由于移动端网页开发不能直接打开developer tools，导致我们调试起来稍微麻烦。好在我们有解决方案： Remote Devices 谷歌为我们提供的开发利器，让我们可以在电脑端使用developer tools进行elements检查和network监测，非常方便快捷。 使用方式：
主要对比默认配置的profile和配置修改后的profile[1]，本文修改后的profile采用如下配置。
昨天搞了一天，我觉得新手可以参考我这篇文章思路，避免你和我一样踩坑，刚好去年的这几天也在搞mqtt，不过当时弄的是微信小程序，这次项目是uniapp，我想实现uniapp中的h5能够使用mqtt，转换成小程序后也能直接使用，后面成功了，但是也付出了点代价，接近弄了5个小时，一直在犹豫要不要发出来记录一下，后面还是妥协了，因为我怕下次我用到又继续像昨天那样， 本次解决了：
最近在研读书籍 深入浅出nodejs ， 随手写下的一些笔记， 和大家分享~ 如有错误，欢迎指正~
近年来随着 Web 前端的快速发展，浏览器新特性层出不穷，越来越多的应用可以在浏览器端或通过浏览器渲染引擎实现，Web 应用的即时通信方式 WebSocket 得到了广泛的应用。
原文：https://medium.com/intrinsic/why-should-i-use-a-reverse-proxy-if-node-js-is-production-ready-5a079408b2ca
关于https证书的过期巡检监控，还真是百密一疏！仔细复盘，可能我们将注意力都集中在基础设施、基础状态、应用系统、中间件、数据库、链路追踪、日志，以及更高阶的可观测的概念及如何建设上，而忽略了当下，孰不知我们现阶段为监控所做的一切都是在提高系统的可观测性！因此对于监控，即使没有可观测性的加成，也可以使我们的监控系统满足业务日益发展的需要。
工欲善其事，必先利其器 ,要抓包，怎么可能没有好的工具，对于普通抓包来说，我们有下面几个工具
移动端调试方案 页面容器 移动设备上的各种浏览器 各类app内的webview debug方案 Android端 iOS端 跨平台 抓包工具Charles 调试工具weinre 其他方案 附录：ES6标准兼容情况 页面容器 移动设备上的各种浏览器 chrome、safari、firefox、samsung browser
例如做一个系统的登录界面，输入用户名和密码，提交之后，后端直接拿到数据就拼接 SQL 语句去查询数据库。如果在输入时进行了恶意的 SQL 拼装，那么最后生成的 SQL 就会有问题。
产生sql注入的根本原因在于代码中没有对用户输入项进行验证和处理便直接拼接到查询语句中。利用sql注入漏洞，攻击者可以在应用的查询语句中插入自己的SQL代码并传递给后台SQL服务器时加以解析并执行。
作者：蒋海滔，阿里巴巴国际事业部，高级技术专家，爱好Java/JavaScript，长期关注高性能、并发编程以及Web安全。 来自：高可用架构(ID:ArchNotes) 一，互联网web应用面临的主要威胁 1. XSS 跨站脚本攻击(Cross Site Scripting)， 即A站点的网页想办法跑到B站点上。 因为我们的网页都是javascript驱动的，所以js拥有非常大的权力。 XSS 可以大概分为三类(注意这三类不是排斥的)， DomXSS, 反射型XSS和存储型XSS。 首先Dom型XS
首先从抓包着手，我比较习惯用fiddler抓包。尝试模拟器上配置代理抓包，结果模拟器用不了。
上一篇文章我们讲了http2的多路复用，今天继续聊一聊http2的消息推送，在http1.x时代，服务器是不能向客户端推送消息的，而在http2里面这成为了一个标准。
