脚踏实地

访问量次

访客数人

网络与安全

2024.11.24 阅读量次

网络协议

网络协议是计算机网络中设备和系统之间进行数据交换的规则和约定。它定义了数据的格式、传输方式、处理流程以及错误检测与修正的机制，使不同设备能够正确地进行通信。网络协议为信息交换和网络功能实现提供了基础。

通过定义标准的通信流程和数据结构，网络协议解决了不同计算机和设备之间的兼容性问题，让它们能够理解并处理彼此交换的数据。这些协议优化了数据传输的效率和可靠性，避免了数据丢失、传输顺序错乱和安全风险等问题。网络协议是现代互联网的核心基础，支撑着全球范围内各种应用和服务的稳定运行。

OSI七层模型

为了使不同计算机厂家生产的计算机能够相互通信，便于在更大的范围内建立计算机网络，国际标准化组织（ISO）在1978年提出了“开放系统互联参考模型”，即著名的OSI/RM模型（Open System Interconnection/Reference Model）。由于这个标准模型的建立，使得各种计算机网络向它靠拢，大大推动了网络通信的发展。它将计算机网络体系结构的通信协议划分为七层，自下而上依次为：

物理层（Physical Layer）：物理层负责传输原始的比特流，即数据的物理传输。它定义了硬件设备如何通过媒介（如电缆、光纤、无线电波等）进行数据传输。常见的物理层设备包括网卡、集线器、调制解调器、交换机等。常用的传输介质包括光纤、同轴电缆、双绞线等。
数据链路层（Data Link Layer）：数据链路层负责在物理层之上实现数据帧的传输和错误检测。它确保数据帧的正确传输，并处理数据传输中的错误。数据链路层还负责在两个直接相连的设备之间建立、管理和终止连接。常见协议有以太网（Ethernet）、PPP（Point-to-Point Protocol）和Wi-Fi。
网络层（Network Layer）：网络层的主要作用是负责数据包的转发，包括路由选择和数据包的分段与重组。它处理逻辑地址的分配和寻址，确保数据能够从源端传输到目的端。常见协议包括IP（Internet Protocol）、ICMP（Internet Control Message Protocol）和ARP（Address Resolution Protocol）。
传输层（Transport Layer）：传输层负责端到端的数据传输，确保数据的可靠性。它提供了错误检测、数据重传、流量控制和拥塞控制等机制，确保传输的数据能够按顺序和无差错地到达目标主机。常见协议有TCP（Transmission Control Protocol）和UDP（User Datagram Protocol）。
会话层（Session Layer）：会话层负责在两个设备之间建立、管理和终止会话，确保通信过程中的数据交换能够顺利进行。它还管理数据交换的顺序和同步。常见协议包括RPC（Remote Procedure Call）和NetBIOS。
表示层（Presentation Layer）：表示层负责数据的格式转换、加密和解密。它使得发送方和接收方可以在不同的系统和平台间进行数据交换时，能够正确解释数据。比如，FTP协议支持不同的文件格式，如ASCII和二进制。加密协议如SSL（Secure Sockets Layer）也属于表示层的应用。
应用层（Application Layer）：应用层是OSI模型的最上层，直接为用户提供服务。它支持网络应用程序之间的通信，处理用户的请求和响应。常见的应用层协议包括HTTP（Hypertext Transfer Protocol）、FTP（File Transfer Protocol）、SMTP（Simple Mail Transfer Protocol）和DNS（Domain Name System）。

OSI七层模型为网络通信提供了清晰的层次化结构，使得不同的网络协议和技术能够在不同层次上独立发展并互操作。通过这种层级分工，网络设备和软件的开发者可以更容易地设计和实现高效的通信协议。

