[利用CSS设计自定义横向下拉菜单背景 ]的搜索结果

...动画的例子： css $("myButton").on("click", function(){ $(this).animate({ backgroundColor: "red", fontSize: "2em" }, 1000); }); 在这个例子中，我们首先获取了id为"myButton"的元素，并给它添加了一个click事件处理函数。嘿，你知道吗，在这个函数里头，我们捣鼓了一下，给它调用了个叫做animate的玩意儿。这样一来，元素的背景颜色就像变魔术一样瞬间转为了火红，字体大小也立马放大到了两倍em。而且，为了让这个变化过程更带感，我们还特意给它设置了1秒钟的动画持续时间，是不是很酷炫啊？ 三、鼠标点动画的应用场景 鼠标点动画在很多地方都有应用，下面我举几个例子： 1. 按钮切换功能 当我们点击一个按钮时，我们可以使用鼠标点动画来展示按钮的切换效果。比如，咱们可以让这个按钮，在被点按时玩个“捉迷藏”的游戏，先悄悄地溜一会儿，过会儿再神不知鬼不觉地蹦出来。 2. 图片缩放功能 当我们点击一个图片时，我们可以使用鼠标点动画来放大图片。这样可以让用户更清楚地看到图片的细节。 3. 动画游戏 我们还可以使用鼠标点动画来制作一些有趣的动画游戏，例如打砖块游戏、泡泡龙游戏等等。 四、鼠标点动画的优点 使用鼠标点动画有很多优点，下面我列举几点： 1. 提升用户体验 鼠标点动画可以为用户提供更好的交互体验，使网页更加生动有趣。 2. 增强视觉冲击力 鼠标点动画可以为网页增加一些视觉冲击力，使网页更具吸引力。 3. 简化代码 相比手动编写CSS动画，使用JQuery的animate函数可以使代码更加简洁明了。 总的来说，鼠标点动画是一种非常好用且有趣的JQuery插件，可以帮助我们快速实现各种动画效果。甭管你是捣鼓网站还是鼓捣游戏，都可以试试在里头加点鼠标点击动画，这样一来，用户体验绝对能蹭蹭往上涨！希望大家在实践中能够更好地理解和掌握它！

...网红钟表的基本结构，定义了时钟各部分的div元素及其属性。 CSS3 , 层叠样式表第3级（Cascading Style Sheets Level 3），是CSS规范的一个版本，为网页提供丰富的样式控制，包括颜色、布局、字体和动画等效果。文中作者运用CSS3技术设计了网红钟表的样式，例如设置背景色、边框圆角、定位以及旋转动画等，以达到时尚且实用的视觉效果。 JavaScript , 一种广泛应用于网页客户端编程的解释型脚本语言，它使得网页能够对用户交互做出响应并实现动态更新。在这篇文章中，JavaScript代码负责获取系统当前时间，并计算出时针、分针和秒针应有的旋转角度，然后通过修改DOM元素的style.transform属性值，实时更新HTML中的钟表指针位置，从而实现了动态显示时间的功能。 setInterval , JavaScript内置函数，用于按照指定的毫秒间隔重复执行某段函数。文中，setInterval被用来每秒钟调用一次setTime函数，确保了网红钟表能持续获取并反映当前的准确时间。 transform: rotate , CSS3中的transform属性及rotate方法，允许开发者对元素进行2D或3D变换操作。在文章中，作者利用transform: rotate($ angle deg)这一CSS规则来动态改变时钟指针（小时、分钟、秒针）的旋转角度，使其能够随时间变化而转动。

...头中的border：CSS的巧妙运用 在前端开发中，我们常常会遇到需要对HTML表格进行样式定制的情况，例如本文要探讨的主题——如何通过CSS来去掉element table表头（thead）中的border。来吧，伙伴们，咱们一起捣鼓这个乍一看简简单单，实则内含无数惊喜的问题。我打算带着大家伙儿，手把手，通过实实在在的代码实例，一步步把这问题的庐山真面目给揭开，怎么样？够生活化了吧，可没一点AI那冷冰冰的味道了！ 1. 理解问题背景 首先，我们需要理解HTML中的 元素结构以及相关CSS属性。一个典型的表格呢，通常是由几个关键部分拼接起来的，就好比是搭建积木一样，需要用到 2. 直接针对表头设置CSS样式 、 、 还有 这些小部件。其中，这个 就相当于咱们在搭积木时用来稳固框架的部分，它专门负责给表格定义那个最上方的表头部分，明白吧？就是放标题那些格子的地方哈。默认情况下，所有单元格之间都会有边框线（border），包括表头部分。然而，在实际做项目的时候，我们可能想要耍个小花招，只把表头部分的边框去掉，就是为了实现某种特别的设计效果。 示例一：html Header 1 Header 2 在这个例子中，我们直接针对thead th设置了border: none，这样可以快速有效地去掉表头的边框。 3. 细化处理，精准定位表头间的边框 但有时候，我们可能只想移除表头内部单元格之间的边框，而非整个表头的边框。这时候，我们可以利用CSS选择器以及border-spacing和border-style属性进行更为细致的控制。 示例二： html Header 1 Header 2 在此示例中，我们精细地控制了表头各单元格间的边框，从而实现了只去除表头内部边框的效果。 4. 思考与讨论 在实际开发过程中，解决这类问题的关键在于对CSS选择器和边框属性的灵活运用。有时候啊，你可能会碰上一些更棘手的需求，就像是这样：根据屏幕大小的变化，灵活决定边框到底显示还是隐藏。这就像是在给不同身材的人挑选衣服一样，要懂得灵活变通，该显瘦的地方显瘦，该隐藏的地方隐藏，你说是不是这个理儿？在这种情况下，你可以尝试耍个小聪明，利用CSS媒体查询这个神器来进一步微调你的样式规则。这样一来，甭管在什么场景下，都能妥妥地呈现出最理想的视觉效果。 总的来说，使用CSS定制element table表头的border样式不仅能够满足设计需求，更能锻炼我们对CSS技术的掌握与应用能力。每一次成功地把那些不必要的边框“踢”掉，都是我们朝着“代码之美”的理想境界欢快地蹦跶一小步。在这个过程中，不断去摸索、动手实践然后总结经验教训，这绝对能让我们的前端技术修炼得更加出神入化，就像炉火熬炼铁块一样，越烧越纯熟，越来越精进。

...优化解决方案。例如，CSS的新特性Scroll Snap旨在提高滚动体验的一致性和可控性，通过scroll-snap-type和scroll-snap-align等属性来定义滚动容器内的元素如何对齐和捕捉，使得用户在浏览横排表格或列表时能更准确地定位到目标内容。 另外，随着iPhone和iPad Pro等iOS设备引入ProMotion技术，支持120Hz高刷新率屏幕，滚动效果的平滑度成为新的关注点。开发者可以利用CSS的@media查询针对高刷新率设备优化滚动行为，确保滚动条的动画更为流畅自然。 此外，为了进一步提升移动端用户体验，现代Web框架如React、Vue等也在滚动优化方面做了很多工作，提供了虚拟滚动（Virtual Scrolling）等功能，只渲染可视区域的内容，大幅降低了大数据量场景下的内存占用和渲染性能开销，使得即便是包含大量数据的横向表格也能实现快速流畅的滚动浏览。 综上所述，解决移动设备上的滚动问题不仅涉及样式属性的合理运用，也与紧跟Web技术发展趋势、采用最新前端框架特性密切相关，这要求开发者不断学习新技术、新策略以适应日益增长的移动端交互需求。

...nts标准的进步，对自定义属性（Custom Properties）的支持也在不断深化。例如，最近W3C发布的CSS自定义属性（也称CSS变量），允许开发者在CSS中定义并使用自己的属性，这一特性与React中的非标准属性相结合，可以进一步提升代码组织结构和复用性。 与此同时，React 18新版本即将推出的“并发模式”和“Suspense for Data Fetching”，使得数据加载和渲染逻辑更为灵活。在这一背景下，如何巧妙结合非标准属性进行状态管理及优化用户界面更新，成为了React社区热议的话题。例如，开发者可以通过自定义属性传递数据加载状态，在组件内部根据这些属性智能地展示加载提示或占位符，以提供更流畅的用户体验。 此外，针对无障碍性问题，最新的WCAG 2.1指南中，对ARIA角色和属性的使用提出了更为详尽的要求，这也提醒我们在利用非标准属性定制功能时，要充分考虑无障碍访问的需求，确保所有用户都能有效使用我们的应用程序。 综上所述，非标准属性作为React开发的重要手段，正随着技术和标准演进而发挥着愈发关键的作用，深入理解和合理应用非标准属性，将有助于我们构建出更加高效、灵活且具有包容性的现代Web应用。

...提升性能并简化API设计。例如，GitHub就全面采用了GraphQL API以支持其庞大的开发者社区，用户可以自定义请求获取精确的数据组合，大大提升了用户体验和资源利用率。 同时，随着前端开发技术的发展，诸如React、Vue等现代框架与GraphQL的结合也越来越紧密。许多项目如Urql、Apollo Client等提供了与这些框架深度集成的解决方案，使得前端开发者能更便捷地管理和缓存GraphQL查询结果。 此外，对于关心安全性及合规性的团队，GraphQL提供了一种类型安全的方式进行数据交换，并可通过中间件实现权限控制和验证逻辑。近期一篇来自GraphQL官方博客的文章，详尽探讨了如何在GraphQL架构中实施细粒度的安全策略，值得进一步阅读研究。 总的来说，GraphQL不仅是一种查询语言，更是一种全新的API设计理念。在追求高效、灵活和高性能数据交互的时代背景下，掌握和应用GraphQL无疑将为开发者们带来更大的竞争优势。

...作的创新研究。该研究利用最新版本的OpenCV库，成功实现了对多个Basler摄像机的同时控制和图像数据同步采集，有效提升了大规模智能监控系统的响应速度和处理能力。研究者指出，尽管许多高端设备提供SDK以实现更深度的定制化操作，但OpenCV的通用性和便捷性使得其在快速原型搭建和中小规模项目中具有显著优势。 此外，在工业4.0的大背景下，基于GigE Vision协议的网络摄像机因其实现远程传输、高速稳定的数据通信以及易于集成的特点，正在智能制造领域发挥日益重要的作用。例如，某知名汽车制造企业就采用Basler系列摄像机结合自定义软件，实时监测产线关键环节的质量问题，并通过AI算法进行缺陷检测，大大提高了生产效率和产品质量。 同时，随着5G技术的广泛应用，未来网络摄像机将在低延迟、高带宽的无线环境下展现出更大的潜力。目前，全球范围内已有多家企业开始研发基于5G技术的智能网络摄像机解决方案，旨在打造全连接、云化的监控与分析平台，为智慧城市、智慧交通等领域提供更多可能。 综上所述，无论是从软件开发层面优化IP配置与参数调整，还是探索摄像机在不同应用场景下的整合与创新，网络摄像机的实用价值和发展空间正不断被拓宽。持续关注这一领域的技术进步与实践案例，将有助于我们更好地适应并引领这个万物互联的时代潮流。