一、 分析： 抓取动态页面js加载的人民日报里面的新闻详情 https://wap.peopleapp.com/news/1 先打开，然后查看网页源码，发现是一堆js，并没有具体的每个新闻的url详情，于是第一反应，肯定是js动态加载拼接的url。然后接着按f12 查看，就看url，发现出来了好多url。 然后点击具体的某一个新闻详情页面，查看url，把这个url的 后面两个数字其中一个拿到访问主页的时候，f12 抓包结果里面去查找，发现一个url，点击这个url，发现preview里面有好多数据，我第一反应，肯定是每个新闻数据了。看到这些数据里面有两个ID，联想到刚刚访问具体新闻详情页面也有两个数字，肯定，具体新闻页面肯定是 https://wap.peopleapp.com/article 加上两个ID形成的。于是试了一下拼接一个url访问，果然是。于是乎只要抓到这个url，就能获取到每个新闻的详情页了。
所有的性能优化中，缓存是最重要也是最直接有效的，毕竟现在都这么忙，可等不了网页转菊花。
Activity AndroidMainfest 配置 android:exported="false", 其它应用不可以调用 检测栈顶 Activity, 防止页面被劫持 WebView 加载网页发生证书认证错误时, 会调用 WebViewClient 类的 onReceivedSslError 方法, 如果该方法实现调用了 handler.proceed() 来忽略该证书错误, 则会受到中间人攻击的威胁, 可能导致隐私泄露。当发生证书认证错误时, 采用默认的处理方法 handler.cancel()
http 最初的版本(1.1之前), 是简单的请求-应答的方式，http是建立在tcp/ip的基础上，所以每次请求都要建立连接，请求拿到数据之后，就要断开连接。如果请求获取一个字符的数据，但是还需要建立连接，断开连接这些报文，带宽利用率不高，而且往返的时间增加了很多。
HTTPS已经无所不在，作为开发者，我们经常需要访问或者使用HTTPS服务器。本文重要介绍了如何用 Node.js 在本地创建一个HTTPS开发服务器。
基于van、mpvue开发的微信小程序，记录了开发前的技术选型、开发时如何搭建环境、上手项目、踩坑等。
上上篇文章《nginx 平滑升级&新增模块》提到了公司的 https 访问需求。当我新增了 SSL 模块之后，却发现以前还真没部署过 https 访问。 下面整理我的部署过程，并收集了一下 Apach
前面有写过使用 Node.js 搭建 HTTPS 服务器 其中的自签名生成证书方式比较简单，既充当 HTTPS 根证书的角色也充当了用户的角色，本文我们会先创建一个 CA 根证书，再创建一个由 CA 根证书签名的自定义证书。
此文主要讲的事情是如何让用户快点看到首屏页面，其主要影响因素是延迟和解析渲染耗时。有关安全部分其实也是优化的一部分。我们着重说下网络部分。
在 Node.js 中开启一个 HTTP 服务很简单，如果想使用 Node.js 开启一个 HTTPS 的服务需要两步：一是生成签名证书，二是还需借助 Node.js 提供的系统模块 HTTPS 完成。
Cobalt Strike 流量特征 总结来源于网上资料， 有错的地方欢迎各位大佬指正。 简介 简介：Cobalt Strike is software for Adversary Simulations and Red Team Operations. Cobalt Strike 简称CS， A-team详细介绍使用网址。CS是一款优秀的后渗透工具，可以在获取主机权限后进行长久权限维持，快速进行内网提权，凭据导出等。在后渗透中如果未修改特征，容易被流量审计设备监控，被蓝队溯源。 Cobalt Strike
前端安全问题主要有XSS、CSRF攻击 XSS：跨站脚本攻击 它允许用户将恶意代码植入到提供给其他用户使用的页面中，可以简单的理解为一种javascript代码注入。 XSS的防御措施：
示例：nginx官方文档->Modules reference->ngx_http_gzip_module
面试官：Http协议了解吗，知道Http1.0和Http1.1以及Http2.0有什么区别吗，可以简单聊一聊吗？
Element中是最终渲染后的内容,不一定是我们get网页url拿到的数据,期间会有些js或者其他数据接口会改变他原始的界面
