生而为人

sql注入漏洞

修复方案：
如果拼接参数是SQL的查询参数都可以通过将mybatis配置文件中的 $ 改为 #，来解决
替换规则如下：
1.将 WHERE some_field = ‘${变量}’ 替换为 WHERE some_field = #{param}

2.将 like ‘%${变量}%’ 替换为 like concat(‘%’, #{变量}, ‘%’)

3.将 like concat(‘%’, ${变量}, ‘%’) 替换成 like concat(‘%’, #{变量}, ‘%’)

4.将 WHERE some_field IN (${变量}) 替换为

WHERE some_field IN

#{item}

对于拼接的变量不是SQL参数的，而是字段名、表名的情况，可以使用安全SDK检查输入是否是合法的标识符。
1.pom 引入安全SDK依赖

com.sankuai.security
sec-sdk
${尽可能最新版本}

\2. 代码中检查输入的变量的值是否是合法的标识符。
String sortName = req.getParameter(“sortName”);
if (sortName != null && !SecSdk.isValidSqlIdentifier(sortName)) {
// 危险，可能有SQL注入，
// return or throw exception
}

参考文档：
SQL注入介绍：https://sectraining.sankuai.com/?source=source-scanner/#/document/30001
安全SDK文档：https://km.sankuai.com/page/234776924

CORS 安全配置不当

XSS 跨站脚本攻击

越权类安全问题

Connection reset原因分析和解决方案

一般引起这个问题的原因是服务器服务关闭。

我遇到过一次问题是因为http端口填写错误。

Connection reset原因分析和解决方案

switch case

Switch Case语句中多个值匹配一个代码块的写法

1
2
3
4
5
6
7
8
9
10
11
12

switch (i)
  {
    case 1:case 2:case 3:case 4:
      Console.WriteLine("ok!**********");
      break;
    case 5:
      Console.WriteLine("wrong!*******");
      break;
    default:
      Console.WriteLine("default case!*********");
      break;
  }

interface 属性为 private static final

abstract 父类中的属性，默认式private的，非private的在子类中可以使用

joda.time

1
2

String pattern ="dd-MMM-yy hh.mm.ss aa";
DateTimeFormat.forPattern(pattern)

字符串补位

1

"%02d".format(currentTime.getMinuteOfHour)

参考资料

Java枚举类——valueOf()的用法

java 泛型详解-绝对是对泛型方法讲解最详细的，没有之一

泛型（一）泛型类和泛型方法

JAVA泛型—通配符,泛型嵌套

Java获取泛型的类型Class

java泛型通配符详解

关于通配泛型类型有几种_泛型类型的子类及通配符的使用

java位运算符详解

打印自定义对象数组内容

java中list和array打印对象的方法

1. 重写自定义类toString方法
2. 用google开源的lombok，加注释@Data，他自动帮你重写了toString方法

1

Arrays.toString(array);