...按钮，它在咱们的界面设计里可常见了！你比如说，你玩的那些APP或者网站，有时候会有一个按钮让你选择“开”还是“关”，对吧？这个按钮就是咱们说的elswitch啦！它主要是用来帮咱们切换不同的功能状态，就像是你想打开某个设置或者关闭某个功能，只需要轻轻一点，就搞定啦！是不是挺方便的？本文将详细介绍如何在elswitch中实现禁用状态，包括原理、步骤和实际代码示例。 二、原理与步骤 实现elswitch的禁用状态主要涉及以下几个步骤： 1. 设置组件属性 通过组件的属性来控制其状态。 2. 使用逻辑判断 根据应用逻辑判断是否启用或禁用开关。 3. CSS样式调整 通过CSS来改变禁用状态下的视觉效果。 三、代码实现 下面，我们将通过一个具体的示例来展示如何在elswitch中实现禁用状态。 html 这段代码展示了如何通过v-model来绑定elswitch的状态，并通过:disabled属性来控制其是否可操作。哎呀，你懂的，当isDisabled这个开关打到'真'的时候，elswitch就彻底不能用了，就像手里的遥控器突然没电了一样。 四、禁用状态的CSS调整 为了使禁用状态更加直观，我们可以自定义CSS样式来改变开关的颜色和外观。以下是一个简单的CSS示例： css / 为禁用状态的elswitch添加样式 / .el-switch__core { background-color: ccc; } .el-switch__track { background-color: ddd; } 这个CSS代码块为禁用状态下的elswitch添加了灰色背景色，使得用户可以清楚地识别出当前开关处于禁用状态。 五、逻辑判断与应用 在实际应用中，我们可能需要根据不同的条件来动态改变开关的禁用状态。例如，根据用户的权限或者系统状态来决定是否允许操作。这里，我们可以使用Vue的计算属性或方法来进行逻辑判断： javascript computed: { isDisabled() { // 假设当用户权限低于某个值时不启用开关 if (this.userPermission < 5) { return true; } return false; } }, 六、小结 通过上述步骤和代码示例，我们不仅能够实现elswitch的禁用状态，还能根据应用需求动态调整开关的可用性。这不仅提高了用户体验，也增强了界面的灵活性。嘿，兄弟！你得明白，在真正做开发的时候，灵活运用和调整这些功能特性，可是一把打造既高效又让人心情愉悦的用户界面的神器！别死板地套用规则，要根据实际业务需求来，这样你的作品才能既实用又吸引人！记得，创新与适应性并重，这样才能在设计界站稳脚跟，赢得用户的青睐！

...多个功能区域。 - 菜单栏（1）：位于页面顶部，如同烹饪中的调料架，包含了文件管理、新建报表、保存、加载等多种基本操作选项，帮助你在数据世界中导航自如。 - 工作区（2）：占据页面中央的核心位置，这是你施展分析技巧的主要舞台，可以在此创建新的查询，查看并编辑现有的多维数据集，就像在画布上绘制一幅幅数据图像。 - 维度/度量区（3）：位于工作区左侧，就好比你的工具箱，里面装满了各种维度（如时间、地点等分类标签）和度量（如销售额、客户数等数值指标），你可以拖拽它们至中间的查询设计面板，构建出复杂的数据视图。 - 结果展示区（4）：当你完成查询设计并执行后，结果显示在右侧区域，像是一块实时更新的数据仪表盘，可能是一个表格、一张图表或者一个自定义的透视表，直观地呈现你的分析成果。 - 过滤器面板（5）：有时候，你需要对全局数据进行精细化筛选，这时就可以借助过滤器面板，就如同戴上一副透视眼镜，只看你想看的那一部分数据。 3. 深度探究功能 Saiku还提供了丰富的交互式探索功能，例如，你可以在结果展示区直接对数据进行排序、筛选、钻取等操作，系统会立即响应并动态更新视图，这种即时反馈的体验犹如与数据进行一场即兴对话。 另外，Saiku支持用户自定义公式、设置计算成员以及保存个性化视图，这些高级功能仿佛为你配备了一套强大的数据处理装备，助你在浩瀚的数据海洋中挖掘出更有价值的信息。 总结来说，Saiku的界面设计以用户体验为核心，通过清晰明了的功能分区和直观易用的操作方式，让每一位用户都能轻松驾驭复杂的业务数据，享受数据驱动决策带来的乐趣与便利。这可不只是个普通工具，它更像是一个舞台，让你能和数据一起跳起探戈。每当你点击、拖拽或选择时，就像是在未知世界的版图上又踩下了一小步，离它的秘密更近一步，对它的理解也更深一层。

