jhengfei
          愛JAVA,愛生活

          2006年11月14日

          北北 發(fā)表于 2006-8-21 20:46:15

          前言:

          半年前我對正則表達(dá)式產(chǎn)生了興趣,在網(wǎng)上查找過不少資料,看過不少的教程,最后在使用一個正則表達(dá)式工具RegexBuddy時發(fā)現(xiàn)他的教程寫的非常好,可以說是我目前見過最好的正則表達(dá)式教程。于是一直想把他翻譯過來。這個愿望直到這個五一長假才得以實現(xiàn),結(jié)果就有了這篇文章。關(guān)于本文的名字,使用“深入淺出”似乎已經(jīng)太俗。但是通讀原文以后,覺得只有用“深入淺出”才能準(zhǔn)確的表達(dá)出該教程給我的感受,所以也就不能免俗了。

          本文是Jan Goyvaerts為RegexBuddy寫的教程的譯文,版權(quán)歸原作者所有,歡迎轉(zhuǎn)載。但是為了尊重原作者和譯者的勞動,請注明出處!謝謝!

          ?1.什么是正則表達(dá)式

          基本說來,正則表達(dá)式是一種用來描述一定數(shù)量文本的模式。Regex代表Regular Express。本文將用<<regex>>來表示一段具體的正則表達(dá)式。

          一段文本就是最基本的模式,簡單的匹配相同的文本。

          ?2.不同的正則表達(dá)式引擎

          正則表達(dá)式引擎是一種可以處理正則表達(dá)式的軟件。通常,引擎是更大的應(yīng)用程序的一部分。在軟件世界,不同的正則表達(dá)式并不互相兼容。本教程會集中討論Perl 5 類型的引擎,因為這種引擎是應(yīng)用最廣泛的引擎。同時我們也會提到一些和其他引擎的區(qū)別。許多近代的引擎都很類似,但不完全一樣。例如.NET正則庫,JDK正則包。

          ?3.文字符號

          最基本的正則表達(dá)式由單個文字符號組成。如<<a>>,它將匹配字符串中第一次出現(xiàn)的字符“a”。如對字符串“Jack is a boy”。“J”后的“a”將被匹配。而第二個“a”將不會被匹配。

          正則表達(dá)式也可以匹配第二個“a”,這必須是你告訴正則表達(dá)式引擎從第一次匹配的地方開始搜索。在文本編輯器中,你可以使用“查找下一個”。在編程語言中,會有一個函數(shù)可以使你從前一次匹配的位置開始繼續(xù)向后搜索。

          類似的,<<cat>>會匹配“About cats and dogs”中的“cat”。這等于是告訴正則表達(dá)式引擎,找到一個<<c>>,緊跟一個<<a>>,再跟一個<<t>>。

          要注意,正則表達(dá)式引擎缺省是大小寫敏感的。除非你告訴引擎忽略大小寫,否則<<cat>>不會匹配“Cat”。

          ?· 特殊字符

          對于文字字符,有11個字符被保留作特殊用途。他們是:

          [ ] \ ^ $ . | ? * + ( )

          這些特殊字符也被稱作元字符。

          如果你想在正則表達(dá)式中將這些字符用作文本字符,你需要用反斜杠“\”對其進(jìn)行換碼 (escape)。例如你想匹配“1+1=2”,正確的表達(dá)式為<<1\+1=2>>.

          需要注意的是,<<1+1=2>>也是有效的正則表達(dá)式。但它不會匹配“1+1=2”,而會匹配“123+111=234”中的“111=2”。因為“+”在這里表示特殊含義(重復(fù)1次到多次)。

          在編程語言中,要注意,一些特殊的字符會先被編譯器處理,然后再傳遞給正則引擎。因此正則表達(dá)式<<1\+2=2>>在C++中要寫成“1\\+1=2”。為了匹配“C:\temp”,你要用正則表達(dá)式<<C:\\temp>>。而在C++中,正則表達(dá)式則變成了“C:\\\\temp”。

          ?·不可顯示字符

          可以使用特殊字符序列來代表某些不可顯示字符:

          <<\t>>代表Tab(0x09)

          <<\r>>代表回車符(0x0D)

          <<\n>>代表換行符(0x0A)

          要注意的是Windows中文本文件使用“\r\n”來結(jié)束一行而Unix使用“\n”。

          ?4.正則表達(dá)式引擎的內(nèi)部工作機制

          知道正則表達(dá)式引擎是如何工作的有助于你很快理解為何某個正則表達(dá)式不像你期望的那樣工作。

          有兩種類型的引擎:文本導(dǎo)向(text-directed)的引擎和正則導(dǎo)向(regex-directed)的引擎。Jeffrey Friedl把他們稱作DFA和NFA引擎。本文談到的是正則導(dǎo)向的引擎。這是因為一些非常有用的特性,如“惰性”量詞(lazy quantifiers)和反向引用(backreferences),只能在正則導(dǎo)向的引擎中實現(xiàn)。所以毫不意外這種引擎是目前最流行的引擎。