TCP/IP协议族

TCP/IP协议族是支撑现代互联网通信的核心协议集合。命名为 TCP/IP 协议的原因是 TCP 和 IP 这两个协议非常重要，应用很广。它最初由美国国防部在1970年代为了实现不同计算机之间的通信而设计，现已成为全球网络通信的标准。TCP/IP协议族包括多个层次的协议，每一层都有不同的任务，从而保障网络上数据的可靠传输和交换。

TCP/IP协议族通常被划分为四层或五层，分别对应不同的功能。以下是基于四层模型的详细说明：

网络编程-001

应用层：应用层是TCP/IP模型的最高层，直接与用户交互。它为应用程序提供网络服务，定义了网络应用的协议和数据格式。常见的应用层协议包括HTTP（用于网页浏览）、FTP（文件传输协议）、SMTP（邮件传输协议）等。应用层协议通常依赖于下层传输协议提供的可靠数据传输功能。
传输层：传输层负责端到端的数据传输，主要确保数据的可靠性和顺序。它包括两种主要协议：TCP和UDP。TCP（传输控制协议）是面向连接的协议，提供可靠的传输，通过三次握手建立连接、流量控制、错误检测和重传机制来保证数据的准确到达。而UDP（用户数据报协议）则是无连接的协议，传输速度快，但无法保证数据的可靠性和顺序，适合需要快速传输且容忍丢包的应用（如视频流和在线游戏）。
IP层：IP层负责数据包的路由和寻址，是TCP/IP协议族的核心部分。它通过IP协议来实现源地址和目标地址的映射，确定数据包的传输路径。IP层定义了数据包如何在网络中传输，并处理数据包的分片和重组。常见的IP协议版本有IPv4和IPv6，其中IPv4是目前使用最广泛的版本，IPv6则为了解决IPv4地址耗尽问题而提出。除了IP协议，IP层还包括ARP协议（用于映射IP地址到物理地址）和ICMP协议（用于传输控制消息和错误报告，如“网络不可达”信息）。
网络接入层：网络接入层是TCP/IP模型的最低层，它负责将数据包从物理媒介传输到网络设备之间。它涵盖了物理网络硬件和数据链路协议，确保数据在物理设备之间的传输。此层的协议包括以太网协议、Wi-Fi协议、PPP协议等，它们负责控制网络硬件的访问、数据的打包和帧的传输。

TCP/IP协议族中的主要协议包括IP协议、TCP协议和UDP协议。IP协议负责将数据包从源设备传输到目的设备，提供寻址和路由功能，确保数据能够通过网络传递。TCP协议在传输层提供可靠、面向连接的通信，确保数据按序到达并解决数据丢失或重复问题。与此不同，UDP协议则提供无连接、不可靠的服务，适用于对速度要求较高且能够容忍丢包的应用，如视频流或语音通信。除此之外，还有许多辅助协议，如ARP协议用于解析IP地址与物理地址的对应，ICMP协议用于传递控制消息和错误报告。

TCP协议

TCP（Transmission Control Protocol，传输控制协议）是TCP/IP协议族中的核心协议，属于传输层协议。它为网络通信提供可靠的数据传输服务。TCP通过建立连接、数据确认、顺序控制和重传机制，确保数据在传输过程中不丢失，按顺序到达接收方。由于其可靠性，TCP广泛应用于要求数据传输可靠的应用场景，如网页浏览、文件传输等。

TCP协议的主要特点包括面向连接、可靠性保证、流量控制、拥塞控制和顺序保证。它通过三次握手建立连接，确保双方准备好进行数据传输。TCP使用确认机制和重传策略保证数据的可靠传送，避免数据丢失或乱序。它还通过滑动窗口进行流量控制，防止接收方被过多数据淹没，并使用拥塞控制来应对网络负载过高的情况。

TCP的优点包括提供高可靠性，确保数据传输完整无误，支持流量和拥塞控制，能够动态调整传输速度，以适应网络状况。其缺点是建立连接和断开连接的开销较大，传输延迟较高，且相对于UDP而言实现更加复杂，需要更多的资源和内存。除此之外，TCP不适用于实时应用，因为其重传机制和确认过程增加了延迟。