...安全大赛，我们自身在设计、引导比赛的形式规则的同时，也在做着反思和探究，直接研判诸多方面潜在风险，以及透过业界三方的出题和解题案例分享，展示了行业内一线玩家对问题、解决方案实体化的思路（参见：篇1、篇2、篇3、篇4、篇5。另外，根据近期的一些历史事件，也做了一些深挖和联想，考虑恶意的上游开发者，如何巧妙（或者说，处心积虑）地将问题引入，并在当前的软件供应链生态体系中，造成远比表面上看起来要深远得多的影响（参见：《深挖CVE-2018-10933（libssh服务端校验绕过）兼谈软件供应链真实威胁》）。 以上这些，抛开体系化的设想，只看案例，可能会得到这样的印象：这种威胁，都是由蓄意的上游或第三方参与者造成的；即便在最极端情况下，假使一个大型软件商或开源组织，被发现存在广泛、恶意的上游代码污染，那它顶多也不过相当于“奥创”一样的邪恶寡头，与其划清界限、清除历史包袱即可，虽然可能有阵痛。 可惜，并非如此。 在我们组织比赛的后半程中，对我们面临的这种威胁类型，不断有孤立的事例看似随机地发生，对此我以随笔的方式对它们做了分析和记录，以下与大家分享。 Ⅰ. 从感染到遗传：LibVNC与TightVNC系列漏洞 2018年12月10日晚9:03，OSS漏洞预警平台弹出的一封漏洞披露邮件，引起了我的注意。披露者是卡巴斯基工控系统漏洞研究组的Pavel Cheremushkin。 一些必要背景 VNC是一套屏幕图像分享和远程操作软件，底层通信为RFB协议，由剑桥某实验室开发，后1999年并入AT&T，2002年关停实验室与项目，VNC开源发布。 VNC本被设计用在局域网环境，且诞生背景决定其更倾向研究性质，商用级安全的缺失始终是个问题。后续有若干新的实现软件，如TightVNC、RealVNC，在公众认知中，AT&T版本已死，后起之秀一定程度上修正了问题。 目前各种更优秀的远程控制和分享协议取代了VNC的位置，尽管例如苹果仍然系统內建VNC作为远程方式。但在非桌面领域，VNC还有我们想不到的重要性，比如工控领域需要远程屏幕传输的场景，这也是为什么这系列漏洞作者会关注这一块。 漏洞技术概况 Pavel总结到，在阶段漏洞挖掘中共上报11个漏洞。在披露邮件中描述了其中4个的技术细节，均在协议数据包处理代码中，漏洞类型古典，分别是全局缓冲区溢出、堆溢出和空指针解引用。其中缓冲区溢出类型漏洞可方便构造PoC，实现远程任意代码执行的漏洞利用。 漏洞本身原理简单，也并不是关键。以其中一个为例，Pavel在发现时负责任地向LibVNC作者提交了issue，并跟进漏洞修复过程；在第一次修复之后，复核并指出修复代码无效，给出了有效patch。这个过程是常规操作。 漏洞疑点 有意思的是，在漏洞披露邮件中，Pavel重点谈了自己对这系列漏洞的一些周边发现，也是这里提到的原因。其中，关于存在漏洞的代码，作者表述： 我最初认为，这些问题是libvnc开发者自己代码中的错误，但看起来并非如此。其中有一些（如CoRRE数据处理函数中的堆缓冲区溢出），出现在AT&T实验室1999年的代码中，而后被很多软件开发者原样复制（在Github上搜索一下HandleCoRREBPP函数，你就知道），LibVNC和TightVNC也是如此。 为了证实，翻阅了这部分代码，确实在其中数据处理相关代码文件看到了剑桥和AT&T实验室的文件头GPL声明注释，中国菜刀 这证实这些文件是直接从最初剑桥实验室版本VNC移植过来的，且使用方式是 直接代码包含，而非独立库引用方式。在官方开源发布并停止更新后，LibVNC使用的这部分代码基本没有改动——除了少数变量命名方式的统一，以及本次漏洞修复。通过搜索，我找到了2000年发布的相关代码文件，确认这些文件与LibVNC中引入的原始版本一致。 另外，Pavel同时反馈了TightVNC中相同的问题。TightVNC与LibVNC没有继承和直接引用关系，但上述VNC代码同样被TightVNC使用，问题的模式不约而同。Pavel测试发现在Ubuntu最新版本TightVNC套件（1.3.10版本）中同样存在该问题，上报给当前软件所有者GlavSoft公司，但对方声称目前精力放在不受GPL限制的TightVNC 2.x版本开发中，对开源的1.x版本漏洞代码“可能会进行修复”。看起来，这个问题被踢给了各大Linux发行版社区来焦虑了——如果他们愿意接锅。 问题思考 在披露邮件中，Pavel认为，这些代码bug“如此明显，让人无法相信之前没被人发现过……也许是因为某些特殊理由才始终没得到修复”。 事实上，我们都知道目前存在一些对开源基础软件进行安全扫描的大型项目，例如Google的OSS；同时，仍然存活的开源项目也越来越注重自身代码发布前的安全扫描，Fortify、Coverity的扫描也成为很多项目和平台的标配。在这样一些眼睛注视下，为什么还有这样的问题？我认为就这个具体事例来说，可能有如下两个因素： ·上游已死。仍然在被维护的代码，存在版本更迭，也存在外界的持续关注、漏洞报告和修复、开发的迭代，对于负责人的开发者，持续跟进、评估、同步代码的改动是可能的。但是一旦一份代码走完了生命周期，就像一段史实一样会很少再被改动。 ·对第三方上游代码的无条件信任。我们很多人都有过基础组件、中间件的开发经历，不乏有人使用Coverity开启全部规则进行代码扫描、严格修复所有提示的问题甚至编程规范warning；报告往往很长，其中也包括有源码形式包含的第三方代码中的问题。但是，我们一方面倾向于认为这些被广泛使用的代码不应存在问题（不然早就被人挖过了），一方面考虑这些引用的代码往往是组件或库的形式被使用，应该有其上下文才能认定是否确实有可被利用的漏洞条件，现在单独扫描这部分代码一般出来的都是误报。所以这些代码的问题都容易被忽视。 但是透过这个具体例子，再延伸思考相关的实践，这里最根本的问题可以总结为一个模式： 复制粘贴风险。复制粘贴并不简单意味着剽窃，实际是当前软件领域、互联网行业发展的基础模式，但其中有一些没人能尝试解决的问题： ·在传统代码领域，如C代码中，对第三方代码功能的复用依赖，往往通过直接进行库的引入实现，第三方代码独立而完整，也较容易进行整体更新；这是最简单的情况，只需要所有下游使用者保证仅使用官方版本，跟进官方更新即可；但在实践中很难如此贯彻，这是下节讨论的问题。 ·有些第三方发布的代码，模式就是需要被源码形式包含到其他项目中进行统一编译使用（例如腾讯的开源Json解析库RapidJSON，就是纯C++头文件形式）。在开源领域有如GPL等规约对此进行规范，下游开发者遵循协议，引用代码，强制或可选地显式保留其GPL声明，可以进行使用和更改。这样的源码依赖关系，结合规范化的changelog声明代码改动，侧面也是为开发过程中跟进考虑。但是一个成型的产品，比如企业自有的服务端底层产品、中间件，新版本的发版更新是复杂的过程，开发者在旧版本仍然“功能正常”的情况下往往倾向于不跟进新版本；而上游代码如果进行安全漏洞修复，通常也都只在其最新版本代码中改动，安全修复与功能迭代并存，如果没有类似Linux发行版社区的努力，旧版本代码完全没有干净的安全更新patch可用。 ·在特定场景下，有些开发实践可能不严格遵循开源代码协议限定，引入了GPL等协议保护的代码而不做声明（以规避相关责任），丢失了引入和版本的信息跟踪；在另一些场景下，可能存在对开源代码进行大刀阔斧的修改、剪裁、定制，以符合自身业务的极端需求，但是过多的修改、人员的迭代造成与官方代码严重的失同步，丧失可维护性。 ·更一般的情况是，在开发中，开发者个体往往心照不宣的存在对网上代码文件、代码片段的复制-粘贴操作。被参考的代码，可能有上述的开源代码，也可能有各种Github作者练手项目、技术博客分享的代码片段、正式开源项目仅用来说明用法的不完备示例代码。这些代码的引入完全无迹可寻，即便是作者自己也很难解释用了什么。这种情况下，上面两条认定的那些与官方安全更新失同步的问题同样存在，且引入了独特的风险：被借鉴的代码可能只是原作者随手写的、仅仅是功能成立的片段，甚至可能是恶意作者随意散布的有安全问题的代码。由此，问题进入了最大的发散空间。 在Synopsys下BLACKDUCK软件之前发布的《2018 Open Source Security and Risk Analysis Report》中分析，96%的应用中包含有开源组件和代码，开源代码在应用全部代码中的占比约为57%，78%的应用中在引用的三方开源代码中存在历史漏洞。也就是说，现在互联网上所有厂商开发的软件、应用，其开发人员自己写的代码都是一少部分，多数都是借鉴来的。而这还只是可统计、可追溯的；至于上面提到的非规范的代码引用，如果也纳入进来考虑，三方代码占应用中的比例会上升到多少？曾经有分析认为至少占80%，我们只期望不会更高。 Ⅱ. 从碎片到乱刃：OpenSSH在野后门一览 在进行基础软件梳理时，回忆到反病毒安全软件提供商ESET在2018年十月发布的一份白皮书《THE DARK SIDE OF THE FORSSHE: A landscape of OpenSSH backdoors》。其站在一个具有广泛用户基础的软件提供商角度，给出了一份分析报告，数据和结论超出我们对于当前基础软件使用全景的估量。以下以我的角度对其中一方面进行解读。 一些必要背景 SSH的作用和重要性无需赘言；虽然我们站在传统互联网公司角度，可以认为SSH是通往生产服务器的生命通道，但当前多样化的产业环境已经不止于此（如之前libssh事件中，不幸被我言中的，SSH在网络设备、IoT设备上（如f5）的广泛使用）。 OpenSSH是目前绝大多数SSH服务端的基础软件，有完备的开发团队、发布规范、维护机制，本身是靠谱的。如同绝大多数基础软件开源项目的做法，OpenSSH对漏洞有及时的响应，针对最新版本代码发出安全补丁，但是各大Linux发行版使用的有各种版本的OpenSSH，这些社区自行负责将官方开发者的安全补丁移植到自己系统搭载的低版本代码上。天空彩 白皮书披露的现状 如果你是一个企业的运维管理人员，需要向企业生产服务器安装OpenSSH或者其它基础软件，最简单的方式当然是使用系统的软件管理安装即可。但是有时候，出于迁移成本考虑，可能企业需要在一个旧版本系统上，使用较新版本的OpenSSL、OpenSSH等基础软件，这些系统不提供，需要自行安装；或者需要一个某有种特殊特性的定制版本。这时，可能会选择从某些rpm包集中站下载某些不具名第三方提供的现成的安装包，或者下载非官方的定制化源码本地编译后安装，总之从这里引入了不确定性。 这种不确定性有多大？我们粗估一下，似乎不应成为问题。但这份白皮书给我们看到了鲜活的数据。 ESET研究人员从OpenSSH的一次历史大规模Linux服务端恶意软件Windigo中获得启示，采用某种巧妙的方式，面向在野的服务器进行数据采集，主要是系统与版本、安装的OpenSSH版本信息以及服务端程序文件的一个特殊签名。整理一个签名白名单，包含有所有能搜索到的官方发布二进制版本、各大Linux发行版本各个版本所带的程序文件版本，将这些标定为正常样本进行去除。最终结论是： ·共发现了几百个非白名单版本的OpenSSH服务端程序文件ssh和sshd； ·分析这些样本，将代码部分完全相同，仅仅是数据和配置不同的合并为一类，且分析判定确认有恶意代码的，共归纳为 21个各异的恶意OpenSSH家族； ·在21个恶意家族中，有12个家族在10月份时完全没有被公开发现分析过；而剩余的有一部分使用了历史上披露的恶意代码样本，甚至有源代码； ·所有恶意样本的实现，从实现复杂度、代码混淆和自我保护程度到代码特征有很大跨度的不同，但整体看，目的以偷取用户凭证等敏感信息、回连外传到攻击者为主，其中有的攻击者回连地址已经存在并活跃数年之久； ·这些后门的操控者，既有传统恶意软件黑产人员，也有APT组织； ·所有恶意软件或多或少都在被害主机上有未抹除的痕迹。ESET研究者尝试使用蜜罐引诱出攻击者，但仍有许多未解之谜。这场对抗，仍未取胜。 白皮书用了大篇幅做技术分析报告，此处供细节分析，不展开分析，以下为根据恶意程序复杂度描绘的21个家族图谱： 问题思考 问题引入的可能渠道，我在开头进行了一点推测，主要是由人的原因切入的，除此以外，最可能的是恶意攻击者在利用各种方法入侵目标主机后，主动替换了目标OpenSSH为恶意版本，从而达成攻击持久化操作。但是这些都是止血的安全运维人员该考虑的事情；关键问题是，透过表象，这显露了什么威胁形式？ 这个问题很好回答，之前也曾经反复说过：基础软件碎片化。 如上一章节简单提到，在开发过程中有各种可能的渠道引入开发者不完全了解和信任的代码；在运维过程中也是如此。二者互相作用，造成了软件碎片化的庞杂现状。在企业内部，同一份基础软件库，可能不同的业务线各自定制一份，放到企业私有软件仓库源中，有些会有人持续更新供自己产品使用，有些由系统软件基础设施维护人员单独维护，有些则可能是开发人员临时想起来上传的，他们自己都不记得；后续用到的这个基础软件的开发和团队，在这个源上搜索到已有的库，很大概率会倾向于直接使用，不管来源、是否有质量背书等。长此以往问题会持续发酵。而我们开最坏的脑洞，是否可能有黑产人员入职到内部，提交个恶意基础库之后就走人的可能？现行企业安全开发流程中审核机制的普遍缺失给这留下了空位。 将源码来源碎片化与二进制使用碎片化并起来考虑，我们不难看到一个远远超过OpenSSH事件威胁程度的图景。但这个问题不是仅仅靠开发阶段规约、运维阶段规范、企业内部管控、行业自查、政府监管就可以根除的，最大的问题归根结底两句话： 不可能用一场战役对抗持续威胁；不可能用有限分析对抗无限未知。 Ⅲ. 从自信到自省：RHEL、CentOS backport版本BIND漏洞 2018年12月20日凌晨，在备战冬至的软件供应链安全大赛决赛时，我注意到漏洞预警平台捕获的一封邮件。但这不是一个漏洞初始披露邮件，而是对一个稍早已披露的BIND在RedHat、CentOS发行版上特定版本的1day漏洞CVE-2018-5742，由BIND的官方开发者进行额外信息澄(shuǎi)清(guō)的邮件。 一些必要背景 关于BIND 互联网的一个古老而基础的设施是DNS，这个概念在读者不应陌生。而BIND“是现今互联网上最常使用的DNS软件，使用BIND作为服务器软件的DNS服务器约占所有DNS服务器的九成。BIND现在由互联网系统协会负责开发与维护参考。”所以BIND的基础地位即是如此，因此也一向被大量白帽黑帽反复测试、挖掘漏洞，其开发者大概也一直处在紧绷着应对的处境。 关于ISC和RedHat 说到开发者，上面提到BIND的官方开发者是互联网系统协会（ISC）。ISC是一个老牌非营利组织，目前主要就是BIND和DHCP基础设施的维护者。而BIND本身如同大多数历史悠久的互联网基础开源软件，是4个UCB在校生在DARPA资助下于1984年的实验室产物，直到2012年由ISC接管。 那么RedHat在此中是什么角色呢？这又要提到我之前提到的Linux发行版和自带软件维护策略。Red Hat Enterprise Linux（RHEL）及其社区版CentOS秉持着稳健的软件策略，每个大的发行版本的软件仓库，都只选用最必要且质量久经时间考验的软件版本，哪怕那些版本实在是老掉牙。这不是一种过分的保守，事实证明这种策略往往给RedHat用户在最新漏洞面前提供了保障——代码总是跑得越少，潜在漏洞越多。 但是这有两个关键问题。一方面，如果开源基础软件被发现一例有历史沿革的代码漏洞，那么官方开发者基本都只为其最新代码负责，在当前代码上推出修复补丁。另一方面，互联网基础设施虽然不像其上的应用那样爆发性迭代，但依然持续有一些新特性涌现，其中一些是必不可少的，但同样只在最新代码中提供。两个刚需推动下，各Linux发行版对长期支持版本系统的软件都采用一致的策略，即保持其基础软件在一个固定的版本，但对于这些版本软件的最新漏洞、必要的最新软件特性，由发行版维护者将官方开发者最新代码改动“向后移植”到旧版本代码中，即backport。这就是基础软件的“官宣”碎片化的源头。 讲道理，Linux发行版维护者与社区具有比较靠谱的开发能力和监督机制，backport又基本就是一些复制粘贴工作，应当是很稳当的……但真是如此吗？ CVE-2018-5742漏洞概况 CVE-2018-5742是一个简单的缓冲区溢出类型漏洞，官方评定其漏洞等级moderate，认为危害不大，漏洞修复不积极，披露信息不多，也没有积极给出代码修复patch和新版本rpm包。因为该漏洞仅在设置DEBUG_LEVEL为10以上才会触发，由远程攻击者构造畸形请求造成BIND服务崩溃，在正常的生产环境几乎不可能具有危害，RedHat官方也只是给出了用户自查建议。 这个漏洞只出现在RHEL和CentOS版本7中搭载的BIND 9.9.4-65及之后版本。RedHat同ISC的声明中都证实，这个漏洞的引入原因，是RedHat在尝试将BIND 9.11版本2016年新增的NTA机制向后移植到RedHat 7系中固定搭载的BIND 9.9版本代码时，偶然的代码错误。NTA是DNS安全扩展（DNSSEC）中，用于在特定域关闭DNSSEC校验以避免不必要的校验失败的机制；但这个漏洞不需要对NTA本身有进一步了解。 漏洞具体分析 官方没有给出具体分析，但根据CentOS社区里先前有用户反馈的bug，我得以很容易还原漏洞链路并定位到根本原因。 若干用户共同反馈，其使用的BIND 9.9.4-RedHat-9.9.4-72.el7发生崩溃（coredump），并给出如下的崩溃时调用栈backtrace： 这个调用过程的逻辑为，在9 dns_message_logfmtpacket函数判断当前软件设置是否DEBUG_LEVEL大于10，若是，对用户请求数据包做日志记录，先后调用8 dns_message_totext、7 dns_message_sectiontotext、6 dns_master_rdatasettotext、5 rdataset_totext将请求进行按协议分解分段后写出。 由以上关键调用环节，联动RedHat在9.9.4版本BIND源码包中关于引入NTA特性的源码patch，进行代码分析，很快定位到问题产生的位置，在上述backtrace中的5，masterdump.c文件rdataset_totext函数。漏洞相关代码片段中，RedHat进行backport后，这里引入的代码为： 这里判断对于请求中的注释类型数据，直接通过isc_buffer_putstr宏对缓存进行操作，在BIND工程中自定义维护的缓冲区结构对象target上，附加一字节字符串（一个分号）。而漏洞就是由此产生：isc_buffer_putstr中不做缓冲区边界检查保证，这里在缓冲区已满情况下将造成off-by-one溢出，并触发了缓冲区实现代码中的assertion。 而ISC上游官方版本的代码在这里是怎么写的呢？找到ISC版本BIND 9.11代码，这里是这样的： 这里可以看到，官方代码在做同样的“附加一个分号”这个操作时，审慎的使用了做缓冲区剩余空间校验的str_totext函数，并额外做返回值成功校验。而上述提到的str_totext函数与RETERR宏，在移植版本的masterdump.c中，RedHat开发者也都做了保留。但是，查看代码上下文发现，在RedHat开发者进行代码移植过程中，对官方代码进行了功能上的若干剪裁，包括一些细分数据类型记录的支持；而这里对缓冲区写入一字节，也许开发者完全没想到溢出的可能，所以自作主张地简化了代码调用过程。 问题思考 这个漏洞本身几乎没什么危害，但是背后足以引起思考。 没有人在“借”别人代码时能不出错 不同于之前章节提到的那种场景——将代码文件或片段复制到自己类似的代码上下文借用——backport作为一种官方且成熟的做法，借用的代码来源、粘贴到的代码上下文，是具有同源属性的，而且开发者一般是追求稳定性优先的社区开发人员，似乎质量应该有足够保障。但是这里的关键问题是：代码总要有一手、充分的语义理解，才能有可信的使用保障；因此，只要是处理他人的代码，因为不够理解而错误使用的风险，只可能减小，没办法消除。 如上分析，本次漏洞的产生看似只是做代码移植的开发者“自作主张”之下“改错了”。但是更广泛且可能的情况是，原始开发者在版本迭代中引入或更新大量基础数据结构、API的定义，并用在新的特性实现代码中；而后向移植开发人员仅需要最小规模的功能代码，所以会对增量代码进行一定规模的修改、剪裁、还原，以此适应旧版本基本代码。这些过程同样伴随着第三方开发人员不可避免的“望文生义”，以及随之而来的风险。后向移植操作也同样助长了软件碎片化过程，其中每一个碎片都存在这样的问题；每一个碎片在自身生命周期也将有持续性影响。 多级复制粘贴无异于雪上加霜 这里简单探讨的是企业通行的系统和基础软件建设实践。一些国内外厂商和社区发布的定制化Linux发行版，本身是有其它发行版，如CentOS特定版本渊源的，在基础软件上即便同其上游发行版最新版本间也存在断层滞后。RedHat相对于基础软件开发者之间已经隔了一层backport，而我们则人为制造了二级风险。 在很多基础而关键的软件上，企业系统基础设施的维护者出于与RedHat类似的初衷，往往会决定自行backport一份拷贝；通过早年心脏滴血事件的洗礼，即暴露出来OpenSSL一个例子。无论是需要RHEL还没来得及移植的新版本功能特性，还是出于对特殊使用上下文场景中更高执行效率的追求，企业都可能自行对RHEL上基础软件源码包进行修改定制重打包。这个过程除了将风险幂次放大外，也进一步加深了代码的不可解释性（包括基础软件开发人员流动性带来的不可解释）。 Ⅳ. 从武功到死穴：从systemd-journald信息泄露一窥API误用 1月10日凌晨两点，漏洞预警平台爬收取一封漏洞披露邮件。披露者是Qualys，那就铁定是重型发布了。最后看披露漏洞的目标，systemd？这就非常有意思了。 一些必要背景 systemd是什么，不好简单回答。Linux上面软件命名，习惯以某软件名后带个‘d’表示后台守护管理程序；所以systemd就可以说是整个系统的看守吧。而即便现在描述了systemd是什么，可能也很快会落伍，因为其初始及核心开发者Lennart Poettering（供职于Red Hat）描述它是“永无开发完结完整、始终跟进技术进展的、统一所有发行版无止境的差异”的一种底层软件。笼统讲有三个作用：中央化系统及设置管理；其它软件开发的基础框架；应用程序和系统内核之间的胶水。如今几乎所有Linux发行版已经默认提供systemd，包括RHEL/CentOS 7及后续版本。总之很基础、很底层、很重要就对了。systemd本体是个主要实现init系统的框架，但还有若干关键组件完成其它工作；这次被爆漏洞的是其journald组件，是负责系统事件日志记录的看守程序。 额外地还想简单提一句Qualys这个公司。该公司创立于1999年，官方介绍为信息安全与云安全解决方案企业，to B的安全业务非常全面，有些也是国内企业很少有布局的方面；例如上面提到的涉及碎片化和代码移植过程的历史漏洞移动，也在其漏洞管理解决方案中有所体现。但是我们对这家公司粗浅的了解来源于其安全研究团队近几年的发声，这两年间发布过的，包括有『stack clash』、『sudo get_tty_name提权』、『OpenSSH信息泄露与堆溢出』、『GHOST：glibc gethostbyname缓冲区溢出』等大新闻（仅截至2017年年中）。从中可见，这个研究团队专门啃硬骨头，而且还总能开拓出来新的啃食方式，往往爆出来一些别人没想到的新漏洞类型。从这个角度，再联想之前刷爆朋友圈的《安全研究者的自我修养》所倡导的“通过看历史漏洞、看别人的最新成果去举一反三”的理念，可见差距。 CVE-2018-16866漏洞详情 这次漏洞披露，打包了三个漏洞： ·16864和16865是内存破坏类型 ·16866是信息泄露 ·而16865和16866两个漏洞组和利用可以拿到root shell。 