Wed, 29 Jun 2011 01:42:00 GMT我在灌江口上住,花开花落,不知流年度.雁过空遗秋色暮,抚琴细听梧桐雨.　轻舞残虹漫展书,云卷云舒,思愫万千缕.安得婵娟与共处,长作识字耕田夫.　　　　　　　　　　　　　　　　　　　诗剑书生 于灌江口．听潮居http://blog.csdn.net/blogrss.aspx?username=axmanhttp://blog.csdn.net/axman/archive/2011/06/29/6574191.aspx<br />连一个十一流水平的WEB开发人员都知道的“不要根据GET请求的内容修改数据”都没有遵守。<br />如果所有更新操作的数据都检查一下是否是POST请求，会出现被人利用URL这种弱智的方法攻击吗?<br /><br />攻击者甚至没有利用CSRF/XSS这些稍微智能一点的方法。几个月前测试过虽然首页显示的内容进行了<br />XSS过虑，但查看详细页面竟然能成功弹出XSS(Android手机客户端)，这说明对用户输入的内容并不是<br />所有出口都进行了过虑。<br /><br />不知道新浪是否有安信息全官这一角色，反正安全问题还处于入门级水平。<img src="http://www1.feedsky.com/t1/528785271/axman/csdn.net/s.gif?r=http://blog.csdn.net/axman/archive/2011/06/29/6574191.aspx" border="0" height="0" width="0" style="position:absolute" />Wed, 29 Jun 2011 09:42:00 +0800axmanhttp://blog.csdn.net/axman/archive/2011/06/29/6574191.aspxaxmanhttp://blog.csdn.net/axman/archive/2011/06/29/6574191.aspxhttp://blog.csdn.net/axman/feed.aspxcsdn.net/axman/~1190335/528785271/1190314http://blog.csdn.net/axman/archive/2011/06/18/6553951.aspx阿里在JAVA方面可以说在全国甚至全球都是最彻底的。作为阿里巴巴的技术人员，现在我仍然优先选择JAVA技术。但是这绝对不是可以BS .net的理由，BS .net的人，你真的了解.net吗？你真的了解.net在windows平台的特定优势吗？<img src="http://www1.feedsky.com/t1/528785283/axman/csdn.net/s.gif?r=http://blog.csdn.net/axman/archive/2011/06/18/6553951.aspx" border="0" height="0" width="0" style="position:absolute" />Sat, 18 Jun 2011 20:40:00 +0800axmanhttp://blog.csdn.net/axman/archive/2011/06/18/6553951.aspxaxmanhttp://blog.csdn.net/axman/archive/2011/06/18/6553951.aspxhttp://blog.csdn.net/axman/feed.aspxcsdn.net/axman/~1190335/528785283/1190314http://blog.csdn.net/axman/archive/2011/06/17/6551841.aspx<br />'a':application<br />'s':system<br />'n':network<br />我想问如何超过26个项如何表示？<br /><br />最悲哀的是我竟然无力改变这种设计。<img src="http://www1.feedsky.com/t1/528785284/axman/csdn.net/s.gif?r=http://blog.csdn.net/axman/archive/2011/06/17/6551841.aspx" border="0" height="0" width="0" style="position:absolute" />Fri, 17 Jun 2011 14:46:00 +0800axmanhttp://blog.csdn.net/axman/archive/2011/06/17/6551841.aspxaxmanhttp://blog.csdn.net/axman/archive/2011/06/17/6551841.aspxhttp://blog.csdn.net/axman/feed.aspxcsdn.net/axman/~1190335/528785284/1190314http://blog.csdn.net/axman/archive/2011/05/15/6422038.aspx6年java经验? java中HashTable和HashMap有什么区别？（这题虽然是经典面试题，但目的是当回答后想问他CurrentHashMap的实现原理）：java中有HashtTable吗？我只用过HashMap。我了个去的。