TCP工作原理通过“三次握手”和“四次挥手”完成连接的建立和断开。三次握手用于建立连接，确保双方同步后开始数据传输。连接建立后，数据通过序列号和确认机制进行可靠传输。四次挥手用于断开连接，确保双方数据传输完毕且连接关闭。

三次握手：

客户端发送SYN请求：客户端向服务器发送一个SYN（同步）报文段，表示希望与服务器建立连接。该报文段中包含一个初始的序列号（Seq），用于标识客户端的起始序列号。此时，客户端进入SYN_SEND状态。
服务器确认SYN并发送SYN-ACK：服务器接收到客户端的SYN请求后，向客户端发送一个SYN-ACK报文段，表示同意建立连接。这个报文段中会包含服务器的序列号，并对客户端的SYN进行确认（Ack）。服务器此时进入SYN_RCVD状态。
客户端确认ACK：客户端收到服务器的SYN-ACK后，向服务器发送一个确认ACK报文段，确认连接的建立，并将自己的序列号加1作为确认号（Ack）。此时，客户端和服务器都进入ESTABLISHED状态，连接建立完毕，可以开始数据传输。

四次挥手：

客户端发送FIN请求：客户端准备关闭连接时，发送一个FIN（结束）报文段，表示客户端没有数据要发送了，但可能还会接收数据。客户端此时进入FIN_WAIT_1状态。
服务器确认FIN并发送ACK：服务器接收到客户端的FIN请求后，向客户端发送一个ACK报文段，确认收到关闭连接的请求。服务器进入CLOSE_WAIT状态，等待关闭连接。客户端此时进入FIN_WAIT_2状态。
服务器发送FIN请求：服务器准备关闭连接时，发送一个FIN报文段，表示服务器没有数据要发送了，但可能还会接收数据。服务器此时进入LAST_ACK状态。
客户端确认ACK并关闭连接：客户端收到服务器的FIN请求后，发送一个ACK报文段，确认关闭连接。此时，客户端进入TIME_WAIT状态，等待足够的时间以确保服务器接收到ACK报文段。服务器接收到ACK后，连接完全关闭。客户端最终进入CLOSED状态，连接断开。

UDP协议

UDP（User Datagram Protocol，用户数据报协议）是传输层的一个无连接协议，它不保证数据包的顺序、完整性或可靠性。UDP适用于需要快速传输且能够容忍数据丢失的应用，像视频流、语音通信和实时在线游戏等。它提供的是一种简单、低开销的数据传输方式。

UDP是一个无连接的协议，不需要在数据传输之前建立连接，也没有复杂的流量控制和错误校验机制。每个数据包都被独立处理，并通过IP层进行传输。UDP的报头比TCP简单，长度仅为8字节，因此可以更快速地传输数据。

UDP通过将数据分割成一个个数据报（datagram）并独立发送，进行数据传输。每个数据报包含目标地址和端口号，发送方通过IP协议将数据报发送到目标计算机。接收方通过检查目标地址和端口来处理数据报。由于UDP没有连接建立和断开过程，数据传输更快，但也不保证数据的可靠性。

UDP的主要优点是高效、低延迟，适合实时应用，如视频和语音传输。它的缺点是缺乏可靠性，数据可能丢失或乱序，无法保证数据完整性，适用于不需要保证完整性的场景。由于不进行重传机制和流量控制，UDP的传输效率较高。

HTTP协议

HTTP（Hyper Text Transfer Protocol，超文本传输协议）是用于客户端和服务器之间传输超文本信息的应用层协议。它基于请求和响应的机制，广泛应用于Web浏览器与Web服务器之间的数据交换。HTTP通常依赖于TCP/IP协议来实现数据的可靠传输，属于无状态、无连接协议，确保每次请求和响应都是独立的。

HTTP的主要特点是无连接和无状态。每个HTