无风的港湾 » url

ASP防注入新方式，希望对大家是有用的

江小邪 — Wed, 28 Jul 2010 02:00:27 +0000

最近我的网站经常把js脚本注入到数据，清除了又来。先后在网上找了很多的方法，还是没有用的，十分恼火。

首先先告诉大家一个批量清除代码的sql语句。

update 表名 set 字段=replace(字段,’script src=http://3b3.org/c.js>
1、分析那些无聊的人，或者有些病态的人究竟做了些什么。

通过iis的日志或者microsoft urlscan 日志查看，在一些通过id查询数据库内容的时候后面被人加了一段很长的字符窜。

%%3B%%44%%65%%43%%4C%%61%%52%%45%%类似这样的字符窜，一定是其他的方式编码

首先我们先用工具分析下如此之长的字符窜究竟包含了些什么内容。

通过批量替换工具把%%全部替换成空，然后把得到的字符串通过其他的转码工具，转成字符窜。

;DeCLaRE @S NvArCHaR(4000);SeT @S=CaSt(0×45这里代码去掉了06F007200 aS NvArChAR(4000));ExEc(@S);–

就是一段与通过id查询数据库同时执行的sql，就给数据库某些表的字段加入了js病毒连接。

2、所以我们的原来的防sql注入的字符串就需要升级了。

如果过滤16进制

; 对应 3B

DeCLaRE 对应 4465434C615245

@ 对应 40

NvArCHaR 对应 4E76417243486152

set 对应 536554

CaSt 对应 43615374

as 对应 6153

exec 对应 45784563

- 对应 2D

把16进制的代码用|隔开放到injdata 里面

injdata = “3B|2D|’|;|and|exec|insert|select|delete%20from|update|count|”

然后自己测试下，程序是否拦击了这些16进制的代码，本人测试过是可以拦击的，如果不加入这些是不拦击的

照样可以注入到数据库。

让IIS只监听指定IP

江小邪 — Wed, 28 Jul 2010 01:12:50 +0000

放入Windows Server 2003安装光盘，在目录\Support\Tools\下面找到Support.msi文件，安装他。
　　安装文件也可以在http://www.cdnunion.net/soft/support.rar下载。
b.用cmd进入C:\Program Files\Support Tools目录。
c.删除0.0.0.0
　httpcfg delete iplisten -i 0.0.0.0
d.设定HTTP.sys（iis）只是侦听192.168.0.2这个IP地址，运行如下命令：
httpcfg set iplisten -i 192.168.0.2
返回的错误代码0代表成功完成
e.重起http.sys，依次在dos模式执行如下命令。
net stop http /y
net start w3svc

f.查询现在http.sys侦听Web服务的端口。
在dos模式用如下命令：
netstat -an
看看 tcp 0.0.0.0:80 0.0.0.0 listening 是否存在，如果不存在，先恭喜一下。
看看 tcp 192.168.0.2:80 …………… 是否存在，如果是，那就真正恭喜你了。
##########################################################

httpcfg query iplisten 查询

最令PHP初学者头痛的十四个问题

江小邪 — Sun, 25 Jul 2010 17:20:55 +0000

【1】页面之间无法传递变量

get,post,session在最新的php版本中自动全局变量是关闭的，所以要从上一页面取得提交过来得变量要使用$_GET['foo'],$ _POST['foo'],$_SESSION['foo']来得到。当然也可以修改自动全局变量为开(php.ini改为 register_globals = On)；考虑到兼容性，还是强迫自己熟悉新的写法比较好。　　

【2】Win32下apache2 用get方法传递中文参数会出错：

test.php?a=你好&b=你也好　
传递参数是会导致一个内部错误　　
解决办法:”test.php?a=”.urlencode(你好).”&b=”.urlencode(你也好)　

【3】win32下的session不能正常工作　

php.ini默认的session.save_path = /tmp　
这显然是linux下的配置，win32下php无法读写session文件导致session无法使用，把它改成一个绝对路径就可以了，例如session.save_path = c:windows emp　　

【4】显示错误信息　
　
当php.ini的display_errors = On并且error_reporting = E_ALL时，将显示所有的错误和提示，调试的时候最好打开以便纠错，如果你用以前php写法错误信息多半是关于未定义变量的。变量在赋值以前调用会有提示，解决办法是探测或者屏蔽。　　

例如显示$foo，可以if(isset($foo)) echo $foo 或者echo @$foo　　

【5】Win32下mail()不能发送电子邮件　　

在linux下配置好的sendmail可以发送，在win32下需要调用smtp服务器来发送电子邮件，修改php.ini的SMTP = ip //ip是不带验证功能的smtp服务器(网上很难找到)　　

php发送邮件的最好解决方法是用socket直接发送到对方email服务器而不用转发服务器。　　

【6】初装的mysql修改密码

应该使用update mysql.user set password=”yourpassword” where user=”root” 修改密码　　

【7】header already sent　　

这个错误通常会在你使用HEADER的时候出现，他可能是几种原因：

1，你在使用HEADER前PRING或者ECHO了
2.你当前文件前面有空行
3.你可能INCLUDE了一个文件,该文件尾部有空行或者输出也会出现这种错误。！　　

【8】更改php.ini后没有变化　　

重新启动web server，比如IIS，Apache等等，然后才会应用最新的设置。
这个我要补充一下，如果你是iis服务器请在cmd下用iisreset命令重新起动。用信息管理服务器重起是不起作用的。

