发者溯源的定点渗透 既然在未来可能存在准确将代码与自然人对应的技术，那么这种技术也完全可能被黑色产业利用。可能的忧患包括强针对性的社会工程，结合特定开发者历史代码缺陷的漏洞挖掘利用，联动第三方泄漏人员信息的深层渗透，等等。这方面暂不做联想展开。 〇. 没有总结 作为一场旨在定义“软件供应链安全”威胁的宣言，阿里安全“功守道”大赛将在后续给出详细的分解和总结，其意义价值也许会在一段时间之后才能被挖掘。 但是威胁的现状不容乐观，威胁的发展不会静待；这一篇随笔仅仅挑选六个侧面做摘录分析，可即将到来的趋势一定只会进入更加发散的境地，因此这里，没有总结。 本篇文章为转载内容。原文链接：https://blog.csdn.net/systemino/article/details/90114743。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...lic final class Triplet<A,B,C> extends Tupleimplements IValue0<A>,IValue1<B>,IValue2<C> {private static final long serialVersionUID = -1877265551599483740L;private static final int SIZE = 3;private final A val0;private final B val1;private final C val2;public static <A,B,C> Triplet<A,B,C> with(final A value0, final B value1, final C value2) {return new Triplet<A,B,C>(value0,value1,value2);}   我们一般调用静态方法with，传入元组数据，创建一个元组。当然了，也可以通过有参构造、数组Array、集合Collection、迭代器Iterator来创建一个元组，直接调用相应方法即可。   但是，我们可能记不住各元组对象的名称（Unit、Pair、Triplet、Quartet、Quintet、Sextet、Septet、Octet、Ennead、Decade），还要背下单词…因此，我们可以自定义一个工具类，提供公共方法，根据传入的参数个数，返回不同的元组对象。 2.2.2 自定义工具类 package com.superchen.demo.utils;import org.javatuples.Decade;import org.javatuples.Ennead;import org.javatuples.Octet;import org.javatuples.Pair;import org.javatuples.Quartet;import org.javatuples.Quintet;import org.javatuples.Septet;import org.javatuples.Sextet;import org.javatuples.Triplet;import org.javatuples.Unit;/ ClassName: TupleUtils Function: <p> Tuple helper to create numerous items of tuple. the maximum is 10. if you want to create tuple which elements count more than 10, a new class would be a better choice. if you don't want to new a class, just extends the class {@link org.javatuples.Tuple} and do your own implemention. </p> date: 2019/9/2 16:16 @version 1.0.0 @author Chavaer @since JDK 1.8/public class TupleUtils{/ <p>Create a tuple of one element.</p> @param value0 @param <A> @return a tuple of one element/public static <A> Unit<A> with(final A value0) {return Unit.with(value0);}/ <p>Create a tuple of two elements.</p> @param value0 @param value1 @param <A> @param <B> @return a tuple of two elements/public static <A, B> Pair<A, B> with(final A value0, final B value1) {return Pair.with(value0, value1);}/ <p>Create a tuple of three elements.