18

文/ 晁晓娟


以工作中某项目的安全改善过程为例,分享了常用网站安全性的典型问题和解决对策,希望对网站开发者有借鉴意义。

有过网站开发经验的朋友都知道网站安全是构建网站时必须要考虑的一个因素,网站安全的重点在于服务器的安全配置管理以及程序脚本的完善性。值得注意的是,如果服务器的账号和权限由于管理不善而泄露了,即使技术上网站系统再安全,也不可避免会受到攻击。

在笔者曾经参与过的一个项目中,客户方邀请了专业的第三方安全测试公司进行了安全性的全面检测,同时也针对性地进行了安全性的改善,特别是在应用程序方面。此文将分享改善过程中的几个典型问题的分析和解决对策,包括SQL注入攻击、跨站点脚本攻击、验证码绕过等,希望能够为大家在改善网站安全方面的工作提供参考,并采取相应的防范措施。


项目背景

该项目使用的技术和平台:

OS:Windows 2008 Server, Enterprise Edition 64-bit

Database:Microsoft SQL 2005 Server, Standard Edition

WebServer:IIS7.0

开发平台:.NET Framework 2.0

考虑到网站安全的跨平台和通用性,文中讨论时仅提供对应策略不使用实际代码,这里所有的项目网站用到的域名统一用example.com代替。 阅读全文 »

标签:
阅读:15,084 次
12

文/张凯峰


上个月,Ajax网站AjaxLine统计发布了30款最受欢迎的Eclipse插件,这次遴选出的插件,范围涉及Python、LAMP、Web、Emacs、SQL、Log、UML和IDE增强等诸多方面,琳琅满目的Eclipse插件体现出插件机制在Eclipse中优异的扩展性能,以及Eclipse作为IDE在开发者心目中的地位。

众所周知,Eclipse是最初作为Java IDE发布的一个开放平台,因其具备完善的插件扩展机制,并逐渐加入对于C++和其他语言平台的支持而受广大开发群体的欢迎,一度成为IDE市场事实上的标准。很多软件开发厂商,包括IBM和Oracle在内,都基于Eclipse平台推出各自贯穿软件生命周期的产品平台,比如IBM的Rational产品系列、Oracle的JDeveloper,还有ThoughtWorks的自动化测试平台Twist。在InfoQ中文站上进行调查的结果中显示,除了这些著名非著名的插件外,国内开发者们还比较热衷于使用MyEclipse和Apatana这样的Eclipse插件,当然开源的插件更是不计其数。

最近20年无疑是IDE快速发展的时期,层出不穷的语言需要强力的IDE来支持,语言、程序员和软件厂商在这个新兴的市场中博弈浮沉。近观这几年我们就会发现有的IDE在厂商的金元支持下不断增强,老产品发布的新版本强劲有力;而有的IDE则城头变换大王旗,甚至彻底没了踪影;有的新款专业级甚至开源的IDE随着新兴语言的登场让人眼前一亮;有的却怠于改进反响微弱,让人食之无味弃之可惜

让我们来看一下,最近一年IDE们都在忙些什么?那些耳熟能详的IDE现在怎么样了?这个市场上又出现了哪些新面孔呢?IDE在朝着怎样的一个方向发展? 阅读全文 »

标签:
阅读:4,802 次
04

李伟

李伟

西门子中国中央研究院首席架构师、图书《架构之美——软件架构的艺术》作者李伟,从架构师的定义和内涵、能力和素质要求、成长途径等方面向您阐述成为一个真正的架构师需要经历的历程。


记者: 您认为具备哪些能力,才算是真正的架构师?

李伟:虽然业界有关什么是“软件架构”有着明确的定义及共识,但是确实没有软件架构师的定义。简单地讲,架构师是一个技术控制的角色。技术控制是从客户或市场开始,一直到交付或服务的整个链条。如果大家对一个应用研发机构或产品研制机构的主要活动熟悉的话,就知道该链条上存在很多需要架构师负责的控制点。以西门子为例,西门子的战略市场部门就会和业务部门的很多架构师进行协作。这主要是由于战略市场部门的职能之一就是对未来十到十五年的技术和创新进行预判。这样的技术预判,如果没有架构师作为技术控制,单凭MBA出身的市场人员,大家能相信这样的技术预判吗?所以架构师需要具备一定程度的技术及创新预判能力。 阅读全文 »

