小熊派 智慧农业案例 文档中说的 iot studio中的“web 在线开发”这项功能在哪里找【功能模块】 iot studio中的“web 在线开发”【操作步骤&问题现象】1、2、【截图信息】【日志信息】（可选，上传日志内容或者附件）

初期：函数可以大概理解方法           函数== 方法函数作用域：调用函数时创建函数作用域，函数执行完成后函数作用域自动销毁。没调用一次函数就会创建一个新的函数作用域，他们直接是相互独立得。在全局作用域无法访问到函数作用域，但是在函数作用域可以访问到全局作用域。直接上代码：<script> var a = 123; function start(){ var a = 456; b = 789; console.log("a ="+a); } start();//这行代码很重要，没有致函代码输出得就是得123. console.log("a ="+a);//123 console.log("b ="+b); </script>这里像表达就是在函数作用域和全局作用域都存在相同得变量时，一般采用就近原则。如果函数作用域没有存在访问的变量，就会向上级作用域寻找，直至找到报错：ReferenceError   not   defind 继续上代码：<script> var a = 123; function start(){ //var a = 456; b = 789; console.log("a ="+Window.a); //在函数内访问，window得属性。 } start();//这行代码很重要，没有致函代码输出得就是得123. console.log("a ="+a);//456 console.log("b ="+b); </script>变量提升<script> function fun3(){ console.log(a) var a = 3; } fun3(); //undefind </script> 这里代码得最终执行顺序 var a; console.log(a) var a = 3; 所以会出undefine.var c = 33; finction fun3(){ console.log("c="+c); c= 10; } fun3();//33 console.log("c="+c); //10 这里是什么fun3已经执行完了，全局得 c 已经被重新赋值为10.在函数中不使用var声名得变量都是全局变量<script> e = 55; function fun4(e){ console.log(e); } fun4(); //undefind，是undefined得原因是，参数e得实际形式是， var e ，在函数内。 //定义形参就相当于在函数作用域声名变量 </script>

基本数据类型直接上代码：<script> var a = 123; var b = a; console.log("a ="+a); //当然结果也是显而易见的 123 console.log("b ="+b); //123 </script>修改一下代码：<script> var a = 123; var b = a; console.log("a ="+a); //==>当然结果也是显而易见的 123 console.log("b ="+b); //==>123 a ++; console.log("a ="+a); //==>124 console.log("b ="+b);//==>123 </script>结果也是在理解的范围内的，细节见下图分析  注：函数中定义的一些基本类型的变量和对象的引用变量都是在函数的栈内存中分配基本数据类型的赋值，赋值的是变量值得副本，副本的修改不会影响到被赋值的变量值。便明了， var b = a;他们只是简单的交换了变量所存放的值。就不会在由关系了。引用数据类型上代码：对象是保存到堆内存中的。 <script> var obj = new Object(); obj.name = "韩信"; console.log("name ="+ name); var obj2 = obj; obj2.name = "萧何"; console.log("name ="+ name); </script>第一次的输出和第二次的输出非常的明显，韩信、萧何。