</p> @param value0 @param value1 @param value2 @param <A> @param <B> @param <C> @return a tuple of three elements/public static <A, B, C> Triplet<A, B, C> with(final A value0, final B value1, final C value2) {return Triplet.with(value0, value1, value2);} } 以上的TupleUtils中提供了with的重载方法，调用时根据传入的参数值个数，返回对应的元组对象。 2.2.3 示例代码 若有需求：   现有pojo类Student、Teacher、Programmer，需要存储pojo类的字节码文件、对应数据库表的主键名称、对应数据库表的毕业院校字段名称，传到后层用于组装sql。   可以再定义一个对象类，但是如果还要再添加条件字段的话，又得重新定义…所以我们这里直接使用元组Tuple实现。 public class TupleTest {public static void main(String[] args) {List<Triplet<Class, String, String>> roleList = new ArrayList<Triplet<Class, String, String>>();/三元组，存储数据：对应实体类字节码文件、数据表主键名称、数据表毕业院校字段名称/Triplet<Class, String, String> studentTriplet = TupleUtils.with(Student.class, "sid", "graduate");Triplet<Class, String, String> teacherTriplet = TupleUtils.with(Teacher.class, "tid", "graduate");Triplet<Class, String, String> programmerTriplet = TupleUtils.with(Programmer.class, "id", "graduate");roleList.add(studentTriplet);roleList.add(teacherTriplet);roleList.add(programmerTriplet);for (Triplet<Class, String, String> triplet : roleList) {System.out.println(triplet);} }} 存储数据结构如下： 本篇文章为转载内容。原文链接：https://blog.csdn.net/qq_35006663/article/details/100301416。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...jacob-1.19版本 2、jdk1.8 64位（经过测试jacob.1.19支持64为jdk）； 3、将jacob.jar 放入项目 WEB-INFO/lib下导入： 4、将jacob-1.19-x64.dll 放入64位 jre/bin目录下，我的是：D:\java\jdk1.8.0_101\jre\bin； 5、将中控考勤机sdk 的dll文件全部放入 c:\windows\system32 目录下 6、运行cmd 注册zkemkeeper.dll --->regsvr32 c:\windows\system32\zkemkeeper.dll (也可以使用 自动注册.bat) 7、成功后如下提示：会有弹框 8、已经配置完毕，进行代码测试： //zkemkeeper.ZKEM.1 为zkemkeeper.dll 注册成功后 在注册表可以查看：HKEY_CLASSES_ROOT最下面 package com.zsplat.zke;import com.jacob.activeX.ActiveXComponent;/ @ClassName:${type_name} @Description:${todo}(考勤机连接测试) @author: ZHOUPAN @date ${date} ${time} @Copyright: 2018 www.zsplat.com Inc. All rights reserved. ${tags}/public class ZkemSDK {private static ActiveXComponent zkem = new ActiveXComponent("zkemkeeper.ZKEM.1");/ 链接考勤机 @param address 考勤机地址 @param port 端口号 @return/public boolean connect(String address, int port) {boolean result = zkem.invoke("Connect_NET", address, port).getBoolean();return result;}/ 断开考勤机链接/public void disConnect() {zkem.invoke("Disconnect");}public static void main(String[] args) {ZkemSDK sdk = new ZkemSDK();boolean connFlag = sdk.connect("192.168.1.201", 4370);System.out.println("conn:"+connFlag);} } 9、输出结果为true ,考勤机链接成功 　　 送您一个最高1888元的阿里云大礼包，快来领取吧~ 转载于:https://www.cnblogs.com/zhou-pan/p/9365256.html 本篇文章为转载内容。