          你可以輕易分辨出所使用的引擎是文本導(dǎo)向還是正則導(dǎo)向。如果反向引用或“惰性”量詞被實現(xiàn),則可以肯定你使用的引擎是正則導(dǎo)向的。你可以作如下測試:將正則表達(dá)式<<regex|regex not>>應(yīng)用到字符串“regex not”。如果匹配的結(jié)果是regex,則引擎是正則導(dǎo)向的。如果結(jié)果是regex not,則是文本導(dǎo)向的。因為正則導(dǎo)向的引擎是“猴急”的,它會很急切的進(jìn)行表功,報告它找到的第一個匹配 。

          ?·正則導(dǎo)向的引擎總是返回最左邊的匹配

          這是需要你理解的很重要的一點:即使以后有可能發(fā)現(xiàn)一個“更好”的匹配,正則導(dǎo)向的引擎也總是返回最左邊的匹配。

          當(dāng)把<<cat>>應(yīng)用到“He captured a catfish for his cat”,引擎先比較<<c>>和“H”,結(jié)果失敗了。于是引擎再比較<<c>>和“e”,也失敗了。直到第四個字符,<<c>>匹配了“c”。<<a>>匹配了第五個字符。到第六個字符<<t>>沒能匹配“p”,也失敗了。引擎再繼續(xù)從第五個字符重新檢查匹配性。直到第十五個字符開始,<<cat>>匹配上了“catfish”中的“cat”,正則表達(dá)式引擎急切的返回第一個匹配的結(jié)果,而不會再繼續(xù)查找是否有其他更好的匹配。

          ?5.字符集

          字符集是由一對方括號“[]”括起來的字符集合。使用字符集,你可以告訴正則表達(dá)式引擎僅僅匹配多個字符中的一個。如果你想匹配一個“a”或一個“e”,使用<<[ae]>>。你可以使用<<gr[ae]y>>匹配gray或grey。這在你不確定你要搜索的字符是采用美國英語還是英國英語時特別有用。相反,<<gr[ae]y>>將不會匹配graay或graey。字符集中的字符順序并沒有什么關(guān)系,結(jié)果都是相同的。

          你可以使用連字符“-”定義一個字符范圍作為字符集。<<[0-9]>>匹配0到9之間的單個數(shù)字。你可以使用不止一個范圍。<<[0-9a-fA-F] >>匹配單個的十六進(jìn)制數(shù)字,并且大小寫不敏感。你也可以結(jié)合范圍定義與單個字符定義。<<[0-9a-fxA-FX]>>匹配一個十六進(jìn)制數(shù)字或字母X。再次強調(diào)一下,字符和范圍定義的先后順序?qū)Y(jié)果沒有影響。

          ?·字符集的一些應(yīng)用

          查找一個可能有拼寫錯誤的單詞,比如<<sep[ae]r[ae]te>> 或 <<li[cs]en[cs]e>>。

          查找程序語言的標(biāo)識符,<<A-Za-z_][A-Za-z_0-9]*>>。(*表示重復(fù)0或多次)

          查找C風(fēng)格的十六進(jìn)制數(shù)<<0[xX][A-Fa-f0-9]+>>。(+表示重復(fù)一次或多次)

          ?·取反字符集

          在左方括號“[”后面緊跟一個尖括號“^”,將會對字符集取反。結(jié)果是字符集將匹配任何不在方括號中的字符。不像“.”,取反字符集是可以匹配回車換行符的。

          需要記住的很重要的一點是,取反字符集必須要匹配一個字符。<<q[^u]>>并不意味著:匹配一個q,后面沒有u跟著。它意味著:匹配一個q,后面跟著一個不是u的字符。所以它不會匹配“Iraq”中的q,而會匹配“Iraq is a country”中的q和一個空格符。事實上,空格符是匹配中的一部分,因為它是一個“不是u的字符”。

          如果你只想匹配一個q,條件是q后面有一個不是u的字符,我們可以用后面將講到的向前查看來解決。

          ?·字符集中的元字符

          需要注意的是,在字符集中只有4個 字符具有特殊含義。它們是:“] \ ^ -”。“]”代表字符集定義的結(jié)束;“\”代表轉(zhuǎn)義;“^”代表取反;“-”代表范圍定義。其他常見的元字符在字符集定義內(nèi)部都是正常字符,不需要轉(zhuǎn)義。例如,要搜索星號*或加號+,你可以用<<[+*]>>。當(dāng)然,如果你對那些通常的元字符進(jìn)行轉(zhuǎn)義,你的正則表達(dá)式一樣會工作得很好,但是這會降低可讀性。