【9】php在2003上面安装　
　
PHP4的php4isapi.dll好像和2003有些冲突，只能用CGI模式安装　　

步骤一，先www.php.net 下在一个安装程序，我是装的是：php-4.2.3-installer.exe，你也可以去找最新的版本，在安装php-4.2.3- installer.exe之前保证你的IIS6.0启动了，并能够访问。安装好以后，在默认网站–＞应用程序配置。　　
步骤二：点击 web服务扩展 –＞新建web服务扩展。　　
步骤三：扩展名–＞php,然后添加　　
步骤四：找到php.exe的路径添加上去。　　
步骤五：确定就可以了！　　　
步骤六：选择php的服务扩展，然后点击允许。　这点很重要，以前的iis5.1都没web服务扩展这项，所以用惯iis5.1的朋友很容易忽略这项。

【10】sql语句不起作用

sql语句不起作用，对数据库操作失败，最简便的调试方法，echo那句sql，看看变量的值能得到不。　
　
【11】include和require的区别　　

两者没有太大的区别，如果要包含的文件不存在，include提示notice，然后继续执行下面的语句，require提示致命错误并且退出。　　

据我测试，win32平台下它们都是先包含后执行，所以被包含文件里最好不要再有include或require语句，这样会造成目录混乱。

如果一个文件不想被包含多次可以使用include_once或require_once## 读取，写入文档数据。
function r($file_name) {　
$filenum=@fopen($file_name,”r”);　
@flock($filenum,LOCK_SH);　
$file_data=@fread($filenum,filesize($file_name));　
@fclose($filenum);　
return $file_data;}
function w($file_name,$data,$method=”w”){　
$filenum=@fopen($file_name,$method);　
flock($filenum,LOCK_EX);　
$file_data=fwrite($filenum,$data);　
fclose($filenum);　
return $file_data;}

【12】isset()和empty()的区别　　

两者都是测试变量用的，但是isset()是测试变量是否被赋值，而empty()是测试一个已经被赋值的变量是否为空。　　

如果一个变量没被赋值就引用在php里是被允许的,但会有notice提示，如果一个变量被赋空值，$foo=”"或者$foo=0或者 $foo=false,那么empty($foo)返回真，isset($foo)也返回真，就是说赋空值不会注销一个变量。　　　要注销一个变量，可以用 unset($foo)或者$foo=NULL　　

【13】mysql查询语句包含有关键字　

　php查询mysql的时候，有时候mysql表名或者列名会有关键字，这时候查询会有错误。例如表名是order,查询时候会出错，简单的办法是sql语句里表名或者列名加上`[tab键上面]来加以区别，例如select * from `order`　　

【14】通过HTTP协议一次上传多个文件的方法　　

有两个思路，是同一个方法的两种实现。具体程序还需自己去设计。　　
1、在form中设置多个文件输入框，用数组命名他们的名字，如下：

＜form action=”" method=post＞
＜input type=file name=usefile[]＞
＜input type=file name=usefile[]＞
＜input type=file name=usefile[]＞
＜/form＞
　　
这样，在服务器端做以下测试：echo “＜pre＞”;print_r($_FILES);echo “＜/pre＞”;　　

2、在form中设置多个文件输入框，但名字不同，如下：

＜form action=”" method=post＞
＜input type=file name=usefile_a＞
＜input type=file name=usefile_b＞
＜input type=file name=usefile_c＞
＜/form＞　

　在服务器端做同样测试：echo “＜pre＞”;print_r($_FILES);echo “＜/pre＞”;

AJAX应用程序开发七宗罪

江小邪 — Sun, 25 Jul 2010 16:53:25 +0000

AJAX bandwagon是个好去处。它带给你更快、更高效、更强动态的应用。但它也有自身的缺陷。

初一看，具备一些常识似乎就能避免这些缺陷，在一定程度上，的确如此。但从DHTML起源来看，AJAX应用程序充满了结构性差异。不论你在应用程序开发工作中掌握了多少常识，从别人犯的错误中吸取教训也是有好处的。我们称这些错误为“七宗死罪”，但它们不能代表全部的错误。

事实上，在你犯这些致命过失之前，你可能首先犯了一些较轻的错误。因此我们从这里着手。这是每个人都可能犯的错误。这些错误是多么普遍，通过Google搜索一下，你就可以发现大部分的错误。

七宗轻罪

1．滥用Back按钮—这是每个人都会犯的错误。Back按钮在很多网页程序中已经成为用户的期望。很多AJAX研发新手在开发AJAX应用程序时，出于多种原因都敏捷地使用着Back按钮。首先，JavaScript对于它来说不是最友好的语言；其次，AJAX设计中需要一种全新的思考方式。

对于AJAX 研发新手“后退”显然不是最好的选择。“后退”是一种你更新页面，或更常见的，你需要在特定情况下进行“撤销”时才用到的功能。在进行编码前应认识到这些，或者你可能重复做功。

2．忘记告诉用户当前发生的状况—AJAX工作原理中的一部分是其不使用常规的网页用户界面加载程序。因此，你需要明确设计一些可视的提示，使用户了解正在发生的状况。

3．忽视链接—这也是AJAX的标准失误：漏做了程序外部用户可以剪贴的URL链接。我们都曾经多少次复制过URL链接然后将其发送给别人？当你在使用AJAX 时，提供给你的用户有用URL链接的唯一方法是，手动提供给他们。为什么？因为在AJAX程序中，服务器不提供JavaScript动态生成的这个页面！不要忽视你的用户可能感兴趣的这个网络应用中最普通的功能。既然服务器不支持，那你花点功夫为用户提供URLs。

4．用内容控制替代控制—如果你正在寻找动态的内容控制，那么对传统的客户服务器交互作用的突破对你来说可是件好事。但这也是一项罪过：在重写一个页面的某精确位置上的内容以调整用户的交互式体验时确实确实能够很好的控制，但这也将使你的页面不完整。通常，我们专注于处理页面的某一部分，而忘记服务器不刷新页面。这会导致页面凌乱，用户体验降低，当他们察看页面时可能看到过时的页面!把你的注意力放在整个页面; 确保出现动态页面的内容都得到更新。