原文链接：https://blog.csdn.net/weixin_30624825/article/details/98905089。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...MyService.class, serverUrl); String result = service.process("Hello", "World"); // 这里第二个参数应该是int类型，而非String类型，会导致IllegalArgumentException 3. “IllegalArgumentException：传入参数不合法”问题解析 上述代码中的客户端尝试以一个字符串参数代替整型参数去调用process方法，这就导致了"IllegalArgumentException"。在进行序列化和反序列化的时候，Hessian这家伙发现传过来的参数类型跟预先给定的方法签名对不上号儿，于是它就毫不客气地抛出了一个异常。 4. 解决方案及预防措施 面对这种问题，我们需要从以下几个方面着手： 4.1 检查并确保参数类型正确 在编写客户端调用代码时，应仔细核对每个参数是否符合服务端方法签名的要求。比如上例中，我们需要将第二个参数修改为整型数值： java String result = service.process("Hello", 123); // 正确的调用方式 4.2 强化代码审查与测试 在项目开发过程中，建议采用自动化测试工具和单元测试，覆盖所有RPC方法调用，确保参数类型的准确无误。同时，代码审查也是防止此类问题的有效手段。 4.3 提供清晰的API文档 对于对外提供的服务接口，应该编写详尽且易于理解的API文档，明确指出每个方法的签名，包括方法名、参数类型和返回值类型，以便开发者在调用时有据可依。 4.4 利用IDE的智能提示 现代集成开发环境（IDE）如IntelliJ IDEA或Eclipse都具有强大的智能提示功能，能自动识别和匹配方法签名，利用好这些特性也能有效避免参数类型不匹配的问题。 总结起来，遭遇HessianRPC的“IllegalArgumentException：传入参数不合法”异常，本质上是对方法签名的理解和使用不到位的结果。在编程实战中，只要我们足够细心、步步为营，像侦探破案那样运用各种工具和策略，完全可以把这些潜在问题扼杀在摇篮里，让系统的运行稳如磐石。记住了啊，解决任何技术难题都得像咱们看侦探小说那样，得瞪大眼睛仔仔细细地观察，用脑子冷静地分析推理，动手实践去验证猜想，最后才能拨开层层迷雾，看到那片晴朗的蓝天。

...RocketMQ软件版本与服务器环境不兼容：问题、影响与解决策略 1. 引言 --- 在分布式消息中间件的世界里，Apache RocketMQ凭借其高性能、高可靠和灵活扩展的特性赢得了众多开发者们的青睐。然而，在实际动手部署和使用的时候，我们可能会碰上这么个情况：RocketMQ的软件版本跟服务器环境玩不来，就是说它们之间存在兼容性问题。这种状况不仅可能让RocketMQ运行起来磕磕绊绊，甚至可能会对整个系统架构产生难以预料的影响，就像一颗定时炸弹，随时可能给整个系统带来意想不到的“惊喜”。本文将通过生动的示例代码和探讨性话术，深入剖析这个问题，并给出相应的解决方案。 2. 问题现象与影响 --- 现象描述 假设你正在尝试在一个Java 8环境中运行RocketMQ 4.9.x版本（该版本需要Java 11及以上环境），此时你可能会遭遇如下错误： java Exception in thread "main" java.lang.UnsupportedClassVersionError: org/apache/rocketmq/client/producer/DefaultMQProducer : Unsupported major.minor version 55.0 这个错误提示表明了RocketMQ客户端类库与当前Java运行时环境的不兼容性。 影响分析 这种版本不兼容问题会导致RocketMQ无法启动，进而影响到依赖于RocketMQ的消息传递功能，比如订单处理、日志收集、数据同步等核心业务流程。另外，要是消息队列服务突然罢工了，那可能会拖累整个系统的运行速度，甚至可能像多米诺骨牌一样引发一连串的故障。这样一来，咱们系统的稳定性和可用性可就要大大地打折扣了。 3. 原因探究 --- 问题的根本原因在于软件组件版本之间的依赖关系没有得到妥善处理。比如说，就拿RocketMQ的新版本举个例子吧，它可能开始用上了JDK更新版里的一些酷炫新特性。不过呢，你要是还用着老版本的JDK，那可就尴尬了，因为它压根儿还没法支持这些新玩意儿，这样一来，两者就闹起了“兼容性”的小矛盾咯。 