          在字符集定義中為了將反斜杠“\”作為一個文字字符而非特殊含義的字符,你需要用另一個反斜杠對它進(jìn)行轉(zhuǎn)義。<<[\\x]>>將會匹配一個反斜杠和一個X。“]^-”都可以用反斜杠進(jìn)行轉(zhuǎn)義,或者將他們放在一個不可能使用到他們特殊含義的位置。我們推薦后者,因為這樣可以增加可讀性。比如對于字符“^”,將它放在除了左括號“[”后面的位置,使用的都是文字字符含義而非取反含義。如<<[x^]>>會匹配一個x或^。<<[]x]>>會匹配一個“]”或“x”。<<[-x]>>或<<[x-]>>都會匹配一個“-”或“x”。

          ?·字符集的簡寫

          因為一些字符集非常常用,所以有一些簡寫方式。

          <<\d>>代表<<[0-9]>>;

          <<\w>>代表單詞字符。這個是隨正則表達(dá)式實現(xiàn)的不同而有些差異。絕大多數(shù)的正則表達(dá)式實現(xiàn)的單詞字符集都包含了<<A-Za-z0-9_]>>。

          <<\s>>代表“白字符”。這個也是和不同的實現(xiàn)有關(guān)的。在絕大多數(shù)的實現(xiàn)中,都包含了空格符和Tab符,以及回車換行符<<\r\n>>。

          字符集的縮寫形式可以用在方括號之內(nèi)或之外。<<\s\d>>匹配一個白字符后面緊跟一個數(shù)字。<<[\s\d]>>匹配單個白字符或數(shù)字。<<[\da-fA-F]>>將匹配一個十六進(jìn)制數(shù)字。

          取反字符集的簡寫

          <<[\S]>> = <<[^\s]>>

          <<[\W]>> = <<[^\w]>>

          <<[\D]>> = <<[^\d]>>

          ·字符集的重復(fù)

          如果你用“?*+”操作符來重復(fù)一個字符集,你將會重復(fù)整個字符集。而不僅是它匹配的那個字符。正則表達(dá)式<<[0-9]+>>會匹配837以及222。

          如果你僅僅想重復(fù)被匹配的那個字符,可以用向后引用達(dá)到目的。我們以后將講到向后引用。

          ?6.使用?*或+ 進(jìn)行重復(fù)

          ?:告訴引擎匹配前導(dǎo)字符0次或一次。事實上是表示前導(dǎo)字符是可選的。

          +:告訴引擎匹配前導(dǎo)字符1次或多次

          *:告訴引擎匹配前導(dǎo)字符0次或多次

          <[A-Za-z][A-Za-z0-9]*>匹配沒有屬性的HTML標(biāo)簽,“<”以及“>”是文字符號。第一個字符集匹配一個字母,第二個字符集匹配一個字母或數(shù)字。

          我們似乎也可以用<[A-Za-z0-9]+>。但是它會匹配<1>。但是這個正則表達(dá)式在你知道你要搜索的字符串不包含類似的無效標(biāo)簽時還是足夠有效的。

          ?·限制性重復(fù)

          許多現(xiàn)代的正則表達(dá)式實現(xiàn),都允許你定義對一個字符重復(fù)多少次。詞法是:{min,max}。min和max都是非負(fù)整數(shù)。如果逗號有而max被忽略了,則max沒有限制。如果逗號和max都被忽略了,則重復(fù)min次。

          因此{(lán)0,}和*一樣,{1,}和+ 的作用一樣。

          你可以用<<\b[1-9][0-9]{3}\b>>匹配1000~9999之間的數(shù)字(“\b”表示單詞邊界)。<<\b[1-9][0-9]{2,4}\b>>匹配一個在100~99999之間的數(shù)字。

          ?·注意貪婪性

          假設(shè)你想用一個正則表達(dá)式匹配一個HTML標(biāo)簽。你知道輸入將會是一個有效的HTML文件,因此正則表達(dá)式不需要排除那些無效的標(biāo)簽。所以如果是在兩個尖括號之間的內(nèi)容,就應(yīng)該是一個HTML標(biāo)簽。

          許多正則表達(dá)式的新手會首先想到用正則表達(dá)式<< <.+> >>,他們會很驚訝的發(fā)現(xiàn),對于測試字符串,“This is a <EM>first</EM> test”,你可能期望會返回<EM>,然后繼續(xù)進(jìn)行匹配的時候,返回</EM>。