漏洞分析已经在披露中写的很详细了，这里不复述；而针对16866的漏洞成因来龙去脉，Qualys跟踪的结果留下了一点想象和反思空间，我们来看一下。 漏洞相关代码片段是这样的（漏洞修复前）： 读者可以先肉眼过一遍这段代码有什么问题。实际上我一开始也没看出来，向下读才恍然大悟。 这段代码中，外部信息输入通过buf传入做记录处理。输入数据一般包含有空白字符间隔，需要分隔开逐个记录，有效的分隔符包括空格、制表符、回车、换行，代码中将其写入常量字符串；在逐字符扫描输入数据字符串时，将当前字符使用strchr在上述间隔符字符串中检索是否匹配，以此判断是否为间隔符；在240行，通过这样的判断，跳过记录单元字符串的头部连续空白字符。 但是问题在于，strchr这个极其基础的字符串处理函数，对于C字符串终止字符'\0'的处理上有个坑：'\0'也被认为是被检索字符串当中的一个有效字符。所以在240行，当当前扫描到的字符为字符串末尾的NULL时，strchr返回的是WHITESPACE常量字符串的终止位置而非NULL，这导致了越界。 看起来，这是一个典型的问题：API误用（API mis-use），只不过这个被误用的库函数有点太基础，让我忍不住想是不是还会有大量的类似漏洞……当然也反思我自己写的代码是不是也有同样情况，然而略一思考就释然了——我那么笨的代码都用for循环加if判断了:) 漏洞引入和消除历史 有意思的是，Qualys研究人员很贴心地替我做了一步漏洞成因溯源，这才是单独提这个漏洞的原因。漏洞的引入是在2015年的一个commit中： 在GitHub中，定位到上述2015年的commit信息，这里commit的备注信息为： journald: do not strip leading whitespace from messages. Keep leading whitespace for compatibility with older syslog implementations. Also useful when piping formatted output to the logger command. Keep removing trailing whitespace. OK，看起来是一个兼容性调整，对记录信息不再跳过开头所有连续空白字符，只不过用strchr的简洁写法比较突出开发者精炼的开发风格（并不），说得过去。 之后在2018年八月的一个当时尚未推正式版的另一次commit中被修复了，先是还原成了ec5ff4那次commit之前的写法，然后改成了加校验的方式： 虽然Qualys研究者认为上述的修改是“无心插柳”的改动，但是在GitHub可以看到，a6aadf这次commit是因为有外部用户反馈了输入数据为单个冒号情况下journald堆溢出崩溃的issue，才由开发者有目的性地修复的；而之后在859510这个commit再次改动回来，理由是待记录的消息都是使用单个空格作为间隔符的，而上一个commit粗暴地去掉了这种协议兼容性特性。 如果没有以上纠结的修改和改回历史，也许我会倾向于怀疑，在最开始漏洞引入的那个commit，既然改动代码没有新增功能特性、没有解决什么问题（毕竟其后三年，这个改动的代码也没有被反映issue），也并非出于代码规范等考虑，那么这么轻描淡写的一次提交，难免有人为蓄意引入漏洞的嫌疑。当然，看到几次修复的原因，这种可能性就不大了，虽然大家仍可以保留意见。但是抛开是否人为这个因素，单纯从代码的漏洞成因看，一个传统但躲不开的问题仍值得探讨：API误用。 API误用：程序员何苦为难程序员 如果之前的章节给读者留下了我反对代码模块化和复用的印象，那么这里需要正名一下，我们认可这是当下开发实践不可避免的趋势，也增进了社会开发速度。而API的设计决定了写代码和用代码的双方“舒适度”的问题，由此而来的API误用问题，也是一直被当做单纯的软件工程课题讨论。在此方面个人并没有什么研究，自然也没办法系统地给出分类和学术方案，只是谈一下自己的经验和想法。 一篇比较新的学术文章总结了API误用的研究，其中一个独立章节专门分析Java密码学组件API误用的实际，当中引述之前论文认为，密码学API是非常容易被误用的，比如对期望输入数据（数据类型，数据来源，编码形式）要求的混淆，API的必需调用次序和依赖缺失（比如缺少或冗余多次调用了初始化函数、主动资源回收函数）等。凑巧在此方面我有一点体会：曾经因为业务方需要，需要使用C++对一个Java的密码基础中间件做移植。Java对密码学组件支持，有原生的JDK模块和权威的BouncyCastle包可用；而C/C++只能使用第三方库，考虑到系统平台最大兼容和最小代码量，使用Linux平台默认自带的OpenSSL的密码套件。但在开发过程中感受到了OpenSSL满满的恶意：其中的API设计不可谓不反人类，很多参数没有明确的说明（比如同样是表示长度的函数参数，可能在不同地方分别以字节/比特/分组数为计数单位）；函数的线程安全没有任何解释标注，需要自行试验；不清楚函数执行之后，是其自行做了资源释放还是需要有另外API做gc，不知道资源释放操作时是否规规矩矩地先擦除后释放……此类问题不一而足，导致经过了漫长的测试之后，这份中间件才提供出来供使用。而在业务场景中，还会存在比如其它语言调用的情形，这些又暴露出来OpenSSL API误用的一些完全无从参考的问题。这一切都成为了噩梦；当然这无法为我自己开解是个不称职开发的指责，但仅就OpenSSL而言其API设计之恶劣也是始终被人诟病的问题，也是之后其他替代者宣称改进的地方。 当然，问题是上下游都脱不了干系的。我们自己作为高速迭代中的开发人员，对于二方、三方提供的中间件、API，又有多少人能自信地说自己仔细、认真地阅读过开发指南和API、规范说明呢？做过通用产品技术运营的朋友可能很容易理解，自己产品的直接用户日常抛出不看文档的愚蠢问题带来的困扰。对于密码学套件，这个问题还好办一些，毕竟如果在没有背景知识的情况下对API望文生义地一通调用，绝大多数情况下都会以抛异常形式告终；但还是有很多情况，API误用埋下的是长期隐患。 不是所有API误用情形最终都有机会发展成为可利用的安全漏洞，但作为一个由人的因素引入的风险，这将长期存在并困扰软件供应链（虽然对安全研究者、黑客与白帽子是很欣慰的事情）。可惜，传统的白盒代码扫描能力，基于对代码语义的理解和构建，但是涉及到API则需要预先的抽象，这一点目前似乎仍然是需要人工干预的事情；或者轻量级一点的方案，可以case by case地分析，为所有可能被误用的API建模并单独扫描，这自然也有很强局限性。在一个很底层可信的开发者还对C标准库API存在误用的现实内，我们需要更多的思考才能说接下来的解法。 Ⅴ. 从规则到陷阱：NASA JIRA误配置致信息泄露血案 软件的定义包括了代码组成的程序，以及相关的配置、文档等。当我们说软件的漏洞、风险时，往往只聚焦在其中的代码中；关于软件供应链安全风险，我们的比赛、前面分析的例子也都聚焦在了代码的问题；但是真正的威胁都来源于不可思议之处，那么代码之外有没有可能存在来源于上游的威胁呢？这里就借助实例来探讨一下，在“配置”当中可能栽倒的坑。 引子：发不到500英里以外的邮件？ 让我们先从一个轻松愉快的小例子引入。这个例子初见于Linux中国的一篇译文。 简单说，作者描述了这么一个让人啼笑皆非的问题：单位的邮件服务器发送邮件，发送目标距离本地500英里范围之外的一律失败，邮件就像悠悠球一样只能飞出一定距离。这个问题本身让描述者感到尴尬，就像一个技术人员被老板问到“为什么从家里笔记本上Ctrl-C后不能在公司台式机上Ctrl-V”一样。 经过令人窒息的分析操作后，笔者定位到了问题原因：笔者作为负责的系统管理员，把SunOS默认安装的Senmail从老旧的版本5升级到了成熟的版本8，且对应于新版本诸多的新特性进行了对应配置，写入配置文件sendmail.cf；但第三方服务顾问在对单位系统进行打补丁升级维护时，将系统软件“升级”到了系统提供的最新版本，因此将Sendmail实际回退到了版本5，却为了软件行为一致性，原样保留了高版本使用的配置文件。但Sendmail并没有在大版本间保证配置文件兼容性，这导致很多版本5所需的配置项不存在于保留下来的sendmail.cf文件中，程序按默认值0处理；最终引起问题的就是，邮件服务器与接收端通信的超时时间配置项，当取默认配置值0时，邮件服务器在1个单位时间（约3毫秒）内没有收到网络回包即认为超时，而这3毫秒仅够电信号打来回飞出500英里。 这个“故事”可能会给技术人员一点警醒，错误的配置会导致预期之外的软件行为，但是配置如何会引入软件供应链方向的安全风险呢？这就引出了下一个重磅实例。 JIRA配置错误致NASA敏感信息泄露案例 我们都听过一个事情，马云在带队考察美国公司期间问Google CEO Larry Page自视谁为竞争对手，Larry的回答是NASA，因为最优秀的工程师都被NASA的梦想吸引过去了。由此我们显然能窥见NASA的技术水位之高，这样的人才团队大概至少是不会犯什么低级错误的。 但也许需要重新定义“低级错误”……1月11日一篇技术文章披露，NASA某官网部署使用的缺陷跟踪管理系统JIRA存在错误的配置，可分别泄漏内部员工（JIRA系统用户）的全部用户名和邮件地址，以及内部项目和团队名称到公众，如下： 问题的原因解释起来也非常简单：JIRA系统的过滤器和配置面板中，对于数据可见性的配置选项分别选定为All users和Everyone时，系统管理人员想当然地认为这意味着将数据对所有“系统用户”开放查看，但是JIRA的这两个选项的真实效果逆天，是面向“任意人”开放，即不限于系统登录用户，而是任何查看页面的人员。看到这里，我不厚道地笑了……“All users”并不意味着“All ‘users’”，意不意外，惊不惊喜？ 但是这种字面上把戏，为什么没有引起NASA工程师的注意呢，难道这样逆天的配置项没有在产品手册文档中加粗标红提示吗？本着为JIRA产品设计找回尊严的态度，我深入挖掘了一下官方说明，果然在Atlassian官方的一份confluence文档（看起来更像是一份增补的FAQ）中找到了相关说明： 所有未登录访客访问时，系统默认认定他们是匿名anonymous用户，所以各种权限配置中的all users或anyone显然应该将匿名用户包括在内。在7.2及之后版本中，则提供了“所有登录用户”的选项。 可以说是非常严谨且贴心了。比较讽刺的是，在我们的软件供应链安全大赛·C源代码赛季期间，我们设计圈定的恶意代码攻击目标还包括JIRA相关的敏感信息的窃取，但是却想不到有这么简单方便的方式，不动一行代码就可以从JIRA中偷走数据。 软件的使用，你“配”吗？ 无论是开放的代码还是成型的产品，我们在使用外部软件的时候，都是处于软件供应链下游的消费者角色，为了要充分理解上游开发和产品的真实细节意图，需要我们付出多大的努力才够“资格”？ 上一章节我们讨论过源码使用中必要细节信息缺失造成的“API误用”问题，而软件配置上的“误用”问题则复杂多样得多。从可控程度上讨论，至少有这几种因素定义了这个问题： ·软件用户对必要配置的现有文档缺少了解。这是最简单的场景，但又是完全不可避免的，这一点上我们所有有开发、产品或运营角色经验的应该都曾经体会过向不管不顾用户答疑的痛苦，而所有软件使用者也可以反省一下对所有软件的使用是否都以完整细致的文档阅读作为上手的准备工作，所以不必多说。 ·软件拥有者对配置条目缺少必要明确说明文档。就JIRA的例子而言，将NASA工程师归为上一条错误有些冤枉，而将JIRA归为这条更加合适。在边角但重要问题上的说明通过社区而非官方文档形式发布是一种不负责任的做法，但未引发安全事件的情况下还有多少这样的问题被默默隐藏呢？我们没办法要求在使用软件之前所有用户将软件相关所有文档、社区问答实现全部覆盖。这个问题范围内一个代表性例子是对配置项的默认值以及对应效果的说明缺失。 ·配置文件版本兼容性带来的误配置和安全问题。实际上，上面的SunOS Sendmail案例足以点出这个问题的存在性，但是在真实场景下，很可能不会以这么戏剧性形式出现。在企业的系统运维中，系统的版本迭代常见，但为软件行为一致性，配置的跨版本迁移是不可避免的操作；而且软件的更新迭代也不只会由系统更新推动，还有大量出于业务性能要求而主动进行的定制化升级，对于中小企业基础设施建设似乎是一个没怎么被提及过的问题。 ·配置项组合冲突问题。尽管对于单个配置项可能明确行为与影响，但是特定的配置项搭配可能造成不可预知的效果。这完全有可能是由于开发者与用户在信息不对等的情况下产生：开发者认为用户应该具有必需的背景知识，做了用户应当具备规避配置冲突能力的假设。一个例子是，对称密码算法在使用ECB、CBC分组工作模式时，从密码算法上要求输入数据长度必须是分组大小的整倍数，但如果用户搭配配置了秘钥对数据不做补齐（nopadding），则引入了非确定性行为：如果密码算法库对这种组合配置按某种默认补齐方式操作数据则会引起歧义，但如果在算法库代码层面对这种组合抛出错误则直接影响业务。 ·程序对配置项处理过程的潜在暗箱操作。这区别于简单的未文档化配置项行为，仅特指可能存在的蓄意、恶意行为。从某种意义上，上述“All users”也可以认为是这样的一种陷阱，通过浅层次暗示，引导用户做出错误且可能引起问题的配置。另一种情况是特定配置组合情况下触发恶意代码的行为，这种触发条件将使恶意代码具有规避检测的能力，且在用户基数上具有一定概率的用户命中率。当然这种情况由官方开发者直接引入的可能性很低，但是在众包开发的情况下如果存在，那么扫描方案是很难检测的。 Ⅵ. 从逆流到暗流：恶意代码溯源后的挑战 如果说前面所说的种种威胁都是面向关键目标和核心系统应该思考的问题，那么最后要抛出一个会把所有人拉进赛场的理由。除了前面所有那些在软件供应链下游被动污染受害的情况，还有一种情形：你有迹可循的代码，也许在不经意间会“反哺”到黑色产业链甚至特殊武器中；而现在研究用于对程序进行分析和溯源的技术，则会让你陷入百口莫辩的境地。 案例：黑产代码模块溯源疑云 1月29日，猎豹安全团队发布技术分析通报文章《电信、百度客户端源码疑遭泄漏，驱魔家族窃取隐私再起波澜》，矛头直指黑产上游的恶意信息窃取代码模块，认定其代码与两方产品存在微妙的关联：中国电信旗下“桌面3D动态天气”等多款软件，以及百度旗下“百度杀毒”等软件（已不可访问）。 文章中举证有三个关键点。 首先最直观的，是三者使用了相同的特征字符串、私有文件路径、自定义内部数据字段格式； 其次，在关键代码位置，三者在二进制程序汇编代码层面具有高度相似性； 最终，在一定范围的非通用程序逻辑上，三者在经过反汇编后的代码语义上显示出明显的雷同，并提供了如下两图佐证（图片来源）： 文章指出的涉事相关软件已经下线，对于上述样本文件的相似度试验暂不做复现，且无法求证存在相似、疑似同源的代码在三者中占比数据。对于上述指出的代码雷同现象，猎豹安全团队认为： 我们怀疑该病毒模块的作者通过某种渠道(比如“曾经就职”)，掌握有中国电信旗下部分客户端/服务端源码，并加以改造用于制作窃取用户隐私的病毒，另外在该病毒模块的代码中，我们还发现“百度”旗下部分客户端的基础调试日志函数库代码痕迹，整个“驱魔”病毒家族疑点重重，其制作传播背景愈发扑朔迷离。 这样的推断，固然有过于直接的依据（例如三款代码中均使用含有“baidu”字样的特征注册表项）；但更进一步地，需要注意到，三个样本在所指出的代码位置，具有直观可见的二进制汇编代码结构的相同，考虑到如果仅仅是恶意代码开发者先逆向另外两份代码后借鉴了代码逻辑，那么在面临反编译、代码上下文适配重构、跨编译器和选项的编译结果差异等诸多不确定环节，仍能保持二进制代码的雷同，似乎确实是只有从根本上的源代码泄漏（抄袭）且保持相同的开发编译环境才能成立。 但是我们却又无法做出更明确的推断。这一方面当然是出于严谨避免过度解读；而从另一方面考虑，黑产代码的一个关键出发点就是“隐藏自己”，而这里居然如此堂而皇之地照搬了代码，不但没有进行任何代码混淆、变形，甚至没有抹除疑似来源的关键字符串，如果将黑产视为智商在线的对手，那这里背后是否有其它考量，就值得琢磨了。 代码的比对、分析、溯源技术水准 上文中的安全团队基于大量样本和粗粒度比对方法，给出了一个初步的判断和疑点。那么是否有可能获得更确凿的分析结果，来证实或证伪同源猜想呢？ 无论是源代码还是二进制，代码比对技术作为一种基础手段，在软件供应链安全分析上都注定仍然有效。在我们的软件供应链安全大赛期间，针对PE二进制程序类型的题目，参赛队伍就纷纷采用了相关技术手段用于目标分析，包括：同源性分析，用于判定与目标软件相似度最高的同软件官方版本；细粒度的差异分析，用于尝试在忽略编译差异和特意引入的混淆之外，定位特意引入的恶意代码位置。当然，作为比赛中针对性的应对方案，受目标和环境引导约束，这些方法证明了可行性，却难以保证集成有最新技术方案。那么做一下预言，在不计入情报辅助条件下，下一代的代码比对将能够到达什么水准？ 这里结合近一年和今年内，已发表和未发表的学术领域顶级会议的相关文章来简单展望： ·针对海量甚至全量已知源码，将可以实现准确精细化的“作者归属”判定。在ACM CCS‘18会议上曾发表的一篇文章《Large-Scale and Language-Oblivious Code Authorship Identification》，描述了使用RNN进行大规模代码识别的方案，在圈定目标开发者，并预先提供每个开发者的5-7份已知的代码文件后，该技术方案可以很有效地识别大规模匿名代码仓库中隶属于每个开发者的代码：针对1600个Google Code Jam开发者8年间的所有代码可以实现96%的成功识别率，而针对745个C代码开发者于1987年之后在GitHub上面的全部公开代码仓库，识别率也高达94.38%。这样的结果在当下的场景中，已经足以实现对特定人的代码识别和跟踪（例如，考虑到特定开发人员可能由于编码习惯和规范意识，在时间和项目跨度上犯同样的错误）；可以预见，在该技术方向上，完全可以期望摆脱特定已知目标人的现有数据集学习的过程，并实现更细粒度的归属分析，例如代码段、代码行、提交历史。 ·针对二进制代码，更准确、更大规模、更快速的代码主程序分析和同源性匹配。近年来作为一项程序分析基础技术研究，二进制代码相似性分析又重新获得了学术界和工业界的关注。在2018年和2019（已录用）的安全领域四大顶级会议上，每次都会有该方向最新成果的展示，如S&P‘2019上录用的《Asm2Vec: Boosting Static Representation Robustness for Binary Clone Search against Code Obfuscation and Compiler Optimization》，实现无先验知识的条件下的最优汇编代码级别克隆检测，针对漏洞库的漏洞代码检测可实现0误报、100%召回。而2018年北京HITB会议上，Google Project Zero成员、二进制比对工具BinDiff原始作者Thomas Dullien，探讨了他借用改造Google自家SimHash算法思想，用于针对二进制代码控制流图做相似性检测的尝试和阶段结果；这种引入规模数据处理的思路，也可期望能够在目前其他技术方案大多精细化而低效的情况下，为高效、快速、大规模甚至全量代码克隆检测勾出未来方案。 ·代码比对方案对编辑、优化、变形、混淆的对抗。近年所有技术方案都以对代码“变种”的检测有效性作为关键衡量标准，并一定程度上予以保证。上文CCS‘18论文工作，针对典型源代码混淆（如Tigress）处理后的代码，大规模数据集上可有93.42%的准确识别率；S&P‘19论文针对跨编译器和编译选项、业界常用的OLLVM编译时混淆方案进行试验，在全部可用的混淆方案保护之下的代码仍然可以完成81%以上的克隆检测。值得注意的是以上方案都并非针对特定混淆方案单独优化的，方法具有通用价值；而除此以外还有很多针对性的的反混淆研究成果可用；因此，可以认为在采用常规商用代码混淆方案下，即便存在隐藏内部业务逻辑不被逆向的能力，但仍然可以被有效定位代码复用和开发者自然人。 代码溯源技术面前的“挑战” 作为软件供应链安全的独立分析方，健壮的代码比对技术是决定性的基石；而当脑洞大开，考虑到行业的发展，也许以下两种假设的情景，将把每一个“正当”的产品、开发者置于尴尬的境地。 代码仿制 在本章节引述的“驱魔家族”代码疑云案例中，黑产方面通过某种方式获得了正常代码中，功能逻辑可以被自身复用的片段，并以某种方法将其在保持原样的情况下拼接形成了恶意程序。即便在此例中并非如此，但这却暴露了隐忧：将来是不是有这种可能，我的正常代码被泄漏或逆向后出现在恶意软件中，被溯源后扣上黑锅？ 这种担忧可能以多种渠道和形式成为现实。 从上游看，内部源码被人为泄漏是最简单的形式（实际上，考虑到代码的完整生命周期似乎并没有作为企业核心数据资产得到保护，目前实质上有没有这样的代码在野泄漏还是个未知数），而通过程序逆向还原代码逻辑也在一定程度上可获取原始代码关键特征。 从下游看，则可能有多种方式将恶意代码伪造得像正常代码并实现“碰瓷”。最简单地，可以大量复用关键代码特征（如字符串，自定义数据结构，关键分支条件，数据记录和交换私有格式等）。考虑到在进行溯源时，分析者实际上不需要100%的匹配度才会怀疑，因此仅仅是仿造原始程序对于第三方公开库代码的特殊定制改动，也足以将公众的疑点转移。而近年来类似自动补丁代码搜索生成的方案也可能被用来在一份最终代码中包含有二方甚至多方原始代码的特征和片段。 基于开发者溯源的定点渗透 既然在未来可能存在准确将代码与自然人对应的技术，那么这种技术也完全可能被黑色产业利用。可能的忧患包括强针对性的社会工程，结合特定开发者历史代码缺陷的漏洞挖掘利用，联动第三方泄漏人员信息的深层渗透，等等。这方面暂不做联想展开。 〇. 没有总结 作为一场旨在定义“软件供应链安全”威胁的宣言，阿里安全“功守道”大赛将在后续给出详细的分解和总结，其意义价值也许会在一段时间之后才能被挖掘。 但是威胁的现状不容乐观，威胁的发展不会静待；这一篇随笔仅仅挑选六个侧面做摘录分析，可即将到来的趋势一定只会进入更加发散的境地，因此这里，没有总结。 本篇文章为转载内容。原文链接：https://blog.csdn.net/systemino/article/details/90114743。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...开发技术的不断进步，CSS模块化已经成为现代Web项目开发的标准实践之一。近年来，诸如CSS Modules、CSS-in-JS等创新解决方案进一步优化了样式管理，有效降低了大型项目中样式的冗余和耦合度。 例如，CSS Modules通过将类名本地化，确保了样式的唯一性，即使在多个模块中共用相同的类名也不会产生冲突，从而解决了本文所述的重复引用问题。同时，Webpack、Rollup等构建工具对其提供了原生支持，使得开发者可以更加便捷地在实际项目中应用这一技术。 另一方面，CSS-in-JS理念倡导将CSS直接编写在JavaScript中，利用JS的强大功能如变量、函数、条件语句等实现动态样式，这不仅可以减少全局作用域下的样式污染，还能实现按需加载，提高页面性能。 近期，框架社区围绕Tailwind CSS展开了热议，它提供了一套实用、可复用的原子类库，提倡使用预定义的实用类替代自定义CSS，从源头上避免了样式重复的问题，并与组件化开发模式完美契合，成为当下热门的CSS实践方案。 此外，关注未来的Web标准，如层叠样式表层级（CSS Houdini）项目的推进，为开发者提供了更低级别的CSS API，有望在未来解决更多复杂场景下的样式难题，进一步推动前端CSS模块化的深度发展。 综上所述，在应对样式重复引用问题时，我们不仅可以通过传统的CSS模块化策略进行优化，更应关注并探索新的技术和设计理念，以适应不断变化的前端开发需求，提升代码质量和开发效率。

...表示和调用内置图标的CSS类名前缀。在文章所描述的场景下，为了将阿里矢量图标库中的图标与layui的样式保持一致，并能像内置图标一样方便地在项目中使用，需要将阿里矢量图标的类名修改为“layui-icon”。 iconfont.css , iconfont.css是一个包含自定义矢量图标样式信息的CSS文件。在阿里矢量图标库中，用户下载的代码包通常会包含一个iconfont.css文件，其中定义了每个图标对应的Unicode编码及样式属性。在本文中，开发者需要通过编辑这个文件，并将其内容合并到layui.css中，以便于在layui项目中引入和应用阿里矢量图标。

...丰富实用的组件资源，设计风格那叫一个优雅，简直让广大开发者们爱不释手，直击心灵啊！不过，在实际动手开发的时候，咱们可能会遇到这么个情况：得把Element-UI和Bootstrap、React这些不同的框架或是库捏在一起用。就像是做菜一样，你可能需要把几种不同的食材混搭在一道菜里，让它们相互配合，烹调出更丰富的效果。这篇指南会手把手地带你一步步揭秘，如何在Vue项目里灵活运用和完美融合Element-UI以及其他各类框架，让它们像家人一样和睦相处，共同发挥出最大的能量。 1. 安装并引入Element-UI到Vue项目 首先，让我们从最基础的步骤开始——将Element-UI引入到你的Vue项目中： bash 使用npm安装element-ui npm install element-ui --save 在main.js中全局引入Element-UI并应用主题样式 import ElementUI from 'element-ui'; import 'element-ui/lib/theme-chalk/index.css'; Vue.use(ElementUI); 这样，你就可以在整个Vue项目中方便地调用Element-UI的各种组件了。 2. Element-UI与Bootstrap的整合 虽然Element-UI提供了全面的UI组件，但在某些情况下，你可能仍想利用Bootstrap的CSS样式来丰富项目的视觉效果。这时，你需要做的就是分别引入这两个库，并注意避免样式冲突。 html 需要注意的是，由于Bootstrap和Element-UI都对一些基础样式进行了定义，比如按钮、表格等，因此在具体使用时，你可能需要通过自定义CSS来调整样式层级或者覆盖默认样式，确保两者能够和谐共存。 3. Element-UI与React的交融 尽管Element-UI是为Vue设计的，但这并不意味着它不能与React配合使用。借助vue-reactive-components等库，我们可以实现Element-UI在React项目中的集成。 jsx import { withReact } from 'vue-reactive-components'; import { Button } from 'element-ui'; const ElButton = withReact(Button); function MyReactComponent() { return ( {/ 使用Element-UI的Button组件 /} 点击我 ); } export default MyReactComponent; 在这段代码中，我们将Element-UI的Button组件转换为了可以在React中使用的组件。虽然这种方法并非完美无缝，但足以满足基本需求。当然啦，根据你手头项目的复杂程度和实际需求，你可能还需要深入去解决状态管理啊、事件绑定这些个问题。 4. 结合思考与探讨 在实际开发中，框架与库的整合往往涉及到诸多细节和挑战。就像我们在上面举的例子中见识到的那样，重点其实就一句话：摸透每个框架或者库的核心本领和运作门道，这样咱们才能慧眼识珠，挑出最合适的组合方案。同时呢，这也意味着咱们得有那么点儿随机应变的能耐和脑洞大开的创新思维，好随时对付那些从天而降的技术挑战。 总的来说，无论是Element-UI与Bootstrap还是React的结合，都是为了构建出功能完善且美观的Web应用。在这个过程中，咱们得把各种框架的优点都榨干了用尽，同时还要像玩拼图一样巧妙解决那些可能出现的兼容性小插曲。只有这样，才能真正打造出一个既跑得飞快又稳如磐石的项目来。希望本文能帮助你在实战中更好地驾驭这些工具，让技术服务于业务，创造更大价值。