标签:
阅读:6,616 次
16

作者:Steve Mushero  译者:侯伯薇

总结了国内网络和游戏公司运行后端服务器过程中所得到的实践经验和教训。这些规则适用于日访问量从一万到上百万的大型系统。

在我们公司ChinaNetCloud,见过多种不同类型的网站和系统,有好也有差。其中有些系统拥有良好的服务器/网络架构,并且进行了合理的调整和监控 ;然而一般的系统都会有安全和性能上的问题,不能良好运行,也无法变得更流行。

在中国,开源的LAMP栈是最流行的网络架构,它使用PHP开发,运行在Apache服务器上,以MySQL作为数据库,所有这些都运行在Linux上。它是个可靠的平台,运行良好,是现在全球最流行的Internet系统架构。然而,我们很难对其规模进行正确的扩展并保持安全性,因为每个应用层都有其自身的问题、缺陷和最佳实践。我们的工作就是帮助企业用最低的操作成本来创建并运行高性能的、可伸缩的、安全的系统,因此对于这类问题我们有很丰富的经验。 阅读全文 »

标签:
阅读:5,200 次
16

作者:蔡学镛


蔡学庸在试图建立“技术文档”时,许多人可能会想到“文档模板” 。文档模板的存在究竟是好是坏,因人因事而异。此外我们也应该分清楚:何时应该使用文档模板,何时不要使用文档模板?


使用模板的好处


先来看看使用模板的好处:

1、在你毫无头绪时,文档模板具有引导写作的功效。

2、文档模板可以帮助你不会遗漏一些该写的重点(假设该模板已经很完备)。

3、你可以专注写内容,不用分心去管板型(因为模板都已经将这些设置好了)。板型很重要,好的板型有助于阅读。

阅读全文 »

标签:
阅读:8,013 次
12

主持人

冯大辉彩色冯大辉,阿里巴巴集团旗下支付宝 (中国)网络科技有限公司数据库架构师,负责支付宝数据库架构规划、解决方案等相关工作。

提问嘉宾

岳旭强岳旭强淘宝网资深架构师,在大型交易网站的设计和调优方面有丰富的经验。2004年加入淘宝,见证了淘宝网业务以及技术上完整的发展过程,参与了淘宝几乎所有核心系统改造,并主导了用来支撑淘宝网未来高速发展的核心业务中心的建设。现在负责网站整体业务架构的设计和规划。

回答嘉宾

杨卫华杨卫华新浪产品事业部技术经理,专注于开发高并发的分布式应用。对互联网后端技术、分布式、网络编程、XMPP即时通讯等领域感兴趣。曾多次组织广州及珠三角技术沙龙活动。个人Bloghttp://timyang.net

岳旭强:企业内部技术产品开源有何好处?需要注意什么?

杨卫华:目前不少心态开放的企业已将一些会给业界带来价值的产品进行开源。新浪也在这方面进行了不少尝试,近几年开源了若干产品。根据我们的体会,产品开源一方面可以促进项目参与人员将技术做得更好,在程序结构、代码风格、代码一致性、代码效率方面会更加谨慎,让源代码及文档达到业内开发人员认可的标准。而业内很多闭源产品通常只要求项目内部范 阅读全文 »

标签:
阅读:3,463 次
06

史蒂夫·鲍尔默在华盛顿大学的演讲

华盛顿大学

史蒂夫·鲍尔默

华盛顿大学计算机科学与工程Paul G. Allen中心

201034

主持人:欢迎华盛顿大学校长Mark Emmert先生讲话

MARK EMMERT早上好!

首先,欢迎各位莅临计算机科学与工程学院。我们曾预计今天将会座无虚席,现在就连悬厅也坐满了。欢迎大家的到来。众所周知,我们与微软之间有着非常悠久的关系。从史蒂夫和比尔刚进入校园,开始痴迷于计算机,一直到现在,可以说华盛顿大学与微软之间已建立并将继续保持前所未有的重要关系,对此我们深感自豪。每年,我们向微软公司输送约100位毕业生。学校还有大批微软实习生。我们还在研究、扩展和教育领域与微软互换师资,这对我们非常重要。因此,华盛顿大学的师生们热烈欢迎史蒂夫在这里发表演讲,让大家有机会聆听他的真知灼见。

显然,我不需要花时间来介绍史蒂夫了,他的名字如雷贯耳。他的履历几乎无可挑剔——除了“不是华盛顿大学的学子”这一点。他的成就已经超越了他所获得的哈佛学位,作为一名卓越的企业领导,他非常成功。在微软诞生的过程中——我猜您就像一个助产士、一个24小时废寝忘食工作的员工,对吗,史蒂夫?