第二次为什么出现萧何，因为成也萧何败也萧何。1、  var  obj  = new  Object();var obj  是变量所以存放在栈内存，但是 new Object();的执行就会在堆内存的空间开辟一块内存空间，来保存这个obj对象，并为其分内存地址返回存放在  obj；(这里有点像高数的映射，哎吆知识是相通的)var  obj2 = obj;          这句代码是将obj的地址给了 obj2,让obj2和Object建立一个联系。看图一眼明了：对于引用数据类型有一个特别容易理解的例子：”巫毒娃娃“       (自行百度)巫毒娃娃，+加上马超的生辰八字。当你拿针扎这个巫毒娃娃的时候马超也会疼。当张三换一个新的巫毒娃娃+马超的生辰八字，扎这个巫毒娃娃，马超也会疼。看我扎不扎你就完了。哈哈哈哈巫毒娃娃就是那个变量名生成八字就是那个，堆内存的存放地址。看我换一行代码你还认识嘛。 <script> var obj = new Object(); obj.name = "韩信"; console.log("name ="+ name); var obj2 = obj; obj2.name = "萧何"; console.log("name ="+ name); obj2 = null; </script>问：将obj2赋值为 null,obj是否改变。结果当然是变得啦，其实是不变得啦。。。。obj2设置为null只是将obj2和Object()得链接断开，并不会去影响obj滴。总结基本类型值在内存中占据固定大小的空间，因此被保存在栈内存中从一个变量向另一个变量复制基本类型的值，会创建这个值的一个副本包含引用类型值的变量实际上包含的并不是对象本身，而是一个指向该对象的指针从一个变量向另一个变量复制引用类型的值，复制的其实是指针，因此最终两个变量最终都指向同一个对象(面向编程得一套思想)确定一个值是哪种基本类型可以使用typeof操作符，而确定一个值是哪种引用类型可以使用instanceof操作符

Px像素单位，英文名称Pixel，指的的是相对单位长度，像素的相z对取决于显示器屏幕分辨率而言的。像素：在一张图片无限的放大，他们都是由一个一个的色块，可以理解为点，点构成我们视野所见的画面。但是像素取决与不同的显示器而会产生不同的影响(下拨写像素在不同显示器的适配，重点在移动端)emem 是基于基数来计算出来的相对字体大小。em 是相对长度单位。相对于当前对象内文本的字体尺寸。如当前对行内文本的字体尺寸未被人为设置，则相对于浏览器的默认字体尺寸。俩点：em是根据字体的大小来确定自己的高度范围em会继承夫级元素的字体大小remrem是CSS3新增的一个相对单位相比em的优点使用rem为元素设定字体大小时，仍然是相对大小，但相对的只是HTML根元素。vw、vhvw、vh、vmax、vmin这四个单位都是基于视口vw是相对视口（viewport）的宽度而定的，长度等于视口宽度的1/100假如浏览器的宽度为200px，那么1vw就等于2px（200px/100）vh是相对视口（viewport）的高度而定的，长度等于视口高度的1/100假如浏览器的高度为500px，那么1vh就等于5px（500px/100）vmin和vmax是相对于视口的高度和宽度两者之间的最小值或最大值如果浏览器的高为300px、宽为500px，那么1vmin就是3px，1vmax就是5px；如果浏览器的高为800px，宽为1080px，那么1vmin也是8px，1vmax也是10.8px其他单位：%（百分比）一般来说就是相对于父元素1、对于普通定位元素就是我们理解的父元素2、对于position: absolute;的元素是相对于已定位的父元素3、对于position: fixed;的元素是相对于ViewPort（可视窗口）vmcss3新单位，相对于视口的宽度或高度中较小的那个其中最小的那个被均分为100单位的vm比如：浏览器高度900px，宽度1200px，取最小的浏览器高度，1 vm = 900px/100 = 9 px缺点：兼容性差frfr 单位是一个自适应单位，fr单位被用于在一系列长度值中分配剩余空间，如果多个已指定了多个部分，则剩下的空间根据各自的数字按比例分配。（很少用到，理解性知识）常见问题：1、假如使用em来设置文字大小要注意什么？注意父元素的字体大小，因为em是根据父元素的大小来设置的。比如同样是1.5em，要是父元素是20，那1.5em就是30px.要是父元素是30px,1.5em就是45px（特别是在多重div嵌套里面更要注意）2、pc pt ch一般用在什么场景？这些我们网页设计基本上用不到，在排版上会有用处3、如何使 1rem=10px在设置HTML{font-size：62.5%；}即可4、如果父元素没有指定高度，那么子元素的百分比的高度是多少？会按照子元素的实际高度，设置百分比则没有效果

表单 用途 ：用域收集、获取页面的输入信息 eg :登录、注册、完善个人信息 表单(from) action的值是提交服务器的地址。 <form action=“”>文本框 <input type="text" name="username">密码框 <input type="passworld">单选按钮 单选框必须指定value 属性，value用域传递给服务器 <input type="radio" name="username" value="C"> <input type="radio" name="passwrold" value="D">多选框 <input type="checkbox" name="text"> <input type="checkbox" name="text"> <input type="checkbox" name="text">下拉列表 <select name="haha"> <option value="i">苹果</option> <option value="ii">西瓜</option> <option value="iii">窝瓜</option> </select>提交按钮 <button type="submit">提交</button> 这里的提交是向服务器发送数据。json（下次补充）

初识JavaScript「创始人」布兰登·艾奇(Brendan Eich),起初命名为LiveScript后来与Sun公司合作改名为JavaScript。「JavaScript」运行在客户端的脚本语言，不需要编译，由js解释器(js引擎)逐行解释执行。Node.js也可以用于服务器端编程。「JavaScript组成」ECMAScript(JavaScript语法)、DOM(文档对象模型)、BOM(浏览器对象模型)JavaScript的作用表单动态校验(密码强度检测)网页特效服务端开发(Node.js)桌面程序(Electron)、App(Cordova)、控制硬件-物联网(Ruff)、游戏开发(cocos2d-js)「JavaScript书写位置」JS有3种书写位置，分别为行内、内嵌和外部。行内式<input type="button" value="点我试试" onclick="alert('Hello World')" />内嵌式<script>    alert('Hello  World~!');</script>外部式引用外部js文件<script src = "my.js"></script>「注释」单行注释// 我是单行注释 (快捷键 ctrl + / )多行注释/*  获取用户年龄和姓名  并通过提示框显示出来  点击vscode左下角管理-键盘快捷方式-切换块注释  (默认快捷键 alt + shift + a) 修改为 (ctrl + shift + /)*/博主自己建的微信公众号：web前端技术圈 （回复2020，可以下载一些编程开发工具和项目实战）如果还在IT编程的世界里迷茫，不知道自己的未来规划，学习没有动力，东也学一下，西也学习一下，那你可以加入web前端学习交流Q群：733581373, 里面有大神一起交流并走出迷茫。新手可进群免费领取学习资料，分享一些学习的方法和需要注意的小细节，每晚八点也会准时的讲一些前端的小案例项目。变量变量的概念「变量」是程序在内存中申请的一块用于存放数据的空间。变量是用于存放数据的容器，可以通过变量名获取数据，甚至修改数据。变量的使用「1. 声明变量」// 1.声明变量var num; // 声明一个 名称为 num 的变量var是一个JS关键字，用来声明变量(variable变量的意思)。num是我们定义的变量名，可以通过变量名来访问内存中分配的空间。「2. 赋值」num = 10;//给 num 这个变量赋值为 10「3. 变量的初始化」声明一个变量并赋值， 我们称之为变量的初始化。var num = 10;//声明变量并赋值为10 「4. 变量语法扩展」// 1.一个变量被重新赋值后，它原有的值会被覆盖掉，变量值以最后一次赋的值为准。var num = 10;num = 11;// 2.同时声明多个变量(只需要写一个var,多个变量名之间用英文逗号隔开)var num = 10, age = 15, name = 'fan';声明变量特殊情况情况    说明    结果var  age ; console.log (age);    只声明 不赋值    undefinedconsole.log(age)    不声明 不赋值  直接使用    报错age   = 10; console.log (age);    不声明   只赋值    10「5. 变量命名规范」数据类型分为两类：简单数据类型(Number,String,Boolean,Undefined,Null)和复杂数据类型(object)。简单数据类型    说明    默认值Number    数字型,包含整型值和浮点型值    0String    字符串型    ""Boolean    布尔值型    falseUndefined    var a;声明了变量a但是没有赋值，此时a = undefined    undefinedNull    var a = null;声明了变量a为空值    null

通过Yarn Top里能看到mapreduce的任务，在Yarn ResourceManager Web UI却看不到，是怎么回是呢？ 

自从说web应用开发搬到应用魔法APP,但是自己捣鼓了很久，没有搞懂，想求一个案例。

【问题来源】【必填】    武汉农村商业银行    【问题简要】【必填】 CMS web页面呼叫中心配置，新增呼叫中心，配置完后，点击了一次“保存”按钮，无响应，然后又接着点击了一次“保存”按钮，之后弹出4次提示框，两次提示保存成功，两次提示保存失败。  之后呼叫中心配置页面出现两个相同编号的呼叫中心节点。  无法删除。请问要如何删除多出来的一个呼叫中心节点【问题类别】【必填】    CMS安装【AICC解决方案版本】【必填】    AICC可选择版本：AICC 8.14.0    ICD: V300R008C22【期望解决时间】5月19日下班前【问题现象描述】【必填】【日志或错误截图】【可选】

【问题来源】【必填】    【可选问题来源：武汉农村商业银行】    【问题简要】【必填】 【求助】CCDIS安装V3R8C22版本后，web配置助手登录失败【问题类别】【必填】    CCDIS安装调测【AICC解决方案版本】【必填】     ICD: V300R008C22【期望解决时间】5月12日下班前【问题现象描述】【必填】      CCDIS安装V3R8C22版本，分别在vdn0和vdn1上配置好CCDIS对接参数的密码，打开web配置助手，进行登录，填写的密码为对接参数的密码，点击登录，提示鉴权失败修改对接参数密码后登录，依然失败。vdnid 尝试用0 和 1进行登录，也都失败【日志或错误截图】【可选】

　　我们在使用网站过程中，经常会遇到慢的问题，为了找到原因，一般需要借助工具进行检测，通过工具，可以检测出前端站点加载资源的相关详细情况。　　今天，就给大家介绍几款前端性能测试分析工具，结合性能测试工具，实现通过量化的方式测试网站中诸如首字节加载时间（time to first byte）或者渲染时间等表现。其中有些工具还会检查资源是否被缓存，多个 CSS 或 JS 文件是否值得合并，最后自动给出前端性能优化改进建议报告，如果对你有用的话，欢迎收藏转发。　　1、 Lighthouse　　Lighthouse是一个开源的自动化工具，用于帮助改进网络应用的质量。可将其作为一个 Chrome扩展程序运行，或从命令行运行。Lighthouse分析web应用程序和web页面，收集关于开发人员优秀实践的现代性能指标和见解，让开发人员根据生成的评估页面，来进行网站优化和完善，提高用户体验。　　当为 Lighthouse 提供一个要审查的网址，它将针对此页面运行一连串的测试，然后生成一个有关页面性能的报告。可以参考失败的测试，看看可以采取哪些措施来改进应用。　　使用入门　　运行 Lighthouse 的方式有两种：作为 Chrome 扩展程序运行，或作为命令行工具运行。 Chrome 扩展程序提供了一个对用户更友好的界面，方便读取报告。 命令行工具允许您将 Lighthouse 集成到持续集成系统。　　Chrome 扩展程序　　下载 Google Chrome 52 或更高版本，接着安装 Lighthouse Chrome 扩展程序。　　命令行工具　　安装 Node，需要版本 5 或更高版本。　　安装 Lighthouse 作为一个全局节点模块。　　针对一个页面运行 Lighthouse 审查。　　传递 --help 标志以查看可用的输入和输出选项。　　2、SpeedCurve　　SpeedCurve 可以帮助追踪自己的性能表现，以及竞争对手的性能表现。它可以用来查看某个因素在不同站点的速度表现，并且还提供了综合监控。综合监控是在受控环境中模拟网站。在其中可以自定义选项，比如网络速度、设备、操作系统等等。　　3、Pingdom　　在Pingdom输入 URL 地址，即可测试页面加载速度，分析并找出性能瓶颈。帮助用户找出影响网站速度的原因，并给出改善网页性能的可行性方案，很适合做网站的用户。　　　4、PageSpeed Insights　　Google Page Speed Insight（PSI）是一款旨在优化所有设备上的网页、提高网页加载速度的工具。它提供免费服务，可以分析网页的内容，提出建议，加快网页的速度。它为您提供了关键指标，如第一个内容绘制，总阻塞时间和更多。度量标准被分类为Field Data、Origin Summary,Lab Data,Opportunities、Diagnostics 和Passed Audits。　　在线版：　　你可以从chrome应用商店里找到PageSpeed Insights插件。　　点击open 在线分析性能，也可以测试本地的项目通过PageSpeed，点击Start analyzing运行一会就显示分析结果。　　5、SpeedTracker　　SpeedTracker运行在WebPageTest上，可定期进行网站性能测试，并显示各种性能指标随时间的变化。这个功能可以帮助不断评估网站，并查看新功能如何影响网站的性能，还可以定义预算并通过电子邮件和Slack获取警报。　　6、WebPageTest　　WebPageTest是一个在线性能评测网站， 它是一个非常详细且专业的web页面性能分析工具，而且开源的！支持IE，Chrome，使用真正的浏览器(IE和Chrome)和真实的消费者连接速度，从全球多个地点运行免费网站速度测试。WebpageTest 主要提供了Advanced Testing、simple Testing、Visual Comparison、Traceroute四个功能。　　项目地址：　　可以运行简单的测试或执行高级测试，还会依据测试结果提供丰富的诊断信息，包括资源加载瀑布图，页面速度优化检查和改进建议，会给每项内容一个最终的评级。　　如果你打不开其官网，或者担心安全问题，你可以自己拿源码搭建这个平台工具。　　7、Sitespeed.io　　Sitespeed.io 是开源的Web性能测试工具，用来衡量Web网站的综合性能，帮助开发和测试人员分析网页的加载速度和渲染性能。Sitespeed.io通过驱动浏览器(如：Chrome、Firefox)进行测试，然后从开发者的站点收集多个页面的数据，并根据优秀实践等规则来分析这些网页，然后将结果以HTML报告的形式输出。　　项目地址：　　安装sitespeed.io之后，如果要分析一下百度PC首页性能，执行以下命令：　　该命令将会在chrome浏览器下调起URL为https://www.baidu.com 5次，产出了一个分析文件夹，打开index.html文件后，我们可以看到关于页面性能的相关总结。

对于以上常见的Web应用漏洞漏洞，可以从如下几个方面入手进行防御：1)对 Web应用开发者而言大部分Web应用常见漏洞，都是在Web应用开发中，开发者没有对用户输入的参数进行检测或者检测不严格造成的。所以，Web应用开发者应该树立很强的安全意识，开发中编写安全代码；对用户提交的URL、查询关键字、HTTP头、POST数据等进行严格的检测和限制，只接受一定长度范围内、采用适当格式及编码的字符，阻塞、过滤或者忽略其它的任何字符。通过编写安全的Web应用代码，可以消除绝大部分的Web应用安全问题。2) 对Web网站管理员而言作为负责网站日常维护管理工作Web管理员，应该及时跟踪并安装最新的、支撑Web网站运行的各种软件的安全补丁，确保攻击者无法通过软件漏洞对网站进行攻击。除了软件本身的漏洞外，Web服务器、数据库等不正确的配置也可能导致Web应用安全问题。Web网站管理员应该对网站各种软件配置进行仔细检测，降低安全问题的出现可能。此外，Web管理员还应该定期审计Web服务器日志，检测是否存在异常访问，及早发现潜在的安全问题。3）使用网络防攻击设备前两种为事前预防方式，是比较理想化的情况。然而在现实中，Web应用系统的漏洞还是不可避免的存在：部分Web网站已经存在大量的安全漏洞，而Web开发者和网站管理员并没有意识到或发现这些安全漏洞。由于Web应用是采用HTTP协议，普通的防火墙设备无法对Web类攻击进行防御，因此可以使用IPS入侵防御设备来实现安全防护。H3C IPS Web攻击防御H3C IPS入侵防御设备有一套完整的Web攻击防御框架，能够及时发现各种已经暴露的和潜在的Web攻击。下图为对于Web攻击的总体防御框架。图1：Web攻击防御框架，参见：http://blog.csdn.net/moshenglv/article/details/53439579H3C IPS采用基于特征识别的方式识别并阻断各种攻击。IPS设备有一个完整的特征库，并可定期以手工与自动的方式对特征库进行升级。当网络流量进入IPS后，IPS首先对报文进行预处理，检测报文是否正确，即满足协议定义要求，没有错误字段；如果报文正确，则进入深度检测引擎。该引擎是IPS检测的核心模块，对通过IPS设备的Web流量进行深层次的分析，并与IPS攻击库中的特征进行匹配，检测Web流量是否存在异常；如果发现流量匹配了攻击特征，IPS则阻断网络流量并上报日志；否则，网络流量顺利通过。此Web攻击防御框架有如下几个特点：1) 构造完整的Web攻击检测模型，准确识别各种Web攻击针对Web攻击的特点，考虑到各种Web攻击的原理和形态，在不同漏洞模型之上开发出通用的、层次化的Web攻击检测模型，并融合到特征库中。这些模型抽象出Web攻击的一般形态，对主流的攻击能够准确识别，使得模型通用化。2) 检测方式灵活，可以准确识别变形的Web攻击在实际攻击中，攻击者为了逃避防攻击设备的检测，经常对Web攻击进行变形，如采用URL编码技术、修改参数等。H3C根据Web应用漏洞发生的原理、攻击方式和攻击目标，对攻击特征进行了扩展。即使攻击者修改攻击参数、格式、语句等内容，相同漏洞原理下各种变形的攻击同样能够被有效阻断。这使得IPS的防御范围扩大，防御的灵活性也显著增强，极大的减少了漏报情况的出现。3) 确保对最新漏洞及技术的跟踪，有效阻止最新的攻击随着Web攻击出现的频率日益增高，其危害有逐步扩展的趋势。这对IPS设备在防御的深度和广度上提出了更高的要求，不仅要能够防御已有的Web攻击，更要有效的阻止最新出现的、未公布的攻击。目前，H3C已经建立起一套完整的攻防试验环境，可以及时发现潜在Web安全漏洞。同时还在继续跟踪最新的Web攻击技术和工具，及时更新Web攻击的特征库，第一时间发布最新的Web漏洞应对措施，确保用户的网络不受到攻击。4) 保证正常业务的高效运行检测引擎是IPS整个设备运行的关键，该引擎使用了高效、准确的检测算法，对通过设备的流量进行深层次的分析，并通过和攻击特征进行匹配，检测流量是否存在异常。如果流量没有匹配到攻击特征，则允许流量通过，不会妨碍正常的网络业务，在准确防御的同时保证了正常业务的高效运行。

Web应用漏洞原理Web应用攻击是攻击者通过浏览器或攻击工具，在URL或者其它输入区域（如表单等），向Web服务器发送特殊请求，从中发现Web应用程序存在的漏洞，从而进一步操纵和控制网站，查看、修改未授权的信息。1.1 Web应用的漏洞分类1、信息泄露漏洞信息泄露漏洞是由于Web服务器或应用程序没有正确处理一些特殊请求，泄露Web服务器的一些敏感信息，如用户名、密码、源代码、服务器信息、配置信息等。造成信息泄露主要有以下三种原因：–Web服务器配置存在问题，导致一些系统文件或者配置文件暴露在互联网中；–Web服务器本身存在漏洞，在浏览器中输入一些特殊的字符，可以访问未授权的文件或者动态脚本文件源码；–Web网站的程序编写存在问题，对用户提交请求没有进行适当的过滤，直接使用用户提交上来的数据。2、目录遍历漏洞目录遍历漏洞是攻击者向Web服务器发送请求，通过在URL中或在有特殊意义的目录中附加“../”、或者附加“../”的一些变形（如“..\”或“..//”甚至其编码），导致攻击者能够访问未授权的目录，以及在Web服务器的根目录以外执行命令。3、命令执行漏洞命令执行漏洞是通过URL发起请求，在Web服务器端执行未授权的命令，获取系统信息，篡改系统配置，控制整个系统，使系统瘫痪等。命令执行漏洞主要有两种情况：–通过目录遍历漏洞，访问系统文件夹，执行指定的系统命令；–攻击者提交特殊的字符或者命令，Web程序没有进行检测或者绕过Web应用程序过滤，把用户提交的请求作为指令进行解析，导致执行任意命令。4、文件包含漏洞文件包含漏洞是由攻击者向Web服务器发送请求时，在URL添加非法参数，Web服务器端程序变量过滤不严，把非法的文件名作为参数处理。这些非法的文件名可以是服务器本地的某个文件，也可以是远端的某个恶意文件。由于这种漏洞是由PHP变量过滤不严导致的，所以只有基于PHP开发的Web应用程序才有可能存在文件包含漏洞。5、SQL注入漏洞SQL注入漏洞是由于Web应用程序没有对用户输入数据的合法性进行判断，攻击者通过Web页面的输入区域(如URL、表单等) ，用精心构造的SQL语句插入特殊字符和指令，通过和数据库交互获得私密信息或者篡改数据库信息。SQL注入攻击在Web攻击中非常流行，攻击者可以利用SQL注入漏洞获得管理员权限，在网页上加挂木马和各种恶意程序，盗取企业和用户敏感信息。6、跨站脚本漏洞跨站脚本漏洞是因为Web应用程序时没有对用户提交的语句和变量进行过滤或限制，攻击者通过Web页面的输入区域向数据库或HTML页面中提交恶意代码，当用户打开有恶意代码的链接或页面时，恶意代码通过浏览器自动执行，从而达到攻击的目的。跨站脚本漏洞危害很大，尤其是目前被广泛使用的网络银行，通过跨站脚本漏洞攻击者可以冒充受害者访问用户重要账户，盗窃企业重要信息。根据前期各个漏洞研究机构的调查显示，SQL注入漏洞和跨站脚本漏洞的普遍程度排名前两位，造成的危害也更加巨大。1.2 SQL注入攻击原理SQL注入攻击是通过构造巧妙的SQL语句，同网页提交的内容结合起来进行注入攻击。比较常用的手段有使用注释符号、恒等式（如1＝1）、使用union语句进行联合查询、使用insert或update语句插入或修改数据等，此外还可以利用一些内置函数辅助攻击。通过SQL注入漏洞攻击网站的步骤一般如下：第一步：探测网站是否存在SQL注入漏洞。第二步：探测后台数据库的类型。第三步：根据后台数据库的类型，探测系统表的信息。第四步：探测存在的表信息。第五步：探测表中存在的列信息。第六步：探测表中的数据信息。1.3 跨站脚本攻击原理跨站脚本攻击的目的是盗走客户端敏感信息,冒充受害者访问用户的重要账户。跨站脚本攻击主要有以下三种形式：1、本地跨站脚本攻击B给A发送一个恶意构造的Web URL，A点击查看了这个URL，并将该页面保存到本地硬盘（或B构造的网页中存在这样的功能）。A在本地运行该网页，网页中嵌入的恶意脚本可以A电脑上执行A持有的权限下的所有命令。2、反射跨站脚本攻击A经常浏览某个网站，此网站为B所拥有。A使用用户名/密码登录B网站，B网站存储下A的敏感信息（如银行帐户信息等）。C发现B的站点包含反射跨站脚本漏洞，编写一个利用漏洞的URL，域名为B网站，在URL后面嵌入了恶意脚本（如获取A的cookie文件），并通过邮件或社会工程学等方式欺骗A访问存在恶意的URL。当A使用C提供的URL访问B网站时，由于B网站存在反射跨站脚本漏洞，嵌入到URL中的恶意脚本通过Web服务器返回给A，并在A浏览器中执行，A的敏感信息在完全不知情的情况下将发送给了C。3、持久跨站脚本攻击B拥有一个Web站点，该站点允许用户发布和浏览已发布的信息。C注意到B的站点具有持久跨站脚本漏洞，C发布一个热点信息，吸引用户阅读。A一旦浏览该信息，其会话cookies或者其它信息将被C盗走。持久性跨站脚本攻击一般出现在论坛、留言簿等网页，攻击者通过留言，将攻击数据写入服务器数据库中，浏览该留言的用户的信息都会被泄漏。

HTTP/1.1（RFC2616）规范定义了HTTP TRACE方法，主要是用于客户端通过向Web服务器提交TRACE请求来进行测试或获得诊断信息。当Web服务器启用TRACE时，提交的请求头会在服务器响应的内容（Body）中完整的返回，其中HTTP头很可能包括Session Token、Cookies或其它认证信息。攻击者可以利用此漏洞来欺骗合法用户并得到他们的私人信息。该漏洞往往与其它方式配合来进行有效攻击，由于HTTP TRACE请求可以通过客户浏览器脚本发起（如XMLHttpRequest），并可以通过DOM接口来访问，因此很容易被攻击者利用。防御HTTP报头追踪漏洞的方法通常禁用HTTP TRACE方法。

跨站脚本攻击（Cross-site scripting，通常简称为XSS）发生在客户端，可被用于进行窃取隐私、钓鱼欺骗、窃取密码、传播恶意代码等攻击。XSS攻击使用到的技术主要为HTML和Javascript，也包括VBScript和ActionScript等。XSS攻击对WEB服务器虽无直接危害，但是它借助网站进行传播，使网站的使用用户受到攻击，导致网站用户帐号被窃取，从而对网站也产生了较严重的危害。XSS类型包括：（1）非持久型跨站：即反射型跨站脚本漏洞，是目前最普遍的跨站类型。跨站代码一般存在于链接中，请求这样的链接时，跨站代码经过服务端反射回来，这类跨站的代码不存储到服务端（比如数据库中）。上面章节所举的例子就是这类情况。（2）持久型跨站：这是危害最直接的跨站类型，跨站代码存储于服务端（比如数据库中）。常见情况是某用户在论坛发贴，如果论坛没有过滤用户输入的Javascript代码数据，就会导致其他浏览此贴的用户的浏览器会执行发贴人所嵌入的Javascript代码。（3）DOM跨站（DOM XSS）：是一种发生在客户端DOM（Document Object Model文档对象模型）中的跨站漏洞，很大原因是因为客户端脚本处理逻辑导致的安全问题。常用的防止XSS技术包括：（1）与SQL注入防护的建议一样，假定所有输入都是可疑的，必须对所有输入中的script、iframe等字样进行严格的检查。这里的输入不仅仅是用户可以直接交互的输入接口，也包括HTTP请求中的Cookie中的变量，HTTP请求头部中的变量等。（2）不仅要验证数据的类型，还要验证其格式、长度、范围和内容。（3）不要仅仅在客户端做数据的验证与过滤，关键的过滤步骤在服务端进行。（4）对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行安全检查。（5）在发布应用程序之前测试所有已知的威胁。