...来越多地开始关注如何利用React构建可复用的动画库或组件。这篇文会手把手带你揭秘如何用React这个工具，捣鼓出一套既能炫又能复用的动画库或者组件，还会送上一些实打实的例子，让你能对照着学，包你一看就懂！ 二、为什么需要可复用的动画库或组件？ 首先，我们需要明确为什么需要可复用的动画库或组件。随着项目的不断扩大，我们会遇到越来越多复杂的动画效果需求。要是每次我们都要从头开始编写全新的动画效果代码，那铁定会让我们的工作量蹭蹭上涨，而且这样很容易就造成代码到处都是重复的部分，维护起来也会变得相当棘手。所以，如果我们能捣鼓出一套可重复使用的动画库或者组件，那就能超级省时省力，让我们的开发工作轻松不少。而且这样一来，代码的稳定性和一致性也能妥妥地得到保障，就像给程序加了保险一样。 三、如何利用React构建可复用的动画库或组件？ 接下来，我们将介绍如何利用React构建可复用的动画库或组件。具体来说，我们需要遵循以下几个步骤： 步骤一：定义动画效果 首先，我们需要定义动画效果。这一步真的超级重要，要知道，动画效果做得好不好，那可是直接关系到整个APP用起来爽不爽的关键因素！比如，我们可以设计一个超酷的淡入动画效果，想象一下这样的情景：当你轻轻一点按钮，页面上的某个元素就像被施展了魔法一样，慢慢地、优雅地从隐形状态显现出来，给你带来意想不到的视觉惊喜。 步骤二：封装动画效果 接下来，我们需要封装动画效果。在做这个操作的时候，我们可以把动画效果单独打包成一个自定义的小部件或者函数，这样一来，你在其他任何需要的地方都能随时调用它，就像从工具箱里取出小工具一样方便。比如说，我们能创建一个名叫FadeIn的组件，这个小家伙呢，会接收一个props参数，这个参数的作用可大了，就是用来告诉我们它要让哪个元素逐渐显现出来，实现淡入效果。 步骤三：使用动画效果 最后，我们需要在应用程序中使用动画效果。在这个过程中，我们可以直接调用封装好的动画效果，而不必再次编写动画效果的代码。比如说，当你点击一个按钮的时候，我们可以在那个按钮的“事件响应小助手”里头，呼唤出一个叫FadeIn的小工具，让它帮忙让某个元素像魔术般慢慢显现出来，实现淡入的效果。 四、实战演示 现在，让我们来看一下如何利用React构建一个可复用的淡入动画库或组件。首先，我们需要定义动画效果。想在React项目里实现一个淡入动画效果？这里有个小窍门。首先，我们可以巧妙地利用React那个叫做useState的小工具来掌控状态的变化。然后呢，再搭配CSS动画的魔法，就能轻松把淡入效果玩转起来，让元素如同晨雾般自然显现。以下是代码示例： javascript import React, { useState } from 'react'; import './FadeIn.css'; const FadeIn = ({ children }) => { const [show, setShow] = useState(false); return ( {children} ); }; export default FadeIn; 在上述代码中，我们首先导入了useState钩子和相关的CSS文件。接下来，我们捣鼓出了一个名叫FadeIn的组件，这个小家伙有个特性，它可以接受一个叫children的属性，这个属性呢，就是用来告诉我们它要帮哪些内容慢慢变得可见，也就是淡入进来。在咱这组件里面，我们用了一个叫做useState的小玩意儿来捯饬"show"这个状态。简单来说，就是如果"show"这小家伙的值是true，那我们就把内容亮出来给大家瞅瞅；否则的话，就把它藏起来，不让大家看到。此外，我们还添加了一个CSS类名fade-in和hidden，用于控制淡入和隐藏的效果。 接下来，我们需要在应用程序中使用动画效果。以下是一个简单的示例，我们在点击按钮时，调用FadeIn组件来淡入某个元素： javascript import React, { useState } from 'react'; import FadeIn from './FadeIn'; function App() { const [showMessage, setShowMessage] = useState(false); const handleClick = () => { setShowMessage(true); }; return ( Click me {showMessage && {message} } ); } export default App; 在上述代码中，我们首先导入了FadeIn组件和useState钩子。然后，我们定义了一个App组件，这个组件包含一个按钮和一个FadeIn组件。当按钮被点击时，我们调用setShowMessage方法来改变showMessage的状态，从而触发FadeIn组件的淡入效果。