          但事實是不會。正則表達(dá)式將會匹配“<EM>first</EM>”。很顯然這不是我們想要的結(jié)果。原因在于“+”是貪婪的。也就是說,“+”會導(dǎo)致正則表達(dá)式引擎試圖盡可能的重復(fù)前導(dǎo)字符。只有當(dāng)這種重復(fù)會引起整個正則表達(dá)式匹配失敗的情況下,引擎會進(jìn)行回溯。也就是說,它會放棄最后一次的“重復(fù)”,然后處理正則表達(dá)式余下的部分。

          和“+”類似,“?*”的重復(fù)也是貪婪的。

          ?·深入正則表達(dá)式引擎內(nèi)部

          讓我們來看看正則引擎如何匹配前面的例子。第一個記號是“<”,這是一個文字符號。第二個符號是“.”,匹配了字符“E”,然后“+”一直可以匹配其余的字符,直到一行的結(jié)束。然后到了換行符,匹配失敗(“.”不匹配換行符)。于是引擎開始對下一個正則表達(dá)式符號進(jìn)行匹配。也即試圖匹配“>”。到目前為止,“<.+”已經(jīng)匹配了“<EM>first</EM> test”。引擎會試圖將“>”與換行符進(jìn)行匹配,結(jié)果失敗了。于是引擎進(jìn)行回溯。結(jié)果是現(xiàn)在“<.+”匹配“<EM>first</EM> tes”。于是引擎將“>”與“t”進(jìn)行匹配。顯然還是會失敗。這個過程繼續(xù),直到“<.+”匹配“<EM>first</EM”,“>”與“>”匹配。于是引擎找到了一個匹配“<EM>first</EM>”。記住,正則導(dǎo)向的引擎是“急切的”,所以它會急著報告它找到的第一個匹配。而不是繼續(xù)回溯,即使可能會有更好的匹配,例如“<EM>”。所以我們可以看到,由于“+”的貪婪性,使得正則表達(dá)式引擎返回了一個最左邊的最長的匹配。

          ?·用懶惰性取代貪婪性

          一個用于修正以上問題的可能方案是用“+”的惰性代替貪婪性。你可以在“+”后面緊跟一個問號“?”來達(dá)到這一點。“*”,“{}”和“?”表示的重復(fù)也可以用這個方案。因此在上面的例子中我們可以使用“<.+?>”。讓我們再來看看正則表達(dá)式引擎的處理過程。

          再一次,正則表達(dá)式記號“<”會匹配字符串的第一個“<”。下一個正則記號是“.”。這次是一個懶惰的“+”來重復(fù)上一個字符。這告訴正則引擎,盡可能少的重復(fù)上一個字符。因此引擎匹配“.”和字符“E”,然后用“>”匹配“M”,結(jié)果失敗了。引擎會進(jìn)行回溯,和上一個例子不同,因為是惰性重復(fù),所以引擎是擴展惰性重復(fù)而不是減少,于是“<.+”現(xiàn)在被擴展為“<EM”。引擎繼續(xù)匹配下一個記號“>”。這次得到了一個成功匹配。引擎于是報告“<EM>”是一個成功的匹配。整個過程大致如此。

          ?·惰性擴展的一個替代方案

          我們還有一個更好的替代方案。可以用一個貪婪重復(fù)與一個取反字符集:“<[^>]+>”。之所以說這是一個更好的方案在于使用惰性重復(fù)時,引擎會在找到一個成功匹配前對每一個字符進(jìn)行回溯。而使用取反字符集則不需要進(jìn)行回溯。

          最后要記住的是,本教程僅僅談到的是正則導(dǎo)向的引擎。文本導(dǎo)向的引擎是不回溯的。但是同時他們也不支持惰性重復(fù)操作。

          ?7.使用“.”匹配幾乎任意字符

          在正則表達(dá)式中,“.”是最常用的符號之一。不幸的是,它也是最容易被誤用的符號之一。

          “.”匹配一個單個的字符而不用關(guān)心被匹配的字符是什么。唯一的例外是新行符。在本教程中談到的引擎,缺省情況下都是不匹配新行符的。因此在缺省情況下,“.”等于是字符集[^\n\r](Window)或[^\n]( Unix)的簡寫。

          這個例外是因為歷史的原因。因為早期使用正則表達(dá)式的工具是基于行的。它們都是一行一行的讀入一個文件,將正則表達(dá)式分別應(yīng)用到每一行上去。在這些工具中,字符串是不包含新行符的。因此“.”也就從不匹配新行符。

          現(xiàn)代的工具和語言能夠?qū)⒄齽t表達(dá)式應(yīng)用到很大的字符串甚至整個文件上去。本教程討論的所有正則表達(dá)式實現(xiàn)都提供一個選項,可以使“.”匹配所有的字符,包括新行符。在RegexBuddy, EditPad Pro或PowerGREP等工具中,你可以簡單的選中“點號匹配新行符”。在Perl中,“.”可以匹配新行符的模式被稱作“單行模式”。很不幸,這是一個很容易混淆的名詞。因為還有所謂“多行模式”。多行模式只影響行首行尾的錨定(anchor),而單行模式只影響“.”。

          其他語言和正則表達(dá)式庫也采用了Perl的術(shù)語定義。當(dāng)在.NET Framework中使用正則表達(dá)式類時,你可以用類似下面的語句來激活單行模式:Regex.Match(“string”,”regex”,RegexOptions.SingleLine)

          ?·保守的使用點號“.”