4. 解决策略 --- 面对此类问题，我们可以从以下几个方面进行解决： - 升级服务器环境：根据RocketMQ官方文档的要求，更新服务器上的Java版本以满足RocketMQ软件的需求。例如，将Java 8升级至Java 11或更高版本。 bash 在Linux环境下升级Java版本 sudo apt-get update sudo apt-get install openjdk-11-jdk - 选择合适RocketMQ版本：如果由于某些原因不能升级服务器环境，那么应选择与现有环境兼容的RocketMQ版本进行安装和部署。在Apache RocketMQ的GitHub仓库或官方网站上，可以查阅各个版本的详细信息及其所需的运行环境要求。 - 保持版本管理和跟踪：建立完善的软件版本管理制度，确保所有组件能够及时进行更新和维护，避免因版本过低引发的兼容性问题。 5. 总结与思考 --- 在日常开发和运维工作中，我们不仅要关注RocketMQ本身的强大功能和稳定性，更要对其所依赖的基础环境给予足够的重视。要让RocketMQ在实际生产环境中火力全开，关键得把软硬件版本之间的依赖关系摸得门儿清，并且妥善地管好这些关系，否则它可没法展现出真正的实力。同时呢，这也让我们在捣鼓和搭建那些大型的分布式系统时，千万要记得把“向下兼容”原则刻在脑子里。为啥呢？因为这样一来，咱们在给系统升级换代的时候，就能有效地避免踩到潜在的风险雷区，也能省下不少不必要的开销，让整个过程变得更顺溜、更经济实惠。 以上内容仅是针对RocketMQ版本与服务器环境不兼容问题的一个浅显探讨，具体实践中还涉及到更多细节和技术挑战，这都需要我们不断学习、实践和总结，方能在技术海洋中游刃有余。

...ool可以方便的进行文件类型的判断、唯一id（uuid，Snowflake）的生成、数据加密解密、二维码生成、图片加水印、BASE64编码解码、图片验证码等操作 集合 使用Arrays.asList()返回的list为数组的内部list，只允许遍历不允许增删，可以使用Stream流转换为list Collection和map对于仅遍历可以使用增强for循环和，但如果有删除为避免错误必须使用迭代器 foreach遍历不允许改变变量的地址，java的参数是值传递，修改了形参的地址并不影响原来的参数，故即使你修改了值也不会同步到原变量中，故操作的变量都显式或者隐式的定义为final JSON fastjson parseArray(String text, Class<T> clazz) 解析List parseObject(String text, Class<T> clazz) 解析Object JSON对于null、空白字符串、“null”会返回nullif (text == null) {return null;} else {DefaultJSONParser parser = new DefaultJSONParser(text, ParserConfig.getGlobalInstance());JSONLexer lexer = parser.lexer;int token = lexer.token();ArrayList list;if (token == 8) {lexer.nextToken(); // nextToken() => ...if ("null".equalsIgnoreCase(ident)) this.token = 8;list = null;} } String toJSONString(Object object) 将对象转为String toJSONBytes(Object object, SerializerFeature... features) 将对象转为byte[] @JSONField() 可以忽略字段serialize ，别名映射name，日期格式化format等 jackson @JsonFormat(pattern = "yyyy-MM-dd HH:mm:ss") 设置Date到前台的格式 @JsonIgnore SpringMVC不会向前台传递该字段 ObjectMapper mapper = new ObjectMapper();String str = mapper.writeValueAsString(admin); // 对象转JSON字符串mapper.readValue(s,Admin.class ); // JSON字符串转对象 EasyExcel 官方API https://www.yuque.com/easyexcel/doc 使用类注解@ExcelIgnoreUnannotated配合@ExcelProperty操作 @ExcelProperty可以指定表头列名，列顺序和表头的合并 @ColumnWidth(10)可以指定列宽，其长度约为(中文length3+英文length1) @DateTimeFormat(value="yyyy-MM-dd HH:mm:ss")可以指定日期格式 自定义策略实现SheetWriteHandler工作表回调接口，在afterSheetCreate()工作表创建之后方法可以 设置列宽 自定义表头 新建单元格 