5.累死蜘蛛 –AJAX的优势在于无需重装就可以提供给页面的大量的文本；AJAX的缺陷在于无需重装就可以提供给页面的大量的文本。如果应用被设置为对搜索引擎友好，那么，你能够想象会出现什么情况。无论页面中出现了什么，请务必在最上面植入足够稳定的文本，为蜘蛛们去玩耍吧。

产生乱码文本—AJAX不支持很多字符集。这不是涉及生死的局限性，但忘记它能够产生真的问题。最基本的字符集是UTF-8。不论JavaScript发送什么，别忘记正确地编码，并且根据内容设置服务器端的字符集。
没有为使用不支持JavaScript的浏览器的用户提供提示–有些浏览器不支持JavaScript，用户一时不能明白出了什么状况。请给他们提供提示。
实话实说，其中大部分是常识性问题。真正的问题都很容易让人忽视的。

Ajax的工作原理

江小邪 — Sun, 25 Jul 2010 16:50:59 +0000

Ajax的核心是JavaScript对象 XmlHttpRequest。该对象在Internet Explorer 5中首次引入，它是一种支持异步请求的技术。简而言之，XmlHttpRequest使您可以使用JavaScript向服务器提出请求并处理响应，而不阻塞用户。

　　在创建Web站点时，在客户端执行屏幕更新为用户提供了很大的灵活性。下面是使用Ajax可以完成的功能：

* 动态更新购物车的物品总数，无需用户单击Update并等待服务器重新发送整个页面。
* 提升站点的性能，这是通过减少从服务器下载的数据量而实现的。例如，在Amazon的购物车页面，当更新篮子中的一项物品的数量时，会重新载入整个页面，这必须下载32K的数据。如果使用Ajax计算新的总量，服务器只会返回新的总量值，因此所需的带宽仅为原来的百分之一。
* 消除了每次用户输入时的页面刷新。例如，在Ajax中，如果用户在分页列表上单击Next，则服务器数据只刷新列表而不是整个页面。
* 直接编辑表格数据，而不是要求用户导航到新的页面来编辑数据。对于Ajax，当用户单击Edit时，可以将静态表格刷新为内容可编辑的表格。用户单击Done之后，就可以发出一个Ajax请求来更新服务器，并刷新表格，使其包含静态、只读的数据。
　　一切皆有可能！但愿它能够激发您开始开发自己的基于Ajax的站点。然而，在开始之前，让我们介绍一个现有的Web站点，它遵循传统的提交/等待/重新显示的范例，我们还将讨论Ajax如何提升用户体验。

原始的Ajax：直接使用XmlHttpRequest

　　如上所述，Ajax的核心是JavaScript对象XmlHttpRequest。下面的示例文章评价系统将带您熟悉Ajax的底层基本知识：http://tearesolutions.com/ajax-demo/raw-ajax.html。注：如果您已经在本地WebLogic容器中安装了ajax-demo.war，可以导航到http://localhost:7001/ajax-demo/raw-ajax.html，

　　浏览应用程序，参与投票，并亲眼看它如何运转。熟悉了该应用程序之后，继续阅读，进一步了解其工作原理细节。
　　首先，您拥有一些简单的定位点标记，它连接到一个JavaScriptcastVote(rank)函数。

function castVote(rank) {
var url = “/ajax-demo/static-article-ranking.html”;
var callback = processAjaxResponse;
executeXhr(callback, url);
}

　　该函数为您想要与之通信的服务器资源创建一个URL并调用内部函数executeXhr，提供一个回调JavaScript函数，一旦服务器响应可用，该函数就被执行。由于我希望它运行在一个简单的Apache环境中，“cast vote URL”只是一个简单的HTML页面。在实际情况中，被调用的URL将记录票数并动态地呈现包含投票总数的响应。
　　下一步是发出一个XmlHttpRequest请求：

　　如您所见，执行一个XmlHttpRequest并不简单，但非常直观。和平常一样，在JavaScript领域，大部分的工作量都花在确保浏览器兼容方面。在这种情况下，首先要确定XmlHttpRequest是否可用。如果不能用，很可能要使用Internet Explorer，这样就要使用所提供的ActiveX实现。

executeXhr()方法中最关键的部分是这两行：

req.onreadystatechange = callback;
req.open(“GET”, url, true);

　　第一行定义了JavaScript回调函数，您希望一旦响应就绪它就自动执行，而req.open()方法中所指定的“true”标志说明您想要异步执行该请求。
　　一旦服务器处理完XmlHttpRequest并返回给浏览器，使用req.onreadystatechange指派所设置的回调方法将被自动调用。
function processAjaxResponse() {
// only if req shows “loaded”
if (req.readyState == 4) {
// only if “OK”
if (req.status == 200) {
502 502′votes’).innerHTML = req.responseText;
} else {
alert(“There was a problem retrieving the XML data:
” +
req.statusText);
}
}
}

　　该代码相当简洁，并且使用了几个幻数，这使得难以一下子看出发生了什么。为了弄清楚这一点，下面的表格（引用自http://developer.apple.com/internet/webcontent/xmlhttpreq.html）列举了常用的XmlHttpRequest对象属性。

属性

描述

onreadystatechange

每次状态改变所触发事件的事件处理程序

readyState

对象状态值：

* 0 = 未初始化（uninitialized）
* 1 = 正在加载（loading）
* 2 = 加载完毕（loaded）
* 3 = 交互（interactive）
* 4 = 完成（complete）

responseText

从服务器进程返回的数据的字符串形式

responseXML

从服务器进程返回的DOM兼容的文档数据对象

status

从服务器返回的数字代码，比如404（未找到）或200（就绪）

statusText

伴随状态码的字符串信息

　　现在processVoteResponse()函数开始显示出其意义了。它首先检查 XmlHttpRequest的整体状态以保证它已经完成（readyStatus == 4），然后根据服务器的设定询问请求状态。如果一切正常（status == 200）,就使用innerHTML属性重写DOM的“votes”节点的内容。