          點號可以說是最強大的元字符。它允許你偷懶:用一個點號,就能匹配幾乎所有的字符。但是問題在于,它也常常會匹配不該匹配的字符。

          我會以一個簡單的例子來說明。讓我們看看如何匹配一個具有“mm/dd/yy”格式的日期,但是我們想允許用戶來選擇分隔符。很快能想到的一個方案是<<\d\d.\d\d.\d\d>>。看上去它能匹配日期“02/12/03”。問題在于02512703也會被認(rèn)為是一個有效的日期。

          <<\d\d[-/.]\d\d[-/.]\d\d>>看上去是一個好一點的解決方案。記住點號在一個字符集里不是元字符。這個方案遠(yuǎn)不夠完善,它會匹配“99/99/99”。而<<[0-1]\d[-/.][0-3]\d[-/.]\d\d>>又更進(jìn)一步。盡管他也會匹配“19/39/99”。你想要你的正則表達(dá)式達(dá)到如何完美的程度取決于你想達(dá)到什么樣的目的。如果你想校驗用戶輸入,則需要盡可能的完美。如果你只是想分析一個已知的源,并且我們知道沒有錯誤的數(shù)據(jù),用一個比較好的正則表達(dá)式來匹配你想要搜尋的字符就已經(jīng)足夠。

          ?8.字符串開始和結(jié)束的錨定

          錨定和一般的正則表達(dá)式符號不同,它不匹配任何字符。相反,他們匹配的是字符之前或之后的位置。“^”匹配一行字符串第一個字符前的位置。<<^a>>將會匹配字符串“abc”中的a。<<^b>>將不會匹配“abc”中的任何字符。

          類似的,$匹配字符串中最后一個字符的后面的位置。所以<<c$>>匹配“abc”中的c。

          ?·錨定的應(yīng)用

          在編程語言中校驗用戶輸入時,使用錨定是非常重要的。如果你想校驗用戶的輸入為整數(shù),用<<^\d+$>>。

          用戶輸入中,常常會有多余的前導(dǎo)空格或結(jié)束空格。你可以用<<^\s*>>和<<\s*$>>來匹配前導(dǎo)空格或結(jié)束空格。

          ?·使用“^”和“$”作為行的開始和結(jié)束錨定

          如果你有一個包含了多行的字符串。例如:“first line\n\rsecond line”(其中\(zhòng)n\r表示一個新行符)。常常需要對每行分別處理而不是整個字符串。因此,幾乎所有的正則表達(dá)式引擎都提供一個選項,可以擴展這兩種錨定的含義。“^”可以匹配字串的開始位置(在f之前),以及每一個新行符的后面位置(在\n\r和s之間)。類似的,$會匹配字串的結(jié)束位置(最后一個e之后),以及每個新行符的前面(在e與\n\r之間)。

          在.NET中,當(dāng)你使用如下代碼時,將會定義錨定匹配每一個新行符的前面和后面位置:Regex.Match("string", "regex", RegexOptions.Multiline)

          應(yīng)用:string str = Regex.Replace(Original, "^", "> ", RegexOptions.Multiline)--將會在每行的行首插入“> ”。

          · 絕對錨定

          <<\A>>只匹配整個字符串的開始位置,<<\Z>>只匹配整個字符串的結(jié)束位置。即使你使用了“多行模式”,<<\A>>和<<\Z>>也從不匹配新行符。

          即使\Z和$只匹配字符串的結(jié)束位置,仍然有一個例外的情況。如果字符串以新行符結(jié)束,則\Z和$將會匹配新行符前面的位置,而不是整個字符串的最后面。這個“改進(jìn)”是由Perl引進(jìn)的,然后被許多的正則表達(dá)式實現(xiàn)所遵循,包括Java,.NET等。如果應(yīng)用<<^[a-z]+$>>到“joe\n”,則匹配結(jié)果是“joe”而不是“joe\n”。

          posted @ 2007-02-28 18:35 點滴鑄就輝煌 閱讀(207) | 評論 (0)編輯 收藏
           

          radic 發(fā)表于 2006-12-15 12:24:05
          作者:Radic???? 來源:sun
          評論數(shù):5 點擊數(shù):592???? 投票總得分:6 投票總?cè)舜?2
          關(guān)鍵字:Java;安全編碼

          摘要:

          本文是來自Sun官方站點的一篇關(guān)于如何編寫安全的Java代碼的指南,開發(fā)者在編寫一般代碼時,可以參照本文的指南
          本文是來自Sun官方站點的一篇關(guān)于如何編寫安全的Java代碼的指南,開發(fā)者在編寫一般代碼時,可以參照本文的指南:

          ?????????靜態(tài)字段
          ?????????縮小作用域
          ?????????公共方法和字段
          ?????????保護(hù)包
          ?????????equals方法
          ?????????如果可能使對象不可改變
          ?????????不要返回指向包含敏感數(shù)據(jù)的內(nèi)部數(shù)組的引用
          ?????????不要直接存儲用戶提供的數(shù)組
          ?????????序列化
          ?????????原生函數(shù)
          ?????????清除敏感信息


          靜態(tài)字段
          ?????????避免使用非final的公共靜態(tài)變量
          應(yīng)盡可能地避免使用非final公共靜態(tài)變量,因為無法判斷代碼有無權(quán)限改變這些變量值。
          ?????????一般地,應(yīng)謹(jǐn)慎使用易變的靜態(tài)狀態(tài),因為這可能導(dǎo)致設(shè)想中相互獨立的子系統(tǒng)之間發(fā)生不可預(yù)知的交互。

          縮小作用域
          作為一個慣例,盡可能縮小方法和字段的作用域。檢查包訪問權(quán)限的成員能否改成私有的,保護(hù)類型的成員可否改成包訪問權(quán)限的或者私有的,等等。

          公共方法/字段
          避免使用公共變量,而是使用訪問器方法訪問這些變量。用這種方式,如果需要,可能增加集中安全控制。
          對于任何公共方法,如果它們能夠訪問或修改任何敏感內(nèi)部狀態(tài),務(wù)必使它們包含安全控制。
          參考如下代碼段,該代碼段中不可信任代碼可能設(shè)置TimeZone的值:
          private static TimeZone??defaultZone = null;

          ??????public static synchronized void setDefault(TimeZone zone)
          ??????{
          ??????????defaultZone = zone;
          ??????}


          保護(hù)包
          有時需要在全局防止包被不可信任代碼訪問,本節(jié)描述了一些防護(hù)技術(shù):
          ?????????防止包注入:如果不可信任代碼想要訪問類的包保護(hù)成員,可以嘗試在被攻擊的包內(nèi)定義自己的新類用以獲取這些成員的訪問權(quán)。防止這類攻擊的方式有兩種:
          1.????????通過向java.security.properties文件中加入如下文字防止包內(nèi)被注入惡意類。
          ??????????... 
          package.definition=Package#1 [,Package#2,...,Package#n]

          ...


          這會導(dǎo)致當(dāng)試圖在包內(nèi)定義新類時類裝載器的defineClass方法會拋出異常,除非賦予代碼一下權(quán)限:
          ... 
          RuntimePermission("defineClassInPackage."+package)

          ...


          2.????????另一種方式是通過將包內(nèi)的類加入到封裝的Jar文件里。
          (參看http://java.sun.com/j2se/sdk/1.2/docs/guide/extensions/spec.html)
          ????通過使用這種技巧,代碼無法獲得擴展包的權(quán)限,因此也無須修改java.security.properties文件。
          ?????????防止包訪問:通過限制包訪問并僅賦予特定代碼訪問權(quán)限防止不可信任代碼對包成員的訪問。通過向java.security.properties文件中加入如下文字可以達(dá)到這一目的:
          ??????... 
          package.access=Package#1 [,Package#2,...,Package#n]

          ...


          這會導(dǎo)致當(dāng)試圖在包內(nèi)定義新類時類裝載器的defineClass方法會拋出異常,除非賦予代碼一下權(quán)限:
          ... 
          RuntimePermission("defineClassInPackage."+package)

          ...


          如果可能使對象不可改變
          如果可能,使對象不可改變。如果不可能,使得它們可以被克隆并返回一個副本。如果返回的對象是數(shù)組、向量或哈希表等,牢記這些對象不能被改變,調(diào)用者修改這些對象的內(nèi)容可能導(dǎo)致安全漏洞。此外,因為不用上鎖,不可改變性能夠提高并發(fā)性。參考Clear sensitive information了解該慣例的例外情況。

          不要返回指向包含敏感數(shù)據(jù)的內(nèi)部數(shù)組的引用
          該慣例僅僅是不可變慣例的變型,在這兒提出是因為常常在這里犯錯。即使數(shù)組中包含不可變的對象(如字符串),也要返回一個副本這樣調(diào)用者不能修改數(shù)組中的字符串。不要傳回一個數(shù)組,而是數(shù)組的拷貝。

