Default style (Cherry Eve). Switch styles (Capricorn). Atom Feed Calendar

讨论:大家对OpenJFX这个项目有何看法?

2007年06月14日 12:02 位于分类[ 新闻视点 ]   作者: cleverpig

JavaFX Script  (下文中成为JavaFX)语言是一种声明式的静态类型编程语言。它具有第一级函数、声明式的语法、列表推导及基于依赖关系的增量式求值 等特征。JavaFX 脚本式语言特别适用于Java2D swing GUI组件,它允许简单地创建图形界面。

Matrix作为OpenJFX的伙伴社区,现在邀请大家讲讲对JavaFX的看法或者建议:


1.大家可以对其语言特性、适用范畴、语法特征、实现方式、使用问题等贡献出自己的质疑、争议或者看法、乃至设计提案。

2.也可以讲一下对JavaFX文档方面的诉求,或是和JavaFX开发团队一起分享自己编写的best practice。

3.内容不限制,只要是你所关注的、表达清楚就ok。


讨论目的:获得最佳反馈

cleverpig(JavaFX的content editor)将收集整理大家的看法或者建议,然后采用mail专访的方式提交给JavaFX开发团队leader--Anatoli,并将mail专访的内容编辑为专访文章发表在Matrix与大家分享。:-)

编写评论形式

为了方便整理,推荐大家采用如下看法或者建议的方式:
主题:.....
描述:.....
建议:.....
邮件联系方式:.....

位于分类[ 新闻视点 ] 保存到del.icio.us评论[0]

Matrix携手OpenJFX全球发布《JavaFX编程语言手册》

2007年05月31日 10:18 位于分类[ 新闻视点 ]   作者: cleverpig

今日,Matrix携手OpenJFX全球同程发布《JavaFX编程语言手册》。

    JavaFX Script™ (下文中成为JavaFX)语言是一种声明式的静态类型编程语言。它具有第一级函数(first-class functions)、声明式的语法、列表推导(list-comprehensions)及基于依赖关系的增量式求值(incremental dependency-based evaluation)等特征。JavaFX 脚本式语言特别适用于Java2D swing GUI组件,它允许简单地创建图形界面。本文档结合OpenJFX文档和中国开发者的理解,给出了JavaFX 脚本式编程语言的非正式描述。

image

    Matrix guru-Chris说:“这仅仅是和Open Source合作的一个开端,matrix将对不惜余力地推动开源运动。欢迎Matrixer和对开源感兴趣者积极参与进来,建立这个美丽的开源营地。”

    作为译者的cleverpig颇具感慨地说:“JavaFX 趋势很好,它有些类似建筑在Java庞大函数库上的“Ruby”,在极具Java味道的同时,又具有Ruby语言的简练,可以称为混血风格。虽然在工作中 付出了不少part time,但得到了MM的支持,使我专心投入翻译工作。在翻译的过程中融入了个人对脚本语言的理解,如有不妥,还请大家指出。同时还要感谢Tin的慷慨相 助,帮助我分担一半的工作。我相信matrix对开源运动的兴趣将吸引更多的像OpenJFX这样的合作。”

    OpenJFX项目负责人Anatoli Fomenko在回复cleverpig的mail中提到:“Thanks for your interest.We definitely like you to make the translation ASAP.Regarding posting: I'll investigate if it's possible to post Chinese on openjafx.dev.java.net - that would be our first choice, matrix.org - 2nd.I'll get back to you soon.  Anatoli”


该文档内容:
• 基本类型
• 调用Java对象
• 变量
• 函数、数组、表达式和操作
• 修改数组
        • insert语句
        • into
        • before, after
        • elete语句
• 查询数组
• 表达式
• 字符串和字符串表达式
• 引用标识符
• 范围表达式
• 字符串(String)、数值(Number)和日期的格式化
• 操作
        • 表达式语句
        • If语句
        • While语句
        • Try语句
        • For语句
        • Return语句
        • Throw语句
        • Break和Continue语句
        • Do语句
        • do later
• 类与对象
        • 属性声明
        • 对象声明
•        更新触发器
        • 创建触发器
        • 插入触发器
        • 删除触发器
        • 替换触发器
• 增量式求值和懒惰求值
• 反射
• 广度(Extents)和枚举
• 相关资源
• 关于译者
• 译文Feedback

相关资源

    * openJavaFX官方网站
    * openJavaFX FAQ
    * Functional programming
    * 什么是第一级函数
    * FOLDC对list comprehension的解释
    * XPath教材
    * 使用JXPath查询Java对象
    * XQuery简介

关于译者

    cleverpig:BJUG成员,Java社区——Matrix与Java共舞负责人之一,曾参与Buffalo的文档工作、Fielding的《Architectural Styles and the Design of Network-based Software Architectures》中文化研究(还要感谢Tin、Nicholas的大力相助),关注一切新技术,业余时间研究Guru并准备得道升天,但是苦于没有得法,目前还在苦苦追寻……

    Tin:中文名“田乐”,BJUG成员,现就职于Sina。曾经在Java Web项目中担任软件架构师和Web设计,注重使用轻量级解决方案和敏捷方法。目前主要做基于Javascript的RIA开发,喜欢研究新技术并进行思考,业余时间继续关注Java和Ruby,并与朋友一起翻译Selenium文档

位于分类[ 新闻视点 ] 保存到del.icio.us评论[0]

使用JXPath查询Java对象

2007年05月14日 16:00 位于分类[ 写作集市 ]   作者: cleverpig

使用JXPath查询Java对象
—使用XPath表达式语言查询复杂的Java对象树


译者:cleverpig
原文作者:Bart van Riel
原文出处:http://www.javaworld.com/javaworld/jw-03-2007/jw-03-jxpath.html

         在近期的一个项目中,我需要一种能够遍历Java对象树并从中提取对象属性值的简单方法。我希望找到一种提供 “我所想要的id为X并且具有属性A的对象”的简单工具,来顶替传统的不优雅方式——通过巨大的if-else迭代器设置对对象树进行不断地遍历。         

        而JXPath正是我想找的那种对象查询工具。它是一个Apache公用组件:使用众所周知的XPath表达式语言,能够对复杂的对象树进行查询。因此我将JXPath广泛地用在项目中,并且由于通过它的值提取算法(value-extraction algorithms)使应用获得了很大程度上的加速。        

        但是,JXPath并没有被广泛地文档化。因为我正在深度探索此组件,所以我决定将我的发现写到一个内容详实的JXPath入门中,这个入门可以在我的站点上找到。本文是这个入门的精简版本,它可以帮助你快速上手。        
                        
        注意:你可以从相关资源中下载本文的示例代码。

示例模型

        为了利用展示的目的,我们将使用一个简单的模型:一个具有多个部门(department)的公司(company),其中每个部门有多个雇员(employee)。下面是类模型:
image
Company类结构图

        很自然,我们需要一些用于该模型的样本数据:
image


         一切就绪了,现在就让我们开始使用JXPath吧!

执行简单的JXPath查询

        最简单的查询就是从对象树中提取单一对象。例如,为了取出Company对象,我们将使用到如下代码:
JXPathContext context = JXPathContext.newContext(company);
Company c = (Company)context.getValue(".");

         第一行展示了如何建立一个上下文(context),它是对象树中所有JXPath的Xpath表达式的起点(与XML文档中的根节点类似)。第二行代码 执行了实际的查询。由于我们的上下文从company层开始,所以为了获取Company对象,我们简单地使用当前成员选择器“.”。

使用判定(predicate)和变量        

        Employee是Department的子对象。为了获取名为“Johnny”的Employee对象使用如下代码(注意此时Company仍然是上下文的起点):
Employee emp = (Employee)context.getValue("/departmentList/employees[name='Johnny']");

        代码大意为:“从起点开始查询所有Department中name属性值为Johnny俄Employee对象”。

        上面的代码说明了如何通过使用特定值来利用判定进行对象查询。判定的用法类似在SQL中使用WHERE子句。我们甚至能够将多个判定合并在一个查询中:
Employee emp = 
   (Employee)context.getValue("/departmentList/employees[name='Susan' and age=27]");


        除非使用特定的、一次性的查询,使用硬编码的查询通称是不合理的。最好定义一个能够使用不同参数执行的、可重用的查询。为了提供这种参数化的查询,JXPath支持在查询中使用变量。下面是使用变量的代码示例:
context.getVariables().declareVariable("name", "Susan");
context.getVariables().declareVariable("age", new Integer(27));
Employee emp =
   (Employee)context.getValue("/departmentList/employees[name=$name and age=$age]");


在集合上进行迭代

        JXPath能够提供作用于查询获取的所有对象的迭代器,就像SQL中迭代结果集一样。下面的代码片段展示了如何对所有的Department进行迭代:
for(Iterator iter = context.iterate("/departmentList"); iter.hasNext();){
   Department d = (Department)iter.next();
   //...
}

        获取所有Department的所有Employee并进行迭代:
for(Iterator iter = context.iterate("/departmentList/employees"); iter.hasNext();){
   Employee emp = (Employee)iter.next();
   //...
}

        为了取得在销售部门的所有年龄大于30岁的Employee:
 for(Iterator iter = context.iterate
     ("/departmentList[name='Sales']/employees[age>30]"); iter.hasNext();){
   Employee emp = (Employee)iter.next();
   //...
}


        使用变量的示例:
context.getVariables().declareVariable("deptName", "Sales");
context.getVariables().declareVariable("minAge", new Integer(30));
for(Iterator iter = context.iterate("/departmentList
     [name=$deptName]/employees[age>$minAge]"); iter.hasNext();){
   Employee emp = (Employee)iter.next();
   //...
}

        以上的两个代码片段展示了多种在XPath查询中的使用判定的方式。

指针        

        指针是一个JXPath工具对象,它代表了在对象树中对对象位置的引用。例如,指针可以指向“第二个department中的第一个employee”。与直接从对象树中获取对象相比,指针提供了通过相关上下文执行相关查询的功能。

使用指针

        使用指向对象树中某个对象的指针几乎和直接获取对象的编码都很简单:
JXPathContext context = JXPathContext.newContext(company);
Pointer empPtr = context.getPointer("/departmentList[name='Sales']/employees[age>40]");

System.out.println(empPtr);
//output: /departmentList[1]/employees[1]

System.out.println(((Employee)empPtr.getValue()).getName());
//output: Johnny

        请注意这里指针的输出展示了指针表示了对象的位置,而不是对象本身。也要注意指针指向的实际对象可以通过指针的getValue()方法获得。

        指针也具有迭代器:
for(Iterator iter = context.iteratePointers("/departmentList[name='Sales']
     /employees[age>30]"); iter.hasNext();){
   Pointer empPtr = (Pointer)iter.next();
   //...
}


相对上下文和相对查询

         由于指针表示了对象的位置,所以它能够被用作在整个对象树中进行“航行”的参考点。为了实现这一点,将指针作为被称为“相对上下文”的根对象(还记得起在 前面示例中使用Company作为根节点吗?)。从这个相对上下文出发,你可以通过通过执行相对查询来对整个对象树进行查询。指针提供的这一优势为查询提 供了很大灵活性,下面将举例说明。

        首先,这是建立相对上下文的方式:
for(Iterator iter = context.iteratePointers("/departmentList[name='Sales']
     /employees[age>30]"); iter.hasNext();){
   Pointer empPtr = (Pointer)iter.next();
   JXPathContext relativeContext = context.getRelativeContext(empPtr);
}

        在这段代码中,为连续的employee指针建立了一个新的相对上下文。
        通过使用相对上下文,XPath能够在整个对象树上兄弟节点、子节点、父节点、祖父节点对象上执行查询:
//Current employee
Employee emp = (Employee)relativeContext.getValue(".");

//Employee name
String name = (String)relativeContext.getValue("./name");

//Name of the Department this Employee belongs to (a parent object)
String deptName = (String)relativeContext.getValue("../name");

//Name of the Company this Employee belongs to (a 'grandparent' object)
String compName = (String)relativeContext.getValue("../../name");

//All coworkers of this Employee (sibling objects)
for(Iterator empIter = relativeContext.iterate("../employees"); empIter.hasNext();){
   Employee colleague = (Employee)empIter.next();
   //...
}


总结

        JXPath是一种用于遍历、查询复杂对象树,并在其中进行“航行”的极其有用的工具。因为它将XPath表达式语言用于查询,因此大量关于XPath的参考资料有助于你建立高效、复杂的对象查询。甚至可以通过使用指针和相对上下文来增加更多的灵活性。

        本文仅仅蜻蜓点水式地涉及到了JXPath的几个可能的方面,如果要获得更多的使用示例和深度的讨论,请阅读我写的完整的入门

作者经历
image

        Bart van Riel已经涉足Java和面向对象时间达七年多了。他即是一位开发者又是一位面向对象和Java领域的培训师。目前他作为软件架构师和开源倡导者任职于全球IT咨询公司Capgemini

相关资源

        下载本文源代码
        Bart van Riel编写的完整的JXPath入门
        Apache Commons JXPath
        W3C提供的XPath入门

位于分类[ 写作集市 ] 保存到del.icio.us评论[0]

二十分钟Ruby入门

2007年02月26日 10:51 位于分类[ 写作集市 ]   作者: cleverpig

二十分钟Ruby入门

作者:cleverpig
image


介绍

       这是一个短小的Ruby入门,完全读完只需20分钟。这里假设读者已经安装了Ruby,如果你没有安装的话,请在阅读文前访问Ruby官方网站进行下载并安装。

交互式的Ruby

        打开IRB(交互式Ruby外壳):
        如果你使用Mac OS X,那么请打开终端窗口输入irb;
        如果你使用Linux,那么请打开shell输入irb;
        如果你使用windows,那么请在开始菜单中找到Ruby->fxri,并执行它。
image  
    
        Ok,在打开IRB之后,在其中输入"Hello World"。
image

Ruby听从你的安排!        

        发生了什么?我们刚才编写了世界上最短小的“Hello World”程序吗?这么说不太确切。第二行输出是IRB告诉我们:上一个表达式的评估结果。如果我们希望打印出“Hello World”,那么就还需要一点努力:
image
        
        puts 在Ruby中是一个简单的打印输出命令。后面的“=> nil”表示什么?——那是表达式的结果。Puts总是返回nil,这是Ruby中表示“绝对无值”(absolutely-positively- nothing value)的方式,看上去有些类似Java中的null。

你的免费计算器在这里!        

        无需做什么,我们就能把IRB作为一个简单的计算器使用:
image

        这样就能计算3+2。够简单的!那么3乘以2如何?你可以在下面继续输入3*2,也可以回到上面(3+2处)重新修改你刚刚输入的计算公式。使用键盘上的向上键,使光标到达3+2那一行,再用左键移动光标到加号上,然后使用空格键进行修改。
image    
    
        下面,让我们尝试计算3的平方:
image  
      
        在Ruby语言中,**表示幂运算。那么如何计算平方根呢?
image

        Ok,等一下,表达式中的sqrt(9)表示什么?你一定能猜到这是计算9的平方根。而Math表示什么?不要着急,下面就让我们进一步了解像Math这样的模块。

模块——按照主题分组的代码

        Math 是Ruby内建的数学模块。在Ruby中,模块提供了两种角色:一种角色是将类似的方法聚集在同一个“家族”名下。因此,Math也包括sin、tan这 样的方法。第二种角色是一个圆点(dot),它标记了消息的接收者。什么是消息?在上面的例子中,sqrt(9)便是消息,它意味着调用sqrt方法取出 9的平方根。

        Sqrt方法调用的结果是3.0。你可能注意到它并不是3。这是因为多数情况下,数字的平方根并不是整数,所以这里返回了一个浮点数。

        那么我们如何记住这些计算结果呢?——将结果赋值给变量。
image

如何定义方法?

        如何才能方便省事地随意输出字符串,而无需过多地劳烦我们的手指呢?——我们需要定义一个方法!
image

         上面的代码中第一行“def h”标志着方法定义的开始。它告诉Ruby我们正在定义一个名为h的方法。下面一行是方法体:puts "Hello World"。最后,也就是第三行“end”通知Ruby我们完成了方法定义。Ruby的回应“=> nil”告诉我们它已经知道我们定义了此方法。

简短、重复地调用方法        

        现在,让我们尝试多次执行这个方法:
image    
    
        哈,这太容易了。在Ruby中调用某个方法只需将方法名提交给Ruby。当然,这是在方法没有参数的情况下。如果你愿意也可以添加一个空白的括号,但是这没有必要。

        如果我们想对某个人说hello而不是整个“世界”(world),那该怎么做?——重定义h方法使它接收name参数。
image

        嗯,现在看来工作正常。

字符串中的奥秘        

        “#{name}”是什么意思?这是Ruby在某个字符串中插入其它字符的方式。在大括号之间放入的字符串(这里是指name)将被外部的字符串代替。你也可以使用字符串类内建的capitalize方法来确保某人名字的首字母大写:
image

        上面的代码有两个地方需要说明:
        第一,我们通过无括号的方式调用方法,因为括号是可选的;
        第二,这里的默认参数值为“World”。也就是说在调用方法时如果没有提供name参数,则使用默认值“World”。

进化为Greeter!

        我们是否需要一个真正的问候者(greeter),他能记住你的名字、问候你、总是尊重地向你示好?那么这就最好建立一个“Greeter”类:
image

        在上面的类代码中定义了一个称为Greeter的类和一些类方法,其中出现了一些新的“关键词”:请注意“@name”,它是类的实例变量,并对类中的所有方法(say_hi和say_bye方法)都有效。

        如何让Greeter类发挥作用?现在让我们来建立一个Greeter对象并使用它!image

        Greeter类的实例对象g被建立后,它便接受了name参数(值为Pat)。那么我们能直接访问name吗?
image

        看看上面的编译错误来看,这样直接访问name是行不通的。    
    
窥视对象的内部        

        对象中的实例变量总是隐藏于其中,但也并非毫无踪迹可寻,通过审查(inspect)对象便会见到它们。当然还有其它的访问方法,但是Ruby采用了良好的面向对象的方式来保持数据的隐藏性。
image

         喔!这么多方法,可是我们只定义了两个方法呀?其它的方法又出自何处?不要担心,instance_methods方法列出了Greeter对象的所有方 法,其中包括父类中定义的方法。如果我们只想对Greeter类的方法进行列表的话,那么把false作为参数调用instance_methods方法 即可。false意味着我们不需要父类定义的方法。
image

        哈哈,这才是我们想要的。下面让我们看看Greeter对象能回应哪些方法:image

        它知道say_hi、to_s(此方法将对象转换为字符串,是任何对象都必备的默认方法,很想Java中的toString方法),但它不知道name。

随时修改类定义        

        如何才能查看或者修改name呢?Ruby提供了访问对象变量的简单方法:image

        在Ruby语言中,你能够多次打开某个类并修改它。而修改所带来的变化将应用在此后建立的任何新对象中、甚至现存的此类对象中。下面让我们建立一个新对象并访问它的@name属性。
image

        我们通过使用attr_accessor定义了两个方法:
        “.name”用来获取name属性值;
        “.name=”用来设置namee属性值。
        这很类似在Java类中访问被Public修饰的成员变量。

向每个人问候,MegaGreeter不会漏掉一个人        

        Greeter并不完美,因为它只能一次服务一个人。所以我们在这里设计一个能够一次向全世界、世界上每个人或者在名单中的人发送问候的MegaGreeter类。在这里,我们将放弃从前的IRB交互模式,转而改为编写Ruby程序文件。

        退出IRB的方法:输入“quit”、“exit”或者按下Control+D的组合键。

image

        保存上面的代码到名为“ri20min.rb”的文件中,并使用“ruby ri20min.rb”的命令执行它。程序输出如下:
image

        下面我们将深入了解一下上面的代码。

        请注意上面代码中的起始行,它以#开头。在Ruby语言中,任何以#开头的行都被视为注释,并被解释程序忽略。

        我们的say_hi方法已经发生了变化:
image

        它查找@names参数并按照其参数值作出决定:
        如果参数值为nil,它将打印三个圆点。
        那么@names.respond_to?("each")表示什么?

循环——也叫迭代

        如果@names对象具有each方法,那么它是可以被迭代的,进而可以对其进行迭代,从而问候列表中每个人。如果@names不具备each方法,则将它自动转换为字符串,并执行默认的问候。
image

        each 是一种方法,它接受一个代码块(block of code),然后针对列表中的每个成员执行这个代码块,而在do和end之间的部分便是这个非常类似匿名函数的代码块。在管道符之间的变量是代码块的参数 name,它作为代码块参数被绑定为列表成员,而代码块puts "Hello #{name}!"将使用这个参数进行输出。

        大多数其它的编程语言使用循环遍历列表,下面是C语言的循环示例:
image

        上面的代码显然可以工作,但它不够“优雅”!你不得不用i这个多余的循环变量,还需要指出列表的长度,然后再解释如何遍历列表。

        Ruby的迭代方式则更加优雅,所有的内部管理细节都隐藏在each方法中,你所需做的就是告诉它如何处理其中的每个成员。

块,Ruby边缘的高亮点!

        块(block)的真正优势在于:能够处理比列表更加复杂的对象。除了在方法中可以处理简单的内部管理细节外,你还能处理setup、teardown和所有错误,而不让用户有所察觉。
image

        say_bye方法没有使用each,而是检查@names是否具有join方法,如果具有join方法,则调用join方法。否则它将直接打印@names变量。

        此方法并不关心变量的实际类型,这依赖于它所支持的那些被称为“Duck Typing” 的方法:duck typing是动态类型的一种形式:变量的值自身隐含地决定了了变量的行为。这暗示了某个对象与其它实现了相同接口的对象之间是可交换的,不管对象之间是 否具有继承关系。鸭子测试(duck test)是对duck typing的一种形象比喻——“如果它走路像鸭子,那么也一定像鸭子一样呷呷地叫,那么它必定是一只鸭子”。duck typing是某些编程语言的特性:如Smalltalk, Python, Ruby, ColdFusion。

        Duck Typing的益处是无需对变量的类型进行严格地限制,如果某人使用一种新类型的列表类,只要它实现了与其它列表相同语义的join方法,便可以拿来使用。

启动脚本        

        文件上半部分是MegaGreeter类的代码,而后面剩下的部分则是对这些类方法的调用。而这是我们最后值得注意的一点:
image

        __FILE__ 是一个“具有魔力”的变量,它代表了当前文件名。$0是用于启动程序的文件名。那么代码“if __FILE__ == $0”便意味着检查此文件是否为将被使用的主程序文件。这样做可以使程序文件作为代码库使用,而不是可执行代码;但当此文件被用作执行文件时,也可被执 行。

如何进一步学习Ruby

        到此便是本入门的尾声了。当然还有许多值得浏览的:Ruby提供的各种不同的控制结构;块和yield的使用;模块作为mixins使用等。希望这次Ruby初体验能使你对Ruby更感兴趣。

        注: mixin在面向对象编程语言中是一种提供某些功能给子类继承的类,但mixin并不能实例化。从某个mixin继承并不是什么特殊的形式,而它更适于收 集功能。某个子类甚至可以通过继承一个或者多个mixin选择继承它的全部或者多数功能。一个mixin能延期定义和绑定方法直到运行时,而属性和实例参 数也将在编译时才被定义。这不同于多数常见的方式:定义所有的属性、方法,并在编译时进行初始化。

        如果这样的话,请埋头翻阅我们的文档,那里有免费、丰富的在线手册和入门资源。或者如果你喜欢在啃书本的话,可以到图书列表中选择一些你所需要的。

相关资源

        下载Ruby
        Ruby官方文档
        Ruby出版图书列表
        用于Eclipse的Ruby开发插件
        Ruby in Twenty Minutes
       Ruby函数式风格编程
        用block简化编程一例
        迭代器+代码块,让代码更简短

感谢阅读此文

        请支持cleverpig发起的image

位于分类[ 写作集市 ] 保存到del.icio.us评论[2]

AJAX真的不安全?!

2007年02月09日 08:57 位于分类[ 写作集市 ]   作者: cleverpig

AJAX真的不安全?!

作者:cleverpig

image


版权声明:任何获得Matrix授权的网站,转载时请务必保留以下作者信息和链接
作者:cleverpig
原文:http://www.matrix.org.cn/resource/article/2007-02-07/a5f2d5c6-b677-11db-82df-078095a5dcde.html
关键字:AJAX,安全,XSS,CSRF,漏洞

前言

        日前网络中流行围绕AJAX和安全风险的讨伐声浪让人不绝于耳。这种火热的新技术已经被铺天盖地地应        用在各种web应用(构建如GmailGoogle Maps这些基于web的应用),但在其炙手可热的光环背后隐藏着一个黑暗的鬼怪——AJAX正在为心怀恶意的hacker打开着后门。但这并不完全正确。恰好,目前几乎所有的web应用开发老手和安全专家都正在力图冲过冷嘲热讽式的取笑,触及到事情的真相:多数web站点都是不安全,但AJAX并不是罪魁祸首。尽管AJAX不能使web站点变得丝毫安全,但理解它能做些什么是非常重要的。

        AJAX(Asynchronous JavaScript + XML)是web浏览器技术的集合体,它允许web页面内容飞速地更新而无需刷新页面。在使用AJAX的web页面背后,数据(通常格式化为XML,但也 可以是HTML、JavaScript等格式)在web服务器与客户端浏览器之间来回传输。比如在Gmail应用场景中,新的邮件信息被自动接收和显示。 在Google Maps应用场景中,用户可以通过鼠标拖拽的方式在地图中的街区之间穿梭漫游。这种执行异步数据传输的机制是一个嵌入在所有现代web浏览器内部的、被称 为XMLHTTPRequest(XHR)的软件库。XHR是web站点获得“AJAX”商标的关键。另一方面,它也是一些实现了“奇思妙想”的 JavaScript。

        如果你正在思考这究竟和安全有什么关系,那么你是正确的。AJAX技术使站点平滑地与用户交互, 并给用户带来更多的回应。而在web服务器上并没有任何改变,而安全焦点却应该着重在web服务器端。如果这是事实的话,那么我们每个人还考虑什么?在计 算机安全社区中,AJAX意味着大量攻击平面(attack surface)、骤增的复杂性、伪造请求、拒绝服务、跨站脚本(XSS)、依赖于客户端安全等等。而事实上,这些问题在AJAX出现之前就已经存在。并 且推荐给开发者的安全最佳实践也从没有因为AJAX的出现而改变过。如果你像我一样想知道到底哪些才是重要的,那么请让我们进行一次深入的讨论。

名词解释

       Cross-site scripting (XSS):跨站脚本是一种经常出现在web应用中的计算机安全漏洞,它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞越过访问控制——例如同源策略(same origin policy)。近来,这种类型的漏洞被用来编写危害性更大的phishing攻击和利用浏览器漏洞。详细解释请看这里

       Same Origin Policy:计 算机术语。这里译为“同源策略”。它是对于客户端脚本(尤其是JavaScript)的重要安全 度量标准。它首先出自Netscape Navigator2.0。之后历经Navigator2.01和Navigator2.02的修正完善。其目的在于防止某个文档或者脚本从多个不同 “origin”(源)装载。 这里的单词“origin”指使用域名、协议、端口。详细解释请看这里

       Cross-site request forgery(CSRF):跨 站请求伪造,也被称成为“one click attack”或者session riding,通常缩写为CSRF或者XSRF,是一种对网站的恶意利用。尽管听起来像跨站脚本(XSS),但它与XSS非常不同,并且攻击方式几乎相 左。XSS利用站点内的信任用户,而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比,CSRF攻击往往不大流行(因此对其 进行防范的资源也相当稀少)和难以防范,所以被认为比XSS更具危险性。详细解释请看这里

AJAX导致大量的“攻击平面”?——不!

         “攻击平面”一词被应用到通过对系统中开放攻击点的分析来度量安全的概念中。对于软件,这些点便是被第三方(用户)操作数据输入、输出的区域。显而易见, 具有相对越少的安全平面使应用越安全。同样明显的是,对于web应用或者任何应用,编写的功能点与攻击平面同样多。这并不和用户接口是否采用AJAX、 Flash、ASCII艺术字或者其它任何方式有关。AJAX是一种浏览器技术,且不在服务端执行。当AJAX驱使开发者公开地暴露更多的功能时,便可能引入新的“服务器端”漏洞——你并不能责备AJAX。新的代码总意味着增加漏洞的风险。

        更进一步讲,从本人的经验看,使用AJAX技术的web应用在功能上并不具有比传统的标准web应用更多的复杂性。Google Maps就是一个比看似简单的craigslist的 更简练的应用。Gmail也比Outlook Web Access更加轻巧。而且,使用AJAX进行Web应用设计(或者重新设计)将给在使用新式平台上(.NET,J2EE等)进行开发带来更多的机会。这 些平台与生俱来就更加安全、不会出现例如SQL注入、证书会话推算(Credential Session Prediction)、目录遍历等在上一代平台中常见的漏洞。

AJAX使“攻击平面”更加难以发现?——是,但又不是

         没有测试结果的安全程序是不完整的。度量web站点安全的最常见方式便是通过模拟攻击——成千上万的攻击(也就是漏洞评估)。漏洞评估能被手工执行,也可 以使用自动化扫描工具,或者两者兼而有之。在漏洞评估过程的第一步就是定位web应用的输入点或者“攻击平面”。因此,一个完整的漏洞评估需要发现所有可 能的漏洞。

        自动化抓取整个web站点、映射链接是漏洞评估的标准行为。此方法对于某些站点工作很好,对另一些站点则无能 为力,而对其余站点的效果在前两者之间。对使用大量JavaScript、Flash、ActiveX、Applet和AJAX的新式站点来讲,进行漏洞 评估的挑战是网站中的链接是即时生成或者在复杂的客户端代码中动态生成的。分析出这些链接非常困难,有时几乎不可能。因此自动化扫描成为了检验AJAX站 点安全性的一种不大可靠的方法。

        另一方面依靠人工可以相对轻松地详细审视代码并推断代码之间的关系。有时,JavaScript源代码中记录了web站点所有的输出区域,甚至XML web服务的细节,当然这不但对心怀善意者有用,而且对心存恶意者也同样有用处。

        在一个平常的web站点中,没有这样的资源,而漏洞评估程序必须依赖于链接抓取的方式。因此这里做出的结论便是:AJAX并没有削弱web站点的安全性,但它使评估安全工作面临更多的挑战。

AJAX导致“拒绝服务”?——这并非事实

         基于AJAX的web站点被要求设计成为使用大量零碎的HTTP请求,而不是少量的、大规模HTTP请求的应用。例如,Google Suggest在每个用户敲击键盘时,可以发出微小的HTTP请求来执行自动单词完成工作。这里假定1000用户同时使用此系统,采用这种AJAX快速触 发HTTP请求的模式将会明显地提高系统处理请求的压力。这便是潜在的拒绝服务场景。假定这是可能的,但这是谁的过错呢?

        以本人的观点,这个问题不是因AJAX、甚至不良的软件设计策略而引起的、而是缺乏恰当的实现和质量测试而造成的。针对此问题的解决方案便是优化配置或者增加更多的web服务。现实中,如果某人想发动Dos攻击,他将使用巨大的HTTP流量作为洪流冲击网络,而不管web站点是否采用AJAX。

AJAX依赖客户端安全?——不!

         让我们回到web应用安全上来。Web应用必须从不信任客户端(web浏览器)。这是无论web页面接口使用JavaScript、Flash、 ActiveX、Applet、AJAX或者其它协议、语言都适用的“福音”。每个开发者应该谨慎对待HTTP代理,因为它能改变HTTP请求中的任何东 西、甚至是那些被XHR生成的数据。最谨慎的做法是确保所有安全检查都在server上进行,无一例外。

        这意味着我们不应该使用客户端安全检查吗?不,正相反。我推荐在form中和其它业务处理流中使用客户端安全检查,因为它通过更多的反馈完善了用户体验。把用户在电话号码field中输入的字符传送到服务器进行检查的做法是没有必要的。而且通过将部分处理时间推给客户端可以减轻服务器的负载。

AJAX导致糟糕的安全决策?——有几分可能。

        Web2.0 站点经常囊括了来自一个或者多个第三方站点的数据,这称为“mash-up”。AJAX开发者首选的做法是使用直接从第三方站点“拉”数据给用户,这样可 以减少没必要的带宽浪费。但是这对XHR技术来讲是不可能的。XHR具有内建在浏览器中的安全保护机制,它防止位于A站点的用户浏览器向B站点发起连接。 这有助于防止用户受到那些在页面中使用JavaScript代码强迫用户下载银行账户信息的恶意站点的威胁。