自定义策略实现RowWriteHandler行回调接口，在afterRowDispose()行操作完之后方法可以 设置行高 设置行样式 自定义策略实现CustomerCellHandler单元格回调接口，在afterCellDispose()单元格操作完之后方法可以 根据行号，列宽甚至是单元格的值来设置单元格样式 可以对单元格的值获取和修改 样式通常包括内容格式、批注、背景色、自动换行、平和垂直居中、边框大小和颜色、字体实例（格式，颜色，大小，加粗等）等 自定义策略继承AbstractMergeStrategy单元格合并抽象类，在merge()方法中可以通过CellRangeAddress合并单元格 过于复杂的表格可以使用模板，配合写出write和填充fill一起使用 Mybatis 在mapper方法的@select中也是可以直接书写动态SQL的，但要使用<script></script>包裹，这样就不用在java文件和xml文件切换了，将@select中包裹的代码直接放到浏览器的控制台输出后会自动转义\n,\t,+,"等 动态sql中“<” 和 “>” 号要用转义字符 “<” 和 ”>“ （分号要带） 动态sql中test中表达式通常使用 test=“id != null and id != ‘’”，要注意的是字符串不能直接识别单引号，有两种方法使用id==“1001"或者id==‘1001’.toString()，另外参数如果是boolean，可以直接使用test=”!flag"，如果判定集合的话可以使用 test=“list != null and list.size>0” 返回数据类型为Map只能接收一条记录，字段为键名，字段值为值，但通常是用实体类接收，或是使用注解@MapKey来进行每条记录的映射，效果等同于List用Stream流转Map foreach遍历list collection=“list” item=“vo” separator="," open="(" close=")"> {vo.id} foreach遍历map collection=“map” index=“key” item=“value”，{key}获取建，{value}获取值，$亦可 collection=“map.entrySet()” index=“key” item=“value”，同上 collection=“map.keys” item=“key”，{key}为键 不要使用where 1=1，使用动态where拼接，会自动剔除where后多余的and和or 单个参数时无论基本和引用并且未使用在动态SQL可以不加参数注解@Param，但一旦参数大于一个或者参数在动态SQL中使用就必须加@Param 并不是直接把参数加引号，而是变成?的形式交给prepareStatement处理，$直接使用值，当ORDER BY诸如此类不需要加引号的参数时，使用$代替，但为避免sql注入，该参数不能交由用户控制 Plus 官方API https://baomidou.com/guide/ @TableName 表名 @TableField(strategy = FieldStrategy.IGNORED) 更新不会忽略NULL值 @TableField(exist = false)表明该字段非数据字段，否则新增更新会报错 MybatisPlus对于单表的操作还是非常优秀的，在对单表进行新增或者更新的时候经常使用，但对于单表的查询业务上很少出现仅仅查询一张表的情况，但也会有，如果条件不大于3个还是可以使用的，多了倒没有直接写SQL来的方便了 MybatisPlus的批量插入也是通过for循环插入的，还是建议使用Mybatis的动态foreach进行批量插入 MybatisPlus的分页器会对方法中的参数判断，如果存在分页对象就先查询总数看是否大于0，然后拼接当前的数据库limit语句，所以如果我们分页对象为null，就可以实现不分页查询 Object paramObj = boundSql.getParameterObject();IPage page = null;if (paramObj instanceof IPage) { ……public static String getOriginalCountSql(String originalSql) {return String.format("SELECT COUNT(1) FROM ( %s ) TOTAL", originalSql);} ……originalSql = DialectFactory.buildPaginationSql(page, buildSql, dbType, this.dialectClazz); ……public String buildPaginationSql(String originalSql, long offset, long limit) {StringBuilder sql = new StringBuilder(originalSql);sql.append(" LIMIT ").append(offset).append(",").append(limit);return sql.toString();} IDEA 插件 Lombok : 快速生成getter、setter等 Alibaba Java