<img src="http://www1.feedsky.com/t1/528785285/axman/csdn.net/s.gif?r=http://blog.csdn.net/axman/archive/2011/05/15/6422038.aspx" border="0" height="0" width="0" style="position:absolute" />Sun, 15 May 2011 10:03:00 +0800axmanhttp://blog.csdn.net/axman/archive/2011/05/15/6422038.aspxaxmanhttp://blog.csdn.net/axman/archive/2011/05/15/6422038.aspxhttp://blog.csdn.net/axman/feed.aspxcsdn.net/axman/~1190335/528785285/1190314http://blog.csdn.net/axman/archive/2011/05/12/6414154.aspx<br />在方法出现异常时需要把传入参数值和本地变量值异导出来供分析。之前因为测试的对象都是普通的值，写的loadLocalVarArray能正常工作。<br />这几天要在方法进入时inject一个long startTime供在方法退出时计算方法方法执行时间，发现如果本地变量是long和double本地变量栈中实际<br />占用两个位置，而nextLocal和firstLocal是本地变量栈的地址位置，根本无法知道实际的本地变量个数和具体的索引。<br /><br />当然用for(int i=0;i<br />         try{   loadLocal(i+firstLocal) }catch(Exception ex){........}<br />}利用异常来判断是否有某个localIndex是可以牧举出来的，但是这样太猥琐了。<br /><br />查看GeneratorAdapter发现有一个私有yojgList localTypes，在visit的时候，本地变量的type会被放在这个数组<img src="http://www1.feedsky.com/t1/528785286/axman/csdn.net/s.gif?r=http://blog.csdn.net/axman/archive/2011/05/12/6414154.aspx" border="0" height="0" width="0" style="position:absolute" />Thu, 12 May 2011 11:37:00 +0800axmanhttp://blog.csdn.net/axman/archive/2011/05/12/6414154.aspxaxmanhttp://blog.csdn.net/axman/archive/2011/05/12/6414154.aspxhttp://blog.csdn.net/axman/feed.aspxcsdn.net/axman/~1190335/528785286/1190314http://blog.csdn.net/axman/archive/2011/05/08/6403856.aspx<br />为了统计方法执行时候，我用ASM在方法开始的时候插入一个变量startLocal记录开始执行的时间，然后在结束的时间用当前时间去差这个开始时间，为了调试，我同时又插入了一个endLocal<br /><br />/** * Project: dragoon-common-2.5.3 * * File Created at 2011-5-5 * $Id$ * * Copyright 1999-2100 Alibaba.com Corporation Limited. * All rights reserved. * * This software is the confidential and proprietary information of * Alibaba Company. ("Confidential Information"). You shall not * disclose such Confidential Information and shall use it only in * accordan<img src="http://www1.feedsky.com/t1/528785287/axman/csdn.net/s.gif?r=http://blog.csdn.net/axman/archive/2011/05/08/6403856.aspx" border="0" height="0" width="0" style="position:absolute" />Sun, 08 May 2011 18:32:00 +0800axmanhttp://blog.csdn.net/axman/archive/2011/05/08/6403856.aspxaxmanhttp://blog.csdn.net/axman/archive/2011/05/08/6403856.aspxhttp://blog.csdn.net/axman/feed.aspxcsdn.net/axman/~1190335/528785287/1190314http://blog.csdn.net/axman/archive/2011/04/28/6368567.aspx<br />Objective C还不能象java这样完全自动gc。所以要么象传统C++一样从外部传入要返回的对象指针，由创建该对象的<br />调用者释放该对象，要么就在方法内部释放对象（不能返回到方法外）。<br /><br />由方法设计者在方法内分配并反回对象，由方法调用者在方法外释放对象是一种极不友好的协作方式。非常容易出问题，<br />这在传统C++中是最基础的知识。