        而Web开 发者并不愿抑制革新,他们完成了一套能够使用XHR访问第三方站点的应用:Web开发者在web服务器上建立一个本地HTTP代理。为了使客户端能够从第 三方站点“拉”数据,他们通过本地代理将XHR直接传送给目的服务器。下面便是web浏览器生成的请求示例:

http://websiteA/proxy?url=http://websitesB/ 


        A站点接收进入的请求,而后“proxy”web应用通过“URL”参数发送请求给B站点。通过使用代理,开发者可以使用XHR作跨域请求。因为A站点不能直接连接到B站点,所以XHR不能发送用户授权cookie到B站点, 因此这里并不存在跨域请求伪造(CSRF)的威胁。这里安全问题时A站点上存在一个没有进行限制的HTTP代理。

        攻击者喜欢寻找开放的代理,因为他们能够从那里发起攻击,而不必暴露自己的行踪。代理的使用应被仔细地控制,对连接代理的站点和此站点的行为进行限制。我认为问题出在开发者忽视了安全控制,而不是AJAX。

AJAX使跨站脚本攻击(XSS)更甚?——我希望不是。

        AJAX使得XSS攻击更甚?记得在2006年BlackHat发表的一篇《Hacking Intranet Websites from the Outside》中演示了JavaScript恶意代码如何获取内网NAT后的IP地址、扫描端口、使web服务器记录系统失明、盗取浏览器历史记录、利用处于内网的web接口。华盛顿邮报称此“使人不安”。所有的演示代码没有使用AJAX编写,都是古老的JavaScript。

XHR能够发起在同一域下的任何HTTP请求,并浏览回应数据。简单的JavaScript能够完成同样的请求,而无需“域”的限制,但它不能浏览回应数据。这意味着如果某个用户位于A网站,XHR不能强迫用户连接到B网站、并读取B网站的数据。但是简单的JavaScript代码能够做到。从这个角度来看,XHR是如等的安全!

对于JavaScript的深入研究已经导致了新生的恶意代码能够发现哪些服务器具有潜在的XSS漏洞安全问题。更为直接的例子就是,Samy蠕虫曾经击倒了MySpace利用XHR的JS-Yamaner也在Yahoo上肆虐繁殖过。但是这些攻击都采用简单的JavaScript。AJAX与这种场景毫无干系。我们所能做的是寻找和修复在web应用中的XSS漏洞。WhiteHat的安全白皮书《Cross-Site Scripting Worms and Viruses》中提供了更丰富的资源。

AJAX改变了安全最佳实践?——不。

        如果某个web应用存在漏洞,那么无论采用何种技术进行开发,它都是不安全的。如果某个web应用具备良好的设计,“不安全的AJAX”怎么也削弱不了它的安全性。

下面是使web应用安全的5点提示:

1)设计安全。进行从安全出发、时刻关注安全的设计:在软件开发生命周期中每个阶段中将安全性作为一个组件对待。

2)可靠的输入验证。从不信任客户端。

3)使用可靠的软件库。从加密到会话管理,最好尽量使用经过全面的测试的组件。不要重新发明轮子和重复别人的错误。

4)安全配置。web站点的每个组件都应该使用职责相互分离的配置,最小化权限,屏蔽掉不使用的特性,禁用错误信息。

5)寻找和修复漏洞。持续化的漏洞评估是预防攻击者访问公司和客户数据的最佳方式。因为你不能控制那些无法测试到的。

        遵守上面的5点提示是使Web应用走向安全的第一步。第二步则是数据验证。没有哪家公司指望能编写没有任何缺陷的代码,或者具有连续不断定位web应用中所有安全漏洞能力的有效工具。这就是WhiteHat建立WhiteHat Sentinel这个提供持续的漏洞评估和web应用管理服务的原因。

记住基本原则,使用深层防御,你的在线业务将更安全。

针对XSS蠕虫和病毒的最佳防范方法

image
我们如何吃下这袋中甜点?


         近十年来,反病毒社区已经建立了依靠快速反应时间来限制蠕虫和病毒所造成的危害的机制。随着新一代恶意软件滋生速度的提高,几百万、甚至上亿美元在病毒突 发事态趋于稳定之前白白损失掉了。这种情况要求我们采取措施在病毒刚发作时对病毒的爆发进行辨别,防止病毒在第一发生地点扩大化。

        为了缩小新种类病毒和蠕虫的危害,下面列举出了一些防范步骤供web用户、web开发者参考:

web用户

1.在电子邮件或者即时通讯软件中点击链接时需要格外小心:留心可疑的过长链接,尤其是它们看上去包含了HTML代码。如果对其产生怀疑,可以在浏览器地址栏中手工输入域名,而后通过该页面中的链接浏览你所要的信息。

2.对于XSS漏洞,没有哪种web浏览器具有明显的安全优势。也就是Firefox也同样不安全。为了获得更多的安全性,可以安装一些浏览器插件:比如Firefox的