之前写了一篇介绍token的文章：简单理解Token机制，token算法自己设计的，使用了随机算法，导致token无法进行反向解密。所以我当初使用了redis进行存储token，前端调用API时需要携带token进行身份验证，token有效期48小时。但是我们有说过：sessionid是需要空间进行存储的，但是token在服务器是可以不需要存储用户信息的。所以我们能不能做到用户注册登陆成功给用户生成一个token返回给客户端，等前端携带token调用API时我们直接解析token看能否解析出用户数据来决定用户是否有接口权限呢？事实上NodeJS提供的一个npm包：jsonwebtoken就可以实现token的生成与反向解密出用户数据。接下来我们看看jsonwentoken如何进行使用。
这里可以选择gitee，gitee由于众所周知的原因有时候会很慢，无奈选择gitee
上一篇 浏览器渲染（进程视角）文章从浏览器的进程模型演进分析了打开一个页面的渲染进程数量，及每个渲染页面的连接，上下文组等内容，那么对于渲染进程内所作的事情怎样的呢？
团队中会遇到在线文档管理的需求，包括技术文档，接口文档， excel 文档，和产品原型的托管等需求，一直没有找到合适的开源项目来满足需求，所以动手实现了个文档管理系统（实现起来并不复杂，该教程只是提供思路，并非最佳实践）
交易订单的重复提交虽然通常不会直接影响现金流和商品流，但依然会给网站运营方带来损害，如消耗系统资源、影响正常用户订单生成、制造恶意用户发起纠纷的机会等。倘若订单对象是虚拟商品，也有可能造成实际损失。订单重复提交的检查工作本应该由网站自身实现，而 iFlow 业务安全加固平台则可以为未实现这项功能的网站提供防护。
在公众号平台下，自定义菜单，添加菜单，并选择菜单内容跳转到指定页面地址即可（需认证后方可添加页面地址，个人账号暂不支持认证）。
这是 DVWA 靶场练习系列的第四篇，这次的内容是 JavaScript 安全，相对来说比较简单
淘宝对于h5的访问采用了和客户端不同的方式，由于在h5的js代码中保存appsercret具有较高的风险，mtop采用了随机分配令牌的方式，为每个访问端分配一个token，保存在用户的cookie中，通过cookie带回服务端分配的token, 客户端利用分配的token对请求的URL参数生成摘要值sign,
微信JS-SDK是微信公众平台面向网页开发者提供的基于微信内的网页开发工具包。例如我们网页中希望实现扫一扫、获取本地相册、位置信息、分享功能等，都可以使用JS-SDK来实现。
使用 koa-jwt + jsonwebtoken 完成用户鉴权功能。 项目地址：https://github.com/Ewall1106/mall 安装 首先我们安装 koa-jwt 和 jsonwebtoken这两个 npm 包。 $ npm install koa-jwt jsonwebtoken --save 先明确一下两者的关系：koa-jwt 是负责对 token 进行验证的，而 jsonwebtoken 是负责生成 token 的。 JWT 鉴权 在 app.js 中引入并使用。 co
4、用 ticket + 随机字符串 + 时间戳 + 当前网页url 拼接成一串字符，然后进行sha1加密。
本次案例的代码都已上传到Review_Reverse上面，后面会持续更新，大家可以Fork一波。
写作背景： 💢第一坑来自ali云，ali云的函数计算FC产品在使用模板创建项目的过程中，如下图中的服务名和函数名每次创建都是一样的，我们很容易就按默认的创建了，但是多次创建会覆盖前一次的内容，我写好的授权接口就被覆盖了~ 📷 📷 💘ali的产品原来也有这种低级的错误，不管你是产品设计的缺陷还是系统开发的缺陷，这都是致命的，因为正常运行的服务丢了~ 📷 💥第二坑来自WeChat，在ali云调试好的代码丢就丢了吧，我就打算还在ali云上开始重新来一遍，靠着搜索到的网站还没关掉，就写完了第二遍云上的代码，接
脚本已被放置在 miniprogram/gen_ts.sh，在 miniprogram 目录执行 sh gen_ts.sh 即可生成如下文件：
案例地址：https://www.dsedt.gov.mo/zh_CN/pg_home
JWT token 实现方式， 将基本信息直接放在token中，以便于分布式系统使用， 但是我们没有设置有限期（这个是可以实现的），并且服务端无法主动让token失效。而Redis天然支持过期时间，也能实现让服务端主动使token过期。