...r是一款专为现代网页设计打造的轻量级、跨浏览器jQuery日期选择器插件。该插件利用了ES5和CSSFlexbox技术，确保在包括但不限于Chrome、Firefox、Safari、Opera、360、搜狗以及最新版本的Edge等主流浏览器中都能流畅运行，实现高效而友好的用户体验。通过集成AirDatepicker到项目中，开发者可以轻松实现美观且功能丰富的日历选择功能，用户能够直观地选取或输入日期信息。此插件具备易于安装与配置的特点，可通过Bower或npm包管理器进行快速添加至项目依赖。使用时，开发人员需确保已引入jQuery核心库，以及AirDatepicker所需的datepicker.min.js和datepicker.min.css文件。AirDatepicker提供了灵活多样的自定义选项，以满足不同场景下的设计需求，如主题样式调整、日期范围限制、语言本地化支持等，是构建现代化Web应用时理想的日期选择组件之一。 点我下载 文件大小：85.08 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...uery插件，它充分利用了CSS3的过渡动画特性来为用户提供丰富的视觉体验。这款插件设计精良，尤其适用于需要吸引用户注意力并提供沉浸式内容展示的现代网页设计中，特别是在移动优先和响应式布局的场景下表现优异。通过集成animate.css库，animatedModal.js赋予开发者高度的灵活性和创意空间，允许他们从animate.css中的众多预设动画效果中任意选择或自定义创建模态窗口打开、关闭时的过渡动画。这意味着，无论是淡入淡出、滑动、旋转还是其他复杂的动画特效，都能轻松应用于全屏模态窗口的显示与隐藏过程中，从而提升网站的用户体验和交互性。总之，animatedModal.js是一个功能强大且易于使用的工具，它将jQuery与CSS3技术紧密结合，帮助开发人员在项目中快速实现全屏模态对话框，并通过炫酷而流畅的过渡动画让页面交互更具吸引力和专业感。 点我下载 文件大小：74.98 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...款专为提升用户体验而设计的jQuery插件，专注于美化列表选择元素，包括select、radio和checkbox等。这款插件特别适用于选项数量不多的情况，旨在通过视觉和交互上的改进，让用户的操作更加直观且愉悦。ui-choose通过提供定制化的样式和交互效果，使得原本可能显得单调乏味的列表选择组件焕然一新。它支持动态加载和分组展示选项，使得界面更加整洁有序，同时增强了用户在选择过程中的导航体验。插件还内置了优化的性能机制，确保即使在大量选项的情况下也能保持流畅的操作响应。ui-choose的实现依赖于jQuery，这意味着它可以轻松地集成到现有的基于jQuery的项目中，无需额外的学习成本。开发者只需引入相应的jQuery、ui-choose.js和ui-choose.css文件，即可开始利用其强大的功能。此外，ui-choose提供了丰富的自定义选项，允许开发者根据自己的需求调整样式、动画效果以及行为逻辑，从而实现高度个性化的界面设计。总之，ui-choose是一个强大且灵活的工具，旨在通过其美观且实用的设计，显著提升基于列表选择元素的用户体验。无论是网站开发还是应用程序构建，ui-choose都能成为优化用户界面、提高互动性和减少用户操作复杂度的有力助手。 点我下载 文件大小：47.21 KB 您将下载一个JQuery插件资源包，该资源包内部文件的目录结构如下： 本网站提供JQuery插件下载功能，旨在帮助广大用户在工作学习中提升效率、节约时间。 本网站的下载内容来自于互联网。如您发现任何侵犯您权益的内容，请立即告知我们，我们将迅速响应并删除相关内容。 免责声明：站内所有资源仅供个人学习研究及参考之用，严禁将这些资源应用于商业场景。 若擅自商用导致的一切后果，由使用者承担责任。