史蒂夫参与了微软所有的重大事件,并且一开始就作为整个企业的领导层,一手打造了这个对全球产生变革性影响的企业,改变了我们的工作方式和生活方式。

因此,我非常荣幸能把史蒂夫·鲍尔默——这位华盛顿大学伟大的朋友、出色的企业领导、西北地区的卓越公民——介绍给大家。(鼓掌) 阅读全文 »

标签:
阅读:3,514 次
15

2010年1月14日,IBM宣布推出面向云环境的软件开发解决方案“面向云计算的IBM Rational软件交付服务”和“IBM云环境中的IBM智慧的业务开发和测试”。 在《程序员》记者应邀出席的新产品发布媒体见面会上,IBM软件集团Rational总监Dave Locke先生、IBM软件集团大中华区Rational总经理夏然先生和IBM Rational中国开发中心总经理严成文先生均作了即席演讲,分享了Rational基于云的全新应用。

本次推出的两个解决方案旨在帮助开发人员在公共云和私有云环境中实现软件开发 和交付,借助IBM云计算的优势,这种开发模式将在成本节约、灵活性、速度、敏捷和治理等方面为客户带来巨大价值。同时,这一解决方案的推出,也将进一步 扩大IBM在云计算领域的领导优势。 阅读全文 »

标签:
阅读:2,309 次
07

林昊(1)提问嘉宾:

林昊,网名BlueDavy,China OSGi User Group Director,淘宝网平台架构部架构师,个人的研究方向主要为Java模块化、动态化系统的构建以及高性能的大型分布式Java系统的构建。曾编写《OSGi实战》和《OSGi进阶》两篇Opendoc,为OSGi在中国的推广起到了很大的作用。


回答嘉宾:黄东(1)

黄冬,有多年软件开发、系统架构、系统运营的经验验。长期关注于高可用性、高可扩展性的系统架构设计。主持设计和运行过多个大型高容量产品和系统,也是中国FreeBSD、Python社区的发起者和积极参与者,也是国内啄木鸟(http://www.woodpecker.org.cn)社区的创始人之一。现在正在北京从事系统架构咨询及系统运营外包的的创业之路。


林昊:随着数据量的不断增长以及前端应用的不断水平扩充,数据库的压力会成为明显的问题,这个时候常用的方案是数据拆分,在数据拆分时有些什么较好的拆分方式,以及如何能够做到数据拆分后对已有程序不产生影响或产生很小的影响?

黄冬:这个拆分以应用的特性为主,从业务的特性出发更为重要,不是一个技术层面的通用解决方案,一般来讲先会从业务自身分析,已经有人总结过数据库做拆分的几种方式: 阅读全文 »

标签:
阅读:9,296 次
十二 30

_DSC3118今天下午两点(2009年12月30日),IBM 敏捷开发实践的领导者Scott  Ambler 在期下榻的北京香格里拉饭店,接受了《程序员》杂志记者的专访。在持续1个多小时的访谈中, Scott  Ambler 就中国敏捷开发者比较关心的一些问题,比如:如何说服公司决策层采纳敏捷、IBM公司内部项目团队运用敏捷开发的情况、敏捷方法的关键问题和注意事项等,进行了分享和交流。

Scott  Ambler是敏捷建模方法学的创建者和思想领导者,是软件开发方法年轻一代的领军人物之一,在理论和实践上的造诣都很深厚。他是《Software Development》杂志的专栏作家,撰写了多部颇受推崇的著作,其中包括:《数据库重构》 (2007年第17届Jolt生产效率大奖图书)《UML风格》(享誉全球的UML秘籍)等。

关于 Scott  Ambler 接受本次专访的详细内容,将在《程序员》2010年第2期呈现,敬请关注!

标签:
阅读:2,462 次
preload preload preload
京ICP备06065162