Burp插件的使用 使用准备 Burpsuite可以使用三种语言编写的扩展插件，Java、Python和Ruby。除Java外，其它两种需要的扩展插件需要配置运行环境。 Python 下载地址：http://www.jython.org/downloads.html 下载Standalone Jar版本，下载后将Jar文件放置在Burpsuite文件夹。 Ruby 下载地址：http://jruby.org/download 下载Complete Jar 版
Burp插件的使用 使用准备 Burpsuite可以使用三种语言编写的扩展插件，Java、Python和Ruby。除Java外，其它两种需要的扩展插件需要配置运行环境。 Python 下载地址：http://www.jython.org/downloads.html 下载Standalone Jar版本，下载后将Jar文件放置在Burpsuite文件夹。 Ruby 下载地址：http://jruby.org/download 下载Complete Jar 版本，下载后将Jar文件放置在Burpsuite文件
Cross-site request forgery（跨站请求伪造）：在b.com发起a.com的请求，会自动带上a.com的cookie，如果cookie中有敏感的票据，会有攻击者伪造用户发送请求的安全问题
这周在读者群顺手搞了个小活动,在群里摸鱼的时候有水友说练手系列能不能来点简单的写详细点。
本文章中所有内容仅供学习交流，抓包内容、敏感网址、数据接口均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关，若有侵权，请联系我立即删除！
Vue Ant Admin基于Vue2.x的中后台管理系统：https://iczer.gitee.io/vue-antd-admin-docs/
之前在为框架集成knife4j接口调试查看工具，使用了一段时间，使用体验上比较繁琐，因为接口都需要token，所以每次都要去f12查看token复制再创建全局参数，可能我只需要测试一个接口但是步骤少不了，针对此问题框架做了一些优化
“世间万物都由分子构成。用气将万物的分子打散，分解眼前事物，再将分子重组，在短暂的瞬间，可以凝成时空停顿，甚至逆转时空。”
本文介绍了Burpsuite插件的使用，包括如何安装、配置和使用Burpsuite的各种插件。此外，还介绍了Burpsuite的插件市场，以及如何在Intruder和CO2中添加XSS漏洞检测和CSRF Token Tracker。
之前对分享功能的实现也知道个七七八八，但一直没有在业务中实现过。今年参与的盲盒类产品正好用到了分享功能，包括：
最成熟的Vue ssr框架，一个命令就能启动和部署。零侵入开发，跟开发vue纯客户端一模一样。
(1) touser–>str,接收消息者的标识(已在企业微信的通讯录中添加，添加后微信后台会自动分配标识),多个用户使用 “|” 隔开(如”zhdb|zhj|wqq”),所有人(“@all”); (2) corp_id–>str,企业ID,申请企业微信时获得; (3) secret, agent_id–>str, 创建企业应用时获得.
不单是互金系统交易时会生产此问题，凡涉及表单提交都会遇到，这里以某互金系统为例说明交易防重的过程设计。下图是交易防重设计的示图：
ASP.NET MVC 微信JS-SDK认证 写在前面 前阵子因为有个项目需要做微信自定义分享功能，因而去研究了下微信JS-SDK相关知识。 此文做个简单的记(tu)录(cao)… 开始 所有的东西都从文档开始:微信JSSDK说明文档 项目需要用到的是分享接口 不过使用微信JS-SDK之前，需要做JS接口认证。 认证如下： 步骤一：绑定域名 步骤二：引入JS文件 步骤三：通过config接口注入权限验证配置 步骤四：通过ready接口处理成功验证 步骤五：通过error接口处理失败验证 步骤一中允许使用域
注意：假如需要在页面加载时就调用的话，需要把对应的执行函数放到wx.ready(function(){})；方法里面加载执行，之前我调用加载就获取地理位置的接口就是因为没有放到这里面所以一直没有获取到用户当前经纬度坐标。
本文章中所有内容仅供学习交流使用，不用于其他任何目的，不提供完整代码，抓包内容、敏感网址、数据接口等均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关！
最近在项目中碰到了app中SSO单点登录使用不当导致的任意用户登录漏洞，渗透过程中碰到不少JS加密处理，SIGN值生成，在与开发的对抗中还是觉得比较有意思，特此记录一下