<img src="http://www1.feedsky.com/t1/528785288/axman/csdn.net/s.gif?r=http://blog.csdn.net/axman/archive/2011/04/28/6368567.aspx" border="0" height="0" width="0" style="position:absolute" />Thu, 28 Apr 2011 08:55:00 +0800axmanhttp://blog.csdn.net/axman/archive/2011/04/28/6368567.aspxaxmanhttp://blog.csdn.net/axman/archive/2011/04/28/6368567.aspxhttp://blog.csdn.net/axman/feed.aspxcsdn.net/axman/~1190335/528785288/1190314http://blog.csdn.net/axman/archive/2011/04/27/6367218.aspx<br />2011年的BlackHat DC 2011大会上Ryan Barnett先生的杰作。<br /><img src="http://www1.feedsky.com/t1/528785290/axman/csdn.net/s.gif?r=http://blog.csdn.net/axman/archive/2011/04/27/6367218.aspx" border="0" height="0" width="0" style="position:absolute" />Wed, 27 Apr 2011 16:20:00 +0800axmanhttp://blog.csdn.net/axman/archive/2011/04/27/6367218.aspxaxmanhttp://blog.csdn.net/axman/archive/2011/04/27/6367218.aspxhttp://blog.csdn.net/axman/feed.aspxcsdn.net/axman/~1190335/528785290/1190314http://blog.csdn.net/axman/archive/2011/04/27/6365821.aspx<br />这个故障已经过去好多天了，但是还是要记在这里以供别的兄弟参考。<br /><br />现象：<br />      应用服务器正常服务期间，load突然飙高，但是看访问日志却发现不了异常，应用支持的架构师说访问量没有任何异常。<br /><br />分析：<br />      load突然飙高,要么瞬间访问量突然加大，要么原来的事务中依赖的资源突然耗时导致事务处理时间突然加大。<br /><br />我们的应用集群下服务器的性能还是有把握的，正常的有交易性事务的服务能力也在500万/日以上。而服务器在正常服务器间<br />没有做任何改动，所以首先不考虑参数优化和代码性能造成的原因。<br /><br />先分析所有事务的处理时间，根本accesslog分析基本排除每次请求处理超时，也就排除请求处理中访问其它资源耗时的情况。<br />于是再次想到访问量，应用支持架构师说该时段内访问量正常，但是..........<br /><br />我们的服务能力在高峰期有几十万/时，从整个时段内看不了异常，但如果在某几分钟内突然发生十万请求，对于整个时段是看不出来<img src="http://www1.feedsky.com/t1/528785295/axman/csdn.net/s.gif?r=http://blog.csdn.net/axman/archive/2011/04/27/6365821.aspx" border="0" height="0" width="0" style="position:absolute" />Wed, 27 Apr 2011 08:27:00 +0800axmanhttp://blog.csdn.net/axman/archive/2011/04/27/6365821.aspxaxmanhttp://blog.csdn.net/axman/archive/2011/04/27/6365821.aspxhttp://blog.csdn.net/axman/feed.aspxcsdn.net/axman/~1190335/528785295/1190314http://blog.csdn.net/axman/archive/2011/04/25/6360707.aspx尽管这个问题有过n次教训。但是监控开发这两天再次被该问题折磨。他们不知道折腾了多久，找到了我。一个帮助页面，浏览过后session就会丢失，需要重新登录。而其它页面就没有这个问题。首先这个页面是一个静态页面，所以怀疑其中有js改写成cookie引起session丢失，但是搜索了现根本没有js.然后考虑一定是某种源加载引发异常，一种一种排查。当把img src都替换成img src1时，问题消失，说明图片加载引起。既然是图片加载引起，于是分两种情况，一是大量图片并发，导致有的图片请求时间超时，而引起tomcat/jboss的那个著名的request没有清空的bug. 但打开debug模式看，因为本地调试，图片请求都很快完成。没有超时出现。突然灵光一闪，好久以前解决过的src=""引起的session异常，因为src=""在不同浏览器解析不同，有的会解释成http://host/就去访<img src="http://www1.feedsky.com/t1/528785297/axman/csdn.net/s.gif?r=http://blog.csdn.net/axman/archive/2011/04/25/6360707.aspx" border="0" height="0" width="0" style="position:absolute" />Mon, 25 Apr 2011 09:44:00 +0800axmanhttp://blog.csdn.net/axman/archive/2011/04/25/6360707.aspxaxmanhttp://blog.csdn.net/axman/archive/2011/04/25/6360707.aspxhttp://blog.csdn.net/axman/feed.aspxcsdn.net/axman/~1190335/528785297/1190314