　　既然您亲眼看到了XmlHttpRequest对象是如何工作的，就让我们利用一个旨在简化JavaScript与Java应用程序之间的异步通信的框架来对具体的细节进行抽象。

AJAX初学:IE缓存页面的问题

江小邪 — Sun, 25 Jul 2010 16:47:20 +0000

做一个项目用到Ajax,开始觉得挺好，后来发现一个问题，例如删除一项，恢复之后就不能再接着删除，必须要等一段时间，后来知道是IE缓存的问题。

　　AJAX缓存页面是一个刚接触AJAX的人一定会遇到的问题，造成这个问题的关键性人物又是IE…

　　在网上找了好多资料后，总结一下

　　1:在AJAX请求的页面后加个随机函数,我们可以使用随机时间函数

　　在javascript发送的URL后加上t=Math.random() ，当然，不是直接把t=Math.random()拷贝到URL后面,应该像这样:URL+”&”+”t=”+Math.random();

　　2:在XMLHttpRequest发送请求之前加上XMLHttpRequest.setRequestHeader(“If-Modified-Since”,”0″)

　　一般情况下,这里的XMLHttpRequest不会直接使用，你应该可以找到这样的代码

XXXXX.send(YYYYYY);

　　那么,就把它变成

XXXXX.setRequestHeader(“If-Modified-Since”,”0″);
XXXXX.send(YYYYYY);

　　第二种方法感觉挺好。

了解Ajax中的Get和Post

江小邪 — Sun, 25 Jul 2010 16:45:02 +0000

Get方式:

作用:可传送简单数据
大小:url最大长度是2083 bytes,可以用于GET传递数据的长度是2048 bytes
包含体:数据追加到url中发送,也就是http的header传送

Post方式:

作用:可传送简单复杂数据
大小:web.config里限制
包含体:数据在http请求的实体内容里传送

Ajax用Post模式传送数据.需注意：

1.设置header的Context-Type为application/x-www-form-urlencode确保服务器知道实体中有参数变量.通常使用XmlHttpRequest对象的SetRequestHeader(“Context-Type”,”application/x-www-form-urlencoded;”)
2.参数是名/值一一对应的键值对,每对值用&号隔开.如 name=abc&sex=man&age=18.
3.参数在Send(参数)方法中发送
4.服务器端请求参数区分Get与Post.例如asp.net中以Request.Form["name"]对实体中的参数请求.这时url参数请求Request.QueryString["name"]将引发异常

status == 200)
{
//code
}
}
}

function CreateXmlHttp()
{
if(window.ActiveXObject)
{
return new ActiveXObject(“Microsoft.XMLHTTP”);
}
else if (window.XMLHttpRequest)
{
return new XmlHttpRequest();
}
}

function Start()
{
var ParamString = “name=abc&sex=man&age=18″;
var XmlHttpObject = CreateXmlHttp();
XmlHttpObject.onreadystatechange = StateEvent;
XmlHttpObject.open(“post”,”test.aspx”,true);
XmlHttpObject.setRequestHeader(“Content-Type”,”application/x-www-form-urlencoded;”); //设置服务器响应请求体参数
XmlHttpObject.send(ParamString);
}

XMLHTTP对象封装技术

江小邪 — Sun, 25 Jul 2010 16:43:39 +0000

Ajax技术的实现主要依赖于xmlhttprequest，但我们在调用其来进行异步数据的传输时，由于xmlhttp是个短线过程（处理事件完成后就销毁）如果不对该对象进行包装处理的话，就不得不在需要调用的地方重新构建xmlhttprequest，每次调用都要写一大段的代码，实在不是个好办法。好在现在很多开源的ajax框架都提供了对xmlhttp封装的方案。这里以ajaxtags自带的prototype-1.4.0.js为母版，来看看如何将xmlhttp对象封装成一个可复用的方法。

在prototype.js中，首先定义了一个变量：Ajax
var Ajax = {
getTransport: function() {
return Try.these(
function() {return new ActiveXObject(‘Msxml2.XMLHTTP’)},
function() {return new ActiveXObject(‘Microsoft.XMLHTTP’)},
function() {return new XMLHttpRequest()}
) || false;
},

activeRequestCount: 0
}

变量返回了一个xmlhttprequest，可以看到，如果我们调用了Ajax.getTransport()，每次都会返回一个新的xmlhttprequest对象。

在Ajax变量中定义了一个基础方法Ajax.Base和该基础方法的原型（初始时，每个脚本方法默认都有个空的原型，该原型会继承Object的原型，如果我们在Object中改变了原型，则所有的脚本方法都会被改变。）该基础方法被Ajax.Request所继承，注意的是，如果在Ajax.Request中填充了继承的原型的同名方法或变量，则会实现重载。

Ajax.Base原型中最主要的是setOptions方法，过会我们就会用到。
setOptions: function(options) {
this.options = {
method: ‘post’,
asynchronous: true,
parameters: ”
}

prototype中对request是通过定义Ajax.Request原型（Ajax.Request.prototype）来实现的。

但我们并不能直接对Ajax.Request进行调用，主要原因是Ajax.Request并没有提供一个统一处理的过程。而且我们可能需要通过request 再取得response。（试想一下，客户那边发出一条信息，都始终没与收到回复，那是会让人觉得很恼火的事~），prototype同样为我们封装好了resoponse（Ajax.Responders），但两者都是相互独立的，如何把他们进行整合呢？