HLS视频加密是一种基于HTTP Live Streaming（HLS）协议的加密技术。它的核心思想是将视频切片进行加密处理，在客户端播放时需要先获取解密密钥才能正常偶发。通过这种方式，HLS加密可以有效防止未经授权的第三方窃取视频内容，从而保障了视频内容的版权和安全。数据万象媒体处理服务提供了一套HLS视频加密方案，方便用户各个场景的需求。
大家好，我是「柒八九」。一个「专注于前端开发技术/Rust及AI应用知识分享」的Coder。
标题被截短，描述也变成了链接，图片也没有，运营人员半夜还在嚷嚷，无奈只好硬着头皮去百度，去google，但是悲催的是没有详细的解决方法，最终只能自己去研究，还好最终搞出来了，决定分享一下，帮助需要的人。
单点登录功能分析 请求的url：/user/login 请求的方法：POST 参数：username、password，表单提交的数据。可以使用方法的形参接收。 返回值：json数据，包含一个token。 业务逻辑： 登录的业务流程：
浏览器的内核是指支持浏览器运行的最核心的程序，分为两个部分的，一是渲染引擎，另一个是JS引擎。渲染引擎在不同的浏览器中也不是都相同的。目前市面上常见的浏览器内核可以分为这四种：Trident（IE）、Gecko（火狐）、Blink（Chrome、Opera）、Webkit（Safari）。这里面大家最耳熟能详的可能就是 Webkit 内核了，Webkit 内核是当下浏览器世界真正的霸主。本文我们就以 Webkit 为例，对现代浏览器的渲染过程进行一个深度的剖析。
通过应用生成器工具 express-generator 可以快速创建一个应用的骨架。
不是些高深知识，但是第一次做，确实费了很多的时间，终于一点一点的扣了出来，目前已经使用中。
普遍的观点认为，前端就是打好 HTML、CSS、JS 三大基础，深刻理解语义化标签，了解 N 种不同的布局方式，掌握语言的语法、特性、内置 API。再学习一些主流的前端框架，使用社区成熟的脚手架，即可快速搭建一个前端项目。胜任前端工作非常容易。再往深处学习，你会发现前端这个领域，总是有学不完的框架、工具、库，不断有新的轮子出现。技术推陈出新，版本快速迭代，但万变不离其宗。工具致力于流程自动化、规范化，服务于简洁、优雅、高效的编码，将问题高度抽象化、层次化。在如今前端开源界如此火热的现状下，框架的使用者与框架的维护者联系更加紧密，不仅能深入源码来更彻底地认识框架，还能够提出问题，参与讨论，贡献代码，共同解决技术问题，推进前端生态的发展和壮大。而编译原理，作为一门基础理论学科，除了 JS 语言本身的编译器之外，更成为 Babel、ESLint、Stylus、Flow、Pug、YAML、Vue、React、Marked 等开源前端框架的理论基石之一。了解编译原理能够对所接触的框架有更充分的认识。
第一个接口已经完成了，是直接调用其他人写好的现成的接口，而我们服务端只是做了一个透传，数据给到前端，其实目的就达到了。但是，调用的过程中会有很多疑问，比如接口是如何封装的？封装了哪些信息？access_token的刷新机制是什么？对我们来说是一个黑箱。后面还遇到了其他的问题，比如网页授权接口我们是要自己写还是依然调用理科的接口？他和之前分享链接的接口有没有联系？要解决这些疑问，还是要研究这两个功能到底是如何实现的。下面是根据开发过程整理出文档，记录下来，后续还有类似功能开发，可以借鉴。
在 JavaScript 逆向过程中，我们可能找到了一些入口，但是深入追踪下去，就发现这个过程过于复杂，调用层级越来越深，最终很难完全把整个过程完整还原出来，不得不放弃。
首先注册一个账号,使用github账号登陆,授权github,让travis可以有权限访问你的github仓库,
Dear，大家好，我是“前端小鑫同学”，😇长期从事前端开发，安卓开发，热衷技术，在编程路上越走越远～ 前言： 作为一个Coder虽然主要在做前端方面的开发，但是为了可以更好的协作开发，还是很有必要学习后端的一些知识，最起码你可以了解到什么东西是真的实现不了😏。 技术栈： 基础项目：eggjs 时间处理：dayjs 数据加密：md5 UID生成：uuid 鉴权处理：jsonwebtoken 参数校验：egg-validate 跨域限制：egg-cors 数据存储：egg-mongoose选择Eggjs原因：
JS-SDK说明文档：https://developers.weixin.qq.com/doc/offiaccount/OA_Web_Apps/JS-SDK.html#0
JWT 全称为 JSON Web Token，是一份开源的标准协议，它定义了一种传输内容基于 JSON、轻量级、安全的数据传输方式。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