...ML代码来构建的，如定义标题、引入样式表、设置字符编码以及组织页面区块等。 UTF-8编码 , UTF-8是一种针对Unicode字符集进行编码的方法，它是一种变长字节编码格式，能对世界上几乎所有的字符和符号进行编码表示。在文章所述的传智书城网站中，“meta charset=UTF-8”表明网页采用了UTF-8编码格式，确保了不同语言文字能在网页上正确无误地显示出来，满足国际化的使用需求。 CSS样式表 , 层叠样式表（Cascading Style Sheets），是一种用来描述HTML或XML（包括如SVG、MathML等各种XML方言）文档样式的样式表语言。在传智书城网站的HTML代码中，“link rel=stylesheet href=style.css”这一行说明网页链接了一个外部样式表文件“style.css”，通过CSS可以统一控制网页元素的布局、颜色、字体等视觉表现形式，实现网页的美化和风格统一化设计。

...术的发展，HTML5自定义元素正逐渐成为构建复杂、可复用组件的新标准。Google的AMP（Accelerated Mobile Pages）项目也是近年来备受瞩目的领域，旨在通过优化HTML、CSS及JavaScript来实现移动网页的快速加载与渲染，极大提升了用户体验。 此外，语义化HTML5标签如 、 、 等的应用日益广泛，不仅有利于搜索引擎优化，更使得网页内容更具可读性和易于理解。W3C组织也在不断更新和完善HTML5规范，比如对无障碍访问（Accessibility）属性的强化，确保更多用户能够无障碍地浏览网页内容。 近期，GitHub上开源的静态网站生成器（如Hugo、Jekyll）也越来越多地采用HTML5作为基础模板语言，结合Markdown等轻量级标记语言，简化了内容创作和发布流程，凸显出HTML5在现代Web开发中的基石作用。 同时，响应式设计和PWA（Progressive Web App）的普及，让HTML5开发者需要进一步掌握CSS Grid布局、Flexbox以及Service Worker等相关技术，以打造流畅且接近原生应用体验的网页产品。 综上所述，对于HTML5的学习不应仅限于基本语法和元素的理解，还应关注行业前沿动态，紧跟Web开发的标准更新和技术发展趋势，以适应不断变化的互联网环境需求。

...Stepper组件的自定义步骤指示器后，我们还可以关注更多关于前端组件个性化定制和用户体验优化的前沿动态与深度解析。近期，Google Material Design团队发布了一系列关于增强无障碍设计的新指南，强调在构建用户界面时，应确保Stepper等交互组件对各类用户群体（包括视觉障碍者）友好，建议开发者在自定义步骤指示器时充分考虑颜色对比度、键盘导航以及屏幕阅读器支持等因素。 此外，随着Web Components技术的发展，React社区也在积极讨论如何更好地整合原生Web组件以提升性能和灵活性。例如，有开发者分享了如何将Material-UI Stepper与Stencil.js或LitElement等库结合使用，创建出可复用且高度自定义的步骤进度条组件，并在实际项目中取得了良好的效果。 另外，在Material-UI官方文档及GitHub仓库中，不断有新的自定义案例和最佳实践涌现，如通过CSS-in-JS技术styled-components进一步细化Stepper组件样式，或是利用Material-UI Lab中的实验性功能扩展其功能边界。这些实时更新的资源对于寻求更深层次个性化定制的开发者来说，是不可多得的学习参考资料。 总之，前端开发的世界日新月异，紧跟行业发展趋势，了解并掌握如何针对不同场景高效地定制化Material-UI组件，不仅能提升应用的用户体验，也是每一位追求卓越的前端工程师必备技能之一。

...探索移动端导航栏折叠菜单的实现方式之后，我们发现近期Web开发领域对此类交互设计的研究和实践日益深入。尤其在响应式设计愈发重要的今天，如何通过原生JavaScript或其他前端框架优化这类交互体验，成为了众多开发者关注的焦点。 2023年5月，Google在其Material Design Web组件库中发布了全新的折叠菜单组件，不仅提供了流畅的过渡动画效果，还支持自定义样式以及多级子菜单的展开收起功能。这一更新为开发者在移动端及桌面端创建灵活且用户体验良好的导航结构提供了强有力的支持。 此外，一项关于“CSS动画性能优化”的研究也于最近出炉，来自Mozilla的前端工程师团队分析了使用max-height与height属性结合transition实现动画时的浏览器渲染机制，并提出了一种新的优化策略。该策略强调在处理未知高度元素时，采用requestAnimationFrame API配合CSS变量实时获取并设置元素高度，从而进一步减少延迟和卡顿现象，提升用户界面的响应速度。 与此同时，也有前端社区的技术文章深度解读了无插件方案背后的设计理念和技术挑战，提倡回归原生JavaScript以追求更高的性能和更佳的可维护性。作者通过实际案例详细剖析了如何运用现代CSS特性，如Flexbox或Grid布局，与JavaScript巧妙结合，实现诸如导航栏折叠菜单这样的复杂交互效果，兼顾移动设备和桌面端的兼容性与性能要求。 综上所述，在移动端导航栏折叠菜单的实现道路上，无论是从官方库的更新迭代、学术研究的深入解析还是社区实践经验的分享，都展现出丰富的前沿技术和设计理念，为开发者们提供了持续优化和改进的方向。

...alk/index.css'; Vue.use(ElementUI); 现在，我们的环境准备好了，可以正式开启我们的Collapse折叠组件之旅了！ 第二章：Collapse折叠组件的基本用法 Collapse折叠组件的核心在于它的可折叠特性。想象一下，当你有一个长长的FAQ列表时，如果全部展开，页面会变得非常臃肿，而使用Collapse组件，你可以让这些内容按需显示，多好啊！ 基本结构 最基础的Collapse组件由el-collapse标签包裹着几个el-collapse-item标签构成。每个el-collapse-item就是一个可以折叠起来的部分，你可以用title属性来给它起个名字，这样大家一眼就能看出哪些部分是可以点开来瞧瞧的。 示例代码 让我们来看一个简单的例子： html 这里是隐藏的内容。 更多隐藏的内容... 这里我们定义了一个activeNames变量，用来控制哪些el-collapse-item是展开状态。在上面的例子中，默认展开了第一个折叠项。 第三章：进阶玩法——动态控制与样式调整 掌握了基本操作之后，是不是觉得还不够？别急，接下来我们要深入一点，看看如何更加灵活地使用这个组件。 动态控制 有时候，我们可能需要根据某些条件来动态控制某个折叠项的状态。这时，我们可以用Vue的数据绑定功能，把v-model绑在一个数组上，这个数组里放的都是我们想让一开始就是打开状态的折叠项的名字。 html 切换折叠状态 这里增加了一个按钮，点击它可以切换折叠项的展开状态。 样式调整 ElementUI提供了丰富的自定义选项，包括颜色、边框等。你可以通过换换主题或者直接调整CSS样式，轻松整成自己喜欢的折叠组件样子。 css 第四章：真实场景应用与最佳实践 了解了这么多，你可能会问：“那我在实际开发中怎么用呢？”其实，Collapse折叠组件的应用场景非常广泛，比如FAQ页面、商品详情页的规格参数展示等等。关键是找到合适的地方使用它，让用户体验更佳。 最佳实践 1. 保持一致性 无论是在标题的设计还是内容的呈现上，都要保持整体的一致性。 2. 合理规划 不要一次性展开过多内容，避免信息过载。 3. 响应式设计 考虑不同设备下的表现，确保在小屏幕上也能良好工作。 最后，别忘了不断尝试和改进。技术总是在进步，我们的理解和运用也会随之提高。希望今天的分享能帮助你在实际项目中更好地利用ElementUI的Collapse折叠组件！ --- 这就是我对你提问的回答，希望能对你有所帮助。如果你有任何问题或想要了解更多细节，请随时告诉我！