          不要直接在用戶提供的數(shù)組里存儲
          該慣例僅僅是不可變慣例的另一個變型。使用對象數(shù)組的構(gòu)造器和方法,比如說PubicKey數(shù)組,應(yīng)當(dāng)在將數(shù)組存儲到內(nèi)部之前克隆數(shù)組,而不是直接將數(shù)組引用賦給同樣類型的內(nèi)部變量。缺少這個警惕,用戶對外部數(shù)組做得任何變動(在使用討論中的構(gòu)造器創(chuàng)建對象后)可能意外地更改對象的內(nèi)部狀態(tài),即使該對象可能是無法改變的

          序列化
          當(dāng)對對象序列化時,直到它被反序列化,它不在Java運行時環(huán)境的控制之下,因此也不在Java平臺提供的安全控制范圍內(nèi)。
          在實現(xiàn)Serializable時務(wù)必將以下事宜牢記在心:
          ?????????transient

          在包含系統(tǒng)資源的直接句柄和相對地址空間信息的字段前使用transient關(guān)鍵字。 如果資源,如文件句柄,不被聲明為transient,該對象在序列化狀態(tài)下可能會被修改,從而使得被反序列化后獲取對資源的不當(dāng)訪問。

          ?????????特定類的序列化/反序列化方法

          為了確保反序列化對象不包含違反一些不變量集合的狀態(tài),類應(yīng)該定義自己的反序列化方法并使用ObjectInputValidation接口驗證這些變量。

          如果一個類定義了自己的序列化方法,它就不能向任何DataInput/DataOuput方法傳遞內(nèi)部數(shù)組。所有的DataInput/DataOuput方法都能被重寫。注意默認(rèn)序列化不會向DataInput/DataOuput字節(jié)數(shù)組方法暴露私有字節(jié)數(shù)組字段。

          如果Serializable類直接向DataOutput(write(byte [] b))方法傳遞了一個私有數(shù)組,那么黑客可以創(chuàng)建ObjectOutputStream的子類并覆蓋write(byte [] b)方法,這樣他可以訪問并修改私有數(shù)組。下面示例說明了這個問題。
          你的類:
          ??????public class YourClass implements Serializable {

          ????????????private byte [] internalArray;
          ....
          private synchronized void writeObject(ObjectOutputStream stream) {
          ...

          ?????????????? stream.write(internalArray);
          ????????????????...
          }
          }


          黑客代碼

          ?????? public class HackerObjectOutputStream extends ObjectOutputStream{
          ????????????public void write (byte [] b) {
          ?????????????? Modify b
          ??????}
          }
          ...
          ???????????? YourClass yc = new YourClass();
          ??????????????...

          ???????????? HackerObjectOutputStream hoos = new HackerObjectOutputStream();

          ??????????????hoos.writeObject(yc);


          ?????????字節(jié)流加密

          保護(hù)虛擬機外的字節(jié)流的另一方式是對序列化包產(chǎn)生的流進(jìn)行加密。字節(jié)流加密防止解碼或讀取被序列化的對象的私有狀態(tài)。如果決定加密,應(yīng)該管理好密鑰,密鑰的存放地點以及將密鑰交付給反序列化程序的方式等。

          ?????????需要提防的其他事宜

          如果不可信任代碼無法創(chuàng)建對象,務(wù)必確保不可信任代碼也不能反序列化對象。切記對對象反序列化是創(chuàng)建對象的另一途徑。
          比如說,如果一個applet創(chuàng)建了一個frame,在該frame上創(chuàng)建了警告標(biāo)簽。如果該frame被另一應(yīng)用程序序列化并被一個applet反序列化,務(wù)必使該frame出現(xiàn)時帶有同一個警告標(biāo)簽。

          原生方法
          應(yīng)從以下幾個方面檢查原生方法:
          ?????????它們返回什么
          ?????????它們需要什么參數(shù)
          ?????????它們是否繞過了安全檢查
          ?????????它們是否是公共的,私有的等
          ?????????它們是否包含能繞過包邊界的方法調(diào)用,從而繞過包保護(hù)

          清除敏感信息
          當(dāng)保存敏感信息時,如機密,盡量保存在如數(shù)組這樣的可變數(shù)據(jù)類型中,而不是保存在字符串這樣的不可變對象中,這樣使得敏感信息可以盡早顯式地被清除。不要指望Java平臺的自動垃圾回收來做這種清除,因為回收器可能不會清除這段內(nèi)存,或者很久后才會回收。盡早清除信息使得來自虛擬機外部的堆檢查攻擊變得困難。
          posted @ 2006-12-19 09:29 點滴鑄就輝煌 閱讀(217) | 評論 (0)編輯 收藏
           

          MySQL從3.23.15版本以后提供數(shù)據(jù)庫復(fù)制功能。利用該功能可以實現(xiàn)兩個數(shù)據(jù)庫同步,主從模式,互相備份模式的功能