今天下午处理了一个关于 selenium+pytthon 的疑难杂症。 经过一番思考后成功解决，且方法极为简单可靠，具体代码在最后。 先看下这个疑难问题：
导语 通过这篇文章可以大致了解 Whistle 的实现原理，并学习如何实现一个简单的抓包调试工具。 项目 Github 地址：https://github.com/avwo/whistle Whistle 是基于 Node.js 实现的跨平台 Web 抓包调试（HTTP）代理，主要功能： 实时抓包：支持 HTTP、HTTPS、HTTP2、WebSocket、TCP 等常见 Web 请求的抓包； 修改请求响应：与一般抓包调试工具采用断点的方式不同，Whistle 采用类似系统 host 的配置规则方式； 扩展
前线客服传来消息 — “用户反馈一打开我们的 App，就直接闪退了”，刚听到这个消息，我很吃惊，上一期发的新版本 QA 都有验证过。难道是因为功能权限的问题导致的，赶紧跟客服确认具体情况。原来是客户前几天都能正常使用 App，今天一打开就莫名闪退了。刚了解清楚具体情况，一下子闪退的消息，就如滔滔江水一涌而来，随后也就开始了 iOS 证书过期填坑之旅。
官方介绍更新日志：https://vitejs.dev/blog/announcing-vite3.html#dev-improvements
要服务端同时支持ws与wss并不容易，其难点主要在于：wss通道必须在TCP连接刚建立时（收发消息前）就要先进行SSL加密，否则，后续的通信将无法正常进行。如此一来，当TCP连接刚建立时，服务器就无法具体分辨哪个是ws客户端哪个是wss客户端。那怎么办了？
如果还没有注册的童鞋可以先去百度地图开放平台注册一下账号，如果不明白可以参考：https://blog.csdn.net/qq_17623363/article/details/103234119
摘要： 各位Fundebug老用户，请尽快更换JS插件域名！！！将og6593g2z.qnssl.com替换为js.fundebug.cn。
说明 如果设备连接MQTT只走TCP,信息可以用软件监控出来. 为了防止传输的信息被监控,TCP + SSL 使用自带的证书文件(开启单向认证) 1.软件里面自带着证书 <ignore_js_op>
在之前的域名数字证书安全漫谈系列文章中，讲到了跟数字证书有关的安全问题，如假冒证书、劫持、钓鱼攻击等。今天，来谈谈跟数字证书有关的另外一个话题，那就是HTTPS该如何加速的问题。
最近研究了几天 appr.tc 服务器的搭建，主要目的是想在本地搭建一套 webrtc 服务器环境，可以做一些webrtc相关的实验。
最近在准备考试，想考一个信息系统项目管理师的证书，也就是大家所说的软考。有了这个证书呢，据说有很多好处，我闲着没事就报了名，而我的个人网站也没时间进行搭理了。今天百度了一下我的网站，结果出来一个新网站，把我的网站权重降下去了，而且也搜索不到我的文章了。在这里我就分享下，我是如何处理这类网站被克隆的情况的！
通常我们写了一套自适应的 web 程序,想在多种环境中使用.比如 app 里,微信小程序里,各种 app 分享中, 假如只是能使用 app 浏览,问题不大,但是要在被嵌入 app 里面和 app 本身交互,就要做各种折腾, 如是就有了本文.
由于成本问题，可能某些厂商并不会将所有的子域名都部署 CDN，所以如果我们能尽量的搜集子域名，或许可以找到一些没有部署 CDN 的子域名，拿到某些服务器的真实 ip/ 段
说明 这节配置一下OpenResty,让web服务器可以实现https访问 添加一个网站 1.虽然安装了OpenResty 但是需要手动添加站点 <ignore_js_op>
这个模块的重要性，基本不用强调了。在网络安全问题日益严峻的今天，网站采用HTTPS是个必然的趋势。
warning: 这篇文章距离上次修改已过458天，其中的内容可能已经有所变动。
说起预判，大家可能并不陌生，在电子游戏中，高手通常预判非常好，比如，预判敌人的走位，提前把技能释放到地方等待敌人恰好撞到。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