Coding Guidelines ：阿里规约扫描 Rainbow Brackets ：彩色括号 HighlightBracketPair ：高亮提示 MyBatisX ：mabatisPlus提供的xml和mapper转换的插件，小鸟图标 CamelCase ：大小写、驼峰、下划线、中划线转换插件 使用shift+Alt+u进行转换（很方便） 可以在Editor中设置CamelCase的转换，一般只保留下划线和驼峰两种 String Manipulation ：字符串工具（未使用） RestfulToolkit http ：Restful请求工具 打开idea，在右侧边栏会有一个标签（RestServices），打开可以看到里面是url路径 ctrl+\或者ctrl+alt+n会检索路径 Ctrl + Enter格式化json 没有记忆功能，也不能加token，只是查找请求路径使用 easycode ：代码生成工具（个人觉得很好用，常用于生成实体类） 支持自定义模板 支持添加自定义列，不影响数据库 支持多表同时生成 支持自定义类型映射 支持配置导入导出 支持动态调试 支持自定义属性 Power Mode 11 ：打字特效（纯属装逼） Nyan Progress Bar ：漂亮的进度条（纯属装逼） Other Vo：数据持久化模型 Query：数据查询模型 Dto：数据传输模型 本篇文章为转载内容。原文链接：https://blog.csdn.net/qq_40910781/article/details/111416185。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...它无需依赖任何CSS文件或复杂的canvas技术，仅使用基本的HTML和JavaScript即可实现功能。这款插件的一大亮点在于其出色的兼容性，能够完美运行于较旧版本的InternetExplorer（如IE8），这使得它在各种设备和浏览器环境下都能稳定工作。无论是用于网站装饰还是作为用户体验的一部分，analogClock.js都以其轻量级和易用性脱颖而出，满足了开发者对跨平台应用的需求。通过简单的调用和配置，你就能轻松地将一个美观实用的模拟时钟嵌入到你的网页中，为用户提供时间参考的同时也增添了一抹趣味。 点我下载 文件大小：11.58 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...。这款插件具备出色的兼容性，能够支持从IE8及以上版本的各种现代浏览器。在实际应用中，当用户点击或聚焦到表单的输入字段时，与该字段相关联的label标签会以流畅的动画效果滑动至输入域的上方，既节约了空间又增强了视觉提示，使表单更加简洁且直观易用。这一创新的交互模式不仅有助于提高用户的填写效率，还为网页设计师提供了优雅且实用的表单设计解决方案。通过集成FlowupLabels.js到项目中，开发者可以轻松实现专业级别的表单布局和动态反馈效果，进一步提升网站的整体用户体验。 点我下载 文件大小：46.81 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...证了功能上的易用性和兼容性，确保在多种主流浏览器环境下（如支持CSS3动画的Chrome、Firefox及部分版本的InternetExplorer）都能提供一致的良好体验。使用jQuery.dropdown可以轻松实现对传统下拉框样式的替换，并且开发者可以根据项目需求自定义各种主题和动画效果，从而打造出符合现代Web设计潮流且高度定制化的表单界面。 点我下载 文件大小：109.49 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...件。该插件以其卓越的兼容性和实用性受到广泛关注，它能够支持从IE8及以上版本的所有主流浏览器，确保在不同设备和浏览器环境下提供一致且流畅的用户体验。通过集成Megamenu.js，开发人员可以轻松实现具有动态过渡效果的复杂下拉菜单结构，这些动画效果借助于jQuery强大的动画引擎得以生动展现。其核心特色在于对响应式布局的良好支持，使得菜单能够在不同屏幕尺寸下智能地调整布局与样式，无论是桌面大屏还是移动小屏，都能保证用户能够便捷地访问网站的各级导航链接。此外，Megamenu.js还具备无缝对接WordPress平台的能力，开发者可以直接在WordPress主题中使用此插件，快速创建出功能强大、视觉效果出众的响应式大型导航菜单，从而提升整个网站的交互性和可用性。 点我下载 文件大小：401.00 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...，同时也兼顾了浏览器兼容性问题，确保在包括低版本IE在内的多种浏览器中都能够顺畅运行。此插件适用于需要动态切换和展示多张图片或内容片段的场景，如产品展示、新闻轮播或案例集锦等，使用户在浏览过程中享受到犹如3D旋转木马般流畅且富有层次的切换效果。简洁而强大的API设计使得开发者可以轻松定制和集成到各类项目中，提升用户体验与交互乐趣。 点我下载 文件大小：1.55 MB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。