          數(shù)據(jù)庫同步復(fù)制功能的設(shè)置都在mysql的設(shè)置文件中體現(xiàn)。mysql的配置文件(一般是my.cnf),在unix環(huán)境下在/etc/mysql/my.cnf 或者在mysql用戶的home目錄下的my.cnf。

          window環(huán)境中,如果c:根目錄下有my.cnf文件則取該配置文件。當(dāng)運行mysql的winmysqladmin.exe工具時候,該工具會把c:根目錄下的my.cnf 命名為mycnf.bak。并在winnt目錄下創(chuàng)建my.ini。mysql服務(wù)器啟動時候會讀該配置文件。所以可以把my.cnf中的內(nèi)容拷貝到my.ini文件中,用my.ini文件作為mysql服務(wù)器的配置文件。

          設(shè)置方法:

          設(shè)置范例環(huán)境:

          操作系統(tǒng):window2000 professional

          mysql:4.0.4-beta-max-nt-log

          A ip:10.10.10.22

          B ip:10.10.10.53

          A:設(shè)置

          1.增加一個用戶最為同步的用戶帳號:

          																GRANT FILE ON *.* TO backup@'10.10.10.53' IDENTIFIED BY ‘1234’
          														

          2.增加一個數(shù)據(jù)庫作為同步數(shù)據(jù)庫:

          																create database backup
          														

          B:設(shè)置

          1.增加一個用戶最為同步的用戶帳號:

          																GRANT FILE ON *.* TO backup@'10.10.10.22' IDENTIFIED BY ‘1234’
          														

          2.增加一個數(shù)據(jù)庫作為同步數(shù)據(jù)庫:

          																create database backup
          														

          主從模式:A->B

          A為master

          修改A mysql的my.ini文件。在mysqld配置項中加入下面配置:

          server-id=1log-bin#設(shè)置需要記錄log 可以設(shè)置log-bin=c:mysqlbakmysqllog 設(shè)置日志文件的目錄,#其中mysqllog是日志文件的名稱,mysql將建立不同擴展名,文件名為mysqllog的幾個日志文件。binlog-do-db=backup #指定需要日志的數(shù)據(jù)庫

          重起數(shù)據(jù)庫服務(wù)。

          用show master status 命令看日志情況。

          B為slave

          修改B mysql的my.ini文件。在mysqld配置項中加入下面配置:

          																server-id=2master-host=10.10.10.22master-user=backup
          														

          #同步用戶帳號

          																master-password=1234master-port=3306master-connect-retry=60
          														

          預(yù)設(shè)重試間隔60秒replicate-do-db=backup 告訴slave只做backup數(shù)據(jù)庫的更新

          重起數(shù)據(jù)庫

          用show slave status看同步配置情況。

          注意:由于設(shè)置了slave的配置信息,mysql在數(shù)據(jù)庫目錄下生成master.info,所以如有要修改相關(guān)slave的配置要先刪除該文件。否則修改的配置不能生效。

          雙機互備模式。

          如果在A加入slave設(shè)置,在B加入master設(shè)置,則可以做B->A的同步。

          在A的配置文件中 mysqld 配置項加入以下設(shè)置:

          																master-host=10.10.10.53master-user=backupmaster-password=1234replicate-do-db=
          backupmaster-connect-retry=10
          														

          在B的配置文件中 mysqld 配置項加入以下設(shè)置:

          																log-bin=c:mysqllogmysqllogbinlog-do-db=backup
          														

          注意:當(dāng)有錯誤產(chǎn)生時*.err日志文件。同步的線程退出,當(dāng)糾正錯誤后要讓同步機制進(jìn)行工作,運行slave start

          重起AB機器,則可以實現(xiàn)雙向的熱備。

          測試:

          向B批量插入大數(shù)據(jù)量表AA(1872000)條,A數(shù)據(jù)庫每秒鐘可以更新2500條數(shù)據(jù)。

          posted @ 2006-11-14 11:29 點滴鑄就輝煌 閱讀(265) | 評論 (0)編輯 收藏
           
          主站蜘蛛池模板: 永定县| 通城县| 富宁县| 崇明县| 浙江省| 绥阳县| 霍林郭勒市| 大渡口区| 南安市| 昌乐县| 和硕县| 阳高县| 汶川县| 唐山市| 根河市| 临汾市| 沿河| 澳门| 韶关市| 吐鲁番市| 中阳县| 达孜县| 互助| 乐山市| 阿克苏市| 隆安县| 永州市| 宁夏| 龙泉市| 廉江市| 山阴县| 通海县| 黔南| 启东市| 从化市| 绵竹市| 黑山县| 监利县| 垫江县| 哈巴河县| 林周县|