在 prototype中给我们提供了两个方案，一个是Ajax.Updater，另一个是Ajax.PeriodicalUpdater，两个共同点都是必须传入3个参数：

container：

response数据要传达的位置，该位置通过html标签的id进行定义，比如你要把返回的数据输出到html中的某个＜div＞中，则只要把container改成该id的值就可以了。如果找不到该container，则会发生脚本错误。

url：

request请求要传递的目的地。该目的地应该是个servlet或jspservlet，因为request对象只能被servlet中的do***方法自动获取。

options：

结构应该与上面Ajax.Base定义的setOptions（）中的option结构相同，如果为空或不写，则采用 Ajax.Base定义的初始值（没有传递任何参数时使用）。

两者的区别在与Ajax.Updater返回给container的是完整的responseText，只有在responseText完全取得又没发生异常时才会把内容写到container里面，而PeriodicalUpdater在获取responseText时，不管是否已经完整取得，就把内容填进container，直到发生异常或完全取得responseText。大多数情况应该使用第一种方法，因为第一种方法在发生异常时会把异常信息显示在container里面，而第二种就不一定了。

既然已经把xmlhttp封装好了，我们只需要设置好前面所说的3个参数就可以了，要注意的是，设置options参数，一定要按照base中的options结构进行设置，如果我们使用post方法，还可以在opitons中设置postBody属性，把要传递的queryString 放到body中,一个使用post方法进行传递的脚本例子如下：

/*表单提交用post方法*/
function doRequest(container,paraments,url){
var options ={
method: ‘post’,
asynchronous: true,
postBody: paraments
};
new Ajax.Updater(container,url,options);
}

最后不得不说的是中文编码问题，prototype对传递的参数都进行了编码转换工作，每个传递值通过encodeURIComponent　进行了处理．编码会被转换成utf－8，在后台获取request时，应该统一使用request.setCharacterEncoding(“UTF-8″)对request设置编码，而不必管页面的编码格式是什么．如果使用post方法进行传递数据，则会自动执行:

request．setHeader(‘Content-type’,'application/x-www-form-urlencoded’).确保传递数据编码格式的正确.

基于JSON的高级AJAX开发技术

江小邪 — Sun, 25 Jul 2010 16:39:46 +0000

一、引言

　　毫无疑问，AJAX已经成为当今Web开发中一种强有力的用户交互技术，但是它的许多可能性应用仍然鲜为人知。在本文中，我们将来共同探讨如何使用JavaScript对象标志(JSON)和JSON分析器在服务器和客户端AJAX引擎之间创建复杂而强有力的JSON数据传输层。我们将详细讨论如何创建一组对象(在其它语言中经常被当作一个包)，如何把这些对象串行化为JSON以发送到服务器端，以及如何把服务器端JSON反串行化为客户端JavaScript对象。

　　提示：你可以在Douglas Crockford的网站上找到本文中使用的JSON分析器。

　　在继续阅读前，本文假定你已经掌握了JavaScript技术并且了解如何创建一个基本的AJAX引擎，并经由AJAX技术向服务器端发出请求和从服务器端接收响应。为了更好地理解本文中示例，你需要下载本文相应的源码文件。

　　二、开始

　　为了进一步抽象我们的AJAX请求并有助于我们以后在不同的应用程序间共享AJAX引擎代码，本文使用了一个我自己创建的AJAX引擎。为了使用这个引擎，我们简单地导入三个JavaScript文件并且向一个名为AjaxUpdater的对象发出请求。然后，由该引擎来负责处理其它任务，包括把响应代理到在该请求中指定的回调方法中。下面的示例展示了我们如何使用这个引擎发出请求以及导入相关的文件：

＜script type=”text/javascript”src=”javascript/model/Ajax.js”＞＜/script＞
＜script type=”text/javascript” src=”javascript/model/HTTP.js”＞＜/script＞
＜script type=”text/javascript” src=”javascript/model/AjaxUpdater.js”＞＜/script＞
＜script type=”text/javascript”＞
document.load = AjaxUpdater.Update(’GET’， URL， callback);
＜/script＞

　　首先，让我们来讨论JavaScript对象。

三、 JavaScript对象

　　JavaScript以前经常被误解，似乎它主要用于实现客户浏览器端图形效果。其实，JavaScript是一种强有力的语言，特别当它与AJAX以及一个应用程序的服务器端相结合时;但是，即使在客户端，JavaScript也能够实现远比你预料得多的多的功能。面向对象的JavaScript就是一个示例，它能够使我们创建对象，扩展内在对象，甚至能够把我们的对象创建成包以达到更容易的管理之目的。

　　在本文示例中，我们将创建三个对象：Auto，Car和Wheel。其中，每一个都是简单的对象;在此，我们仅使用它们来展示如何创建一个基本包。

　　首先，Auto对象被声明为一个新的对象：

　　var Auto = new Object();

　　注意，这个Auto对象将用作Car对象的父类。因此，Car对象将成为Auto对象的一个属性，只不过它被分离到另一个文件中以更易于管理(这个概念经常被用于其它面向对象的语言中，但是在JavaScript中却并不经常提起它)。下面是这个Car对象相应的代码：

　　Auto.Car = new Object();
　　Auto.Car.color = “#fff”;
　　Auto.Car.setColor = function(_color)
　　{
　　Auto.Car.color = _color;
　　}
　　Auto.Car.setColor(“#333″);

　　如你所见，该Car对象是Auto对象的一个子对象—这分明是一种类对象层次结构。这个对象有一个名为color的属性和一个用于设置它的方法。在此，我们把color属性设置为灰色以覆盖掉缺省的白色。当在后面我们串行化该对象时请牢记住这个事实。

　　下一个对象，Wheel，是Car的一个子对象：

Auto.Car.Wheel = new Object();
Auto.Car.Wheel.color = “#000″;

　　在此，Wheel是一个基本对象，但是它展示了对象层次中的又一个层。这个对象有一个称为color的缺省值为黑色(“#000”)的属性。

　　下面，让我们来分析一下为什么这些对象如此重要以及我们是如何使用它们提供的简单的属性的。

四、把JavaScript对象串行化为JSON

　　借助于JSON分析器，我们可以很容易地把刚才创建的JavaScript对象串行化为JSON。首先，我们需要下载该分析器的一个副本，并且要把它添加到文档中。下面是我在本文示例中用于导入该脚本的相应的代码：

＜script type=”text/javascript” src=”javascript/utils/jsonparser.js”＞＜/script＞

　　我已经把该分析器添加到我的javascript目录，即一个称为utils的子目录下。

　　下面是最终的包括到其中用于导入适当的JavaScript文件的代码片断：

以下是引用片段：
＜script type=”text/javascript” src=”javascript/Auto.js”＞＜/script＞
＜script type=”text/javascript” src=”javascript/Car.js”＞＜/script＞
＜script type=”text/javascript” src=”javascript/Wheel.js”＞＜/script＞
＜script type=”text/javascript” src=”javascript/utils/jsonparser.js”＞＜/script＞
＜script type=”text/javascript” src=”javascript/model/Ajax.js”＞＜/script＞
＜script type=”text/javascript” src=”javascript/model/HTTP.js”＞＜/script＞
＜script type=”text/javascript” src=”javascript/model/AjaxUpdater.js”＞＜/script＞

　　在导入适当的文件后，我们可以通过把两个div元素和一个onload事件简单地添加到HTML文档中开始串行化。这两个div元素将分别拥有ID：body和loading。其中，这个loading标签将由AJAX引擎使用来指示进度情况，而body标签将用于显示消息。

＜div id=”loading”＞＜/div＞
＜div id=”body”＞＜/div＞

　　onload事件相应于body元素并且设置它的innerHTML属性为JavaScript对象(作为一个串行化的JSON字符串)。为了实现这一目的，我在Auto对象上使用了jsonparser.js文件内的toJSONString方法：

＜body onload=”document.getElementById(’body’).innerHTML = ’＜b＞Local objects serialized as JSON＜/b＞
Auto Object: ’+ Auto.toJSONString();”＞

　　这段代码使用了Auto对象及其所有的子对象，并且使用JSON分析器的toJSONString方法把它们串行化为一个JSON字符串。然后，该数据可以被用作服务器端的一种数据交换格式。

　　你可能还记得，在前面我们曾调用了一个称为setColor的方法来改变Car对象的颜色。当时，我使用它是因为我想向你展示串行化能够在运行时刻的任何点上实现，而且还为了反映出对象中最新的数据。

　　如果你仔细分析一下onload事件，你会注意到，Car和Wheel对象都包装在方括号内，这些方括号代表了父对象(即Auto)。这意味着，该串行化的JavaScript对象能够在运行时刻被发送到服务器端以存储最新的数据，并且也可以在应用程序启动时从服务器端进行接收以便从数据库中检索多数的当前数据。最精彩的部分在于，为了创建一种“无缝”的过程，所有与服务器之间实现的数据交换都可以使用JSON技术来实现。

　　下面，让我们来看一下相同的数据是如何从服务器端接收的，以及它们是如何被使用最新的数据(典型地，来源于一个数据库)串行化为客户端JavaScript对象的。

五、把JSON反串行化为客户端JavaScript对象

　　在本文中，我简单地把一个静态文件创建为JSON响应，但是在实际开发中，你可以把这些数据存储在一个数据库中并且使用一种服务器端语言返回它。基于这一能力，我们就可以轻松地创建一种强有力的数据交换过程!在前面，我们已经分析了这一串行化过程。凭基本的AJAX体验，你应该能够理解数据是如何被寄送到服务器端的。现在，让我们着手讨论反串行化的问题。首先来看一个针对本文示例提供的静态JSON文件。这个文件其实是我们在上一节中串行化的数据：

}}

　　作为一个请求JSON文件的示例，当我们点击下列链接时将请求这个串行化的Auto对象：

＜a href=”javascript:AjaxUpdater.Update(’GET’， ’json/data.js’， displayResponse);”＞Get remote JSON＜/a＞

　　一旦接收到响应消息，我们的称为displayResponse回调方法就会被激活，然后，我们就能够反串行化并开始使用这些对象：

＜script type=”text/javascript”＞
function displayResponse()
{
　if(Ajax.checkReadyState(’loading’) == “OK”)
　{
　　var Auto = Ajax.request.responseText.parseJSON();
　　document.getElementById(“body”).innerHTML += ”
＜b＞Remote JSON unserialized＜/b＞”;
　　document.getElementById(“body”).innerHTML += ”
Car color: “+Auto.Car.color;
　　document.getElementById(“body”).innerHTML += ”
Wheel color: “+Auto.Car.Wheel.color;
　}
}
＜/script＞

　　这是相当激动人心的一部分!一旦我们拥有了该responseText，我们就能够简单地使用JSON分析器中的parseJSON方法来从串行化的数据中重建我们的Auto对象。借助于这个新的Auto对象，我们就可以调用相应的子对象。这个特征允许我们在服务器和客户端来回发送对象—而不必进行大量的分析工作，然而在以前标准的XML响应情况下我们将却必须这样做。这样以来，我们就可以创建出能够基于AJAX技术来保留自身状态的客户端JavaScript对象

PHP安全之数据过滤

江小邪 — Sun, 25 Jul 2010 16:38:25 +0000

在指南的开始，我们说过数据过滤在任何语言、任何平台上都是WEB应用安全的基石。这包含检验输入到应用的数据以及从应用输出的数据，而一个好的软件设计可以帮助开发人员做到：

确保数据过滤无法被绕过，确保不合法的信息不会影响合法的信息，并且识别数据的来源。

关于如何确保数据过滤无法被绕过有各种各样的观点，而其中的两种观点比其他更加通用并可提供更高级别的保障。

调度方法

这种方法是用一个单一的 PHP 脚本调度（通过 URL）。其他任何操作在必要的时候使用include或require包含进来。这种方法一般需要每个 URL 都传递一个单独的GET变量用于调度。这个GET变量可以被认为是用来替代脚本名称的更加简化的设计。例如：

http://example.org/dispatch.php?task=print_formdispatch.php是唯一的根文件(Document root)。它可以让开发者做两件非常重要的事情：

在dispatch.php最开始实现一些全局的安全处理，并且确保这些处理不可以被绕过。

容易确定在必要的地方进行数据过滤，特别是一些特殊目的的控制流操作中。

看下面的例子以便进一步讨论dispatch.php脚本:

如果这是唯一的可公开访问到的 PHP 脚本，则可以确信的一点是这个程序的设计可以确保在最开始的全局安全处理无法被绕过。同时也让开发者容易看到特定任务的控制流程。例如，不需要浏览整个代码就可以容易的知道：当$form_valid为true时，end.inc是唯一显示给用户的；由于它在process.inc被包含之前，并刚刚初始化为false，可以确定的是process.inc的内部逻辑会将设置它为true；否则表单将再次显示（可能会显示相关的错误信息）。

注意

如果你使用目录定向文件，如index.php（代替dispatch.php），你可以像这样使用 URL 地址：http://example.org/?task=print_form。

你还可以使用 ApacheForceType重定向或者mod_rewrite来调整 URL 地址：http://example.org/app/print-form。

包含方法

另外一种方式是使用单独一个模块，这个模块负责所有的安全处理。这个模块被包含在所有公开的 PHP 脚本的最前端（或者非常靠前的部分）。参考下面的脚本security.inc

在本例中，每个提交过来的表单都认为应当含有form这个唯一验证值，并且security.inc独立处理表单中0需要过滤的数据。实现这个要求的 HTML 表单如下所示：

叫做$allowed的数组用来检验哪个表单变量是允许的，这个列表在表单被处理前应当是一致的。流程控制决定要执行什么，而process.inc是真正过滤后的数据到达的地方。

注意

确保security.inc总是被包含在每个脚本的最开始的位置比较好的方法是使用auto_prepend_file设置。

过滤的例子

建立白名单对于数据过滤是非常重要的。由于不可能对每一种可能遇到的表单数据都给出例子，部分例子可以帮助你对此有一个大体的了解。

下面的代码对邮件地址进行了验证：

]+@([-a-z0-9]+\.)+[a-z]{2,}$/i’;if (preg_match($email_pattern, $_POST['email'])){$clean['email'] = $_POST['email'];}?>下面的代码确保了$_POST['color']的内容是red，green，或者blue：

下面的代码确保$_POST['num']是一个整数（integer）：

下面的代码确保$_POST['num']是一个浮点数（float）：

名字转换
之前每个例子都使用了数组$clean。对于开发人员判断数据是否有潜在的威胁这是一个很好的习惯。永远不要在对数据验证后还将其保存在$_POST或者$_GET中，作为开发人员对超级全局数组中保存的数据总是应当保持充分的怀疑。

需要补充的是，使用$clean可以帮助思考还有什么没有被过滤，这更类似一个白名单的作用。可以提升安全的等级。

如果仅仅将验证过的数据保存在$clean，在数据验证上仅存的风险是你所引用的数组元素不存在，而不是未过滤的危险数据。

时机

一旦 PHP 脚本开始执行，则意味着 HTTP 请求已经全部结束。此时，用户便没有机会向脚本发送数据。因此，没有数据可以被输入到脚本中（甚至register_globals被开启的情况下）。这就是为什么初始化变量是非常好的习惯。

PHP封装常用Javascript为JS类以便快速调用

江小邪 — Sat, 22 May 2010 21:32:51 +0000

php
# $Id: js.class.php,v 0.1 p $

// 禁止直接访问该页面
if (basename($HTTP_SERVER_VARS['PHP_SELF']) == "js.class.php") {
header("HTTP/1.0 404 Not Found");
}

# Purpose 封装了一些常用的Javascript代码，以便在PHP中快速调用

class JS{
function JS(){}

     #返回上页
     # @param $step 返回的层数默认为1
     function Back($step = -1){
         $msg = "history.go(".$step.");";
         JS::_Write($msg);
         JS::FreeResource();
         exit;
     }

    # 弹出警告的窗口
    # @param $msg 警告信息
     function Alert($msg){
         $msg = "alert(\"".$msg."\");";
         JS::_Write($msg);
     }

    # 写js
    # @param $msg
     function _Write($msg) {
         echo "";
     }

     # 刷新当前页
     function Reload(){
         $msg = "location.reload();";
         JS::FreeResource();
         JS::_Write($msg);
         exit;
     }

     #刷新弹出父页
     function ReloadOpener(){
         $msg = "if (opener)     opener.location.reload();";
         JS::_Write($msg);
     }

     #跳转到url
     #@param $url 目标页
     function Goto($url){
         $msg = "location.href = ‘$url’;";
         JS::FreeResource();
         JS::_Write($msg);
         exit;
     }

     #关闭窗口
     function Close(){
         $msg = "window.close()";
         JS::FreeResource();
         JS::_Write($msg);
         exit;
     }

     #提交表单
     #@param $frm 表单名
     function Submit($frm){
         $msg = $frm.".submit();";
         JS::_Write($msg);
     }

    #关闭数据库连接
    function FreeResource(){
         // 数据库连接标志
         global $conn;
         if (is_resource($conn))
             @mysql_close($conn);
     }
}
?>

图片轮换类，IE7、OP、FF、Chrome测试通过

江小邪 — Sat, 22 May 2010 21:22:44 +0000

<title>新闻图片轮换类title>

《高性能网站建设指南》读书笔记

江小邪 — Sat, 22 May 2010 21:06:26 +0000

规则1，减少HTTP请求

这是最重要的原则，如果14条规则里只能选一条，那就是它了。可以通过多种方法减少HTTP请求，例如合并图片，合并JS和CSS等等。这一点薄荷网有很多改进的余地，首先应该把现在的JS合并了。

规则2，使用内容发布网络

内容发布网络就是CDN了，但是CDN似乎挺贵的，目前还不适合薄荷网，不过可以考虑自己弄一个网通的静态资源服务器解决有中国特色的可恶的南北互通问题。

规则3，添加Expires头

这个没什么好说的，是个建网站的人都应该知道。目前薄荷网图片,css,js,flash过期时间设置了3年，可以说是永久了，：） Expires有个麻烦的地方是内容更新问题，Ruby on Rails这方面处理的非常棒，它是在文件名后面自动带了

资源文件的timestamp，完美解决。

规则4，压缩组件

这个也没什么好说的，配置一下web server的压缩功能，减少服务器带宽，加快响应，立杆见影。

规则5，将样式表放在顶部

这条有点新鲜，虽然平常都是这么做的，但是没有想过不这样做有什么麻烦。如果不这样，浏览器是不能做到边下载边显示，用户体验很糟糕。薄荷网现在有部分样式没放在顶部，回头检查测试一下看看。

规则6，将脚本放在底部

这条是第一次听说，有些震惊。原因在于浏览器下载执行脚本的时候，会阻塞其他资源的下载，这样导致整体响应时间变长。薄荷网的脚本几乎都是放在顶部的，回头测试比较下看看。

规则7，避免CSS表达式

CSS表达是简直像个Bug，可以弃用，寻求变通的解决方便，比如事件处理器等。

规则8，使用外部的JavaScript和CSS

相信大家大部分情形下都是使用外联的，但纯粹的处理而已，内联JS和CSS似乎更快，考虑到缓存和复用，大部分情况显然是外联更划算。因此，在一些情景，例如首页，还是可以使用内联的。

规则9，减少DNS查找

DNS耗费的时间是相当可观的，因此同一页面的域名数量最好控制在2~4之间。

规则10，精简JavaScript

精简JavaScript可以显著减少Js文件的大小，减少下载时间。

规则11，避免重定向

get的重定向可以通过web server的url rewrite很好解决。

规则12，移除重复脚本

重复的脚本既增加一次http请求，又要重复执行，当然坚决移除了。

规则13，配置ETag

目前web server的ETag实现不但起不到好的效果，通常还使性能变得更差，真是一个糟糕的设计。

所以静态资源尽量去除ETag配置。但是对于刷新频率不高的Rails动态页面，这个似乎是个不错的大幅

加快响应的方法，值得再深入好好研究一番。

规则14，使Ajax可缓存

就是使用之前的规则应用于Ajax请求，：）

URLSEO patchs for PHPOK3.0 simple

江小邪 — Mon, 17 Nov 2008 04:00:56 +0000

作者：江小邪 [主页]
演示：点击查看
适用版本： 3.0 Simple
添加日期： 2008-11-16 20:01
说明：

phpok基于php自身的伪静态补丁。提供形如下面演示地址的形式的链接。有bugs请跟评论，谢谢~

1、请先删除 data/lock.php 文件
2、上传压缩包内文件覆盖 phpok目录下的文件
3、运行 http://yoursite/setup.php 进行参数设置。注意务必正确设置phpok安装目录，最后以”/”结束
4、完成后请删除 setup.php
5、程序在phpok 3.0 Simple 下测试成功。
注意：打此补丁前请注意备份，否则所造成后果概不负责。

演示地址：http://phpok3.5bay.cn/html.php/home.html

下载地址：http://mydoc.5bay.cn/phpok3/UrlSeo_patchs_for_phpok3.0S.rar

URLSEO patchs for PHPOK 2.2

江小邪 — Tue, 14 Oct 2008 15:37:40 +0000

作者：江小邪 [主页]
演示：点击查看
适用版本： 2.2
添加日期： 2008-10-14 07:40
说明：

1、请先删除 data/lock.php 文件
2、上传压缩包内文件覆盖 phpok目录下的文件
3、运行 http://yoursite/setup.php 进行参数设置。注意务必正确设置phpok安装目录，最后以”/”结束
4、完成后请删除 setup.php
5、程序在phpok 2.2 下测试成功。
注意：打此补丁前请注意备份，否则所造成后果概不负责。

下载地址：http://www.5bay.cn/mydoc/phpok/UrlSeo_for_phpok22.rar

ASP 获取网页URL代码

江小邪 — Tue, 18 Jul 2006 01:03:40 +0000

获得当前网页的完整URL

<%
aa=”http://”&Request.ServerVariables(“server_name”)&Request.ServerVariables(“path_info”)
%>
<%=aa%>

获得当前网页的主页地址

<%
aa=”http://”&Request.ServerVariables(“server_name”)
%>
<%=aa%>

获取上一页面来源地址

request.servervariables(HTTP_REFERER)

无风的港湾 » url

ASP防注入新方式，希望对大家是有用的

相关博文

让IIS只监听指定IP

相关博文

最令PHP初学者头痛的十四个问题

相关博文

AJAX应用程序开发七宗罪

相关博文

Ajax的工作原理

相关博文

AJAX初学:IE缓存页面的问题

相关博文

了解Ajax中的Get和Post

相关博文

XMLHTTP对象封装技术

相关博文

基于JSON的高级AJAX开发技术

相关博文

PHP安全之数据过滤

相关博文

PHP封装常用Javascript为JS类以便快速调用

相关博文

图片轮换类，IE7、OP、FF、Chrome测试通过

相关博文

《高性能网站建设指南》读书笔记

相关博文

URLSEO patchs for PHPOK3.0 simple

相关博文

URLSEO patchs for PHPOK 2.2

相关博文

ASP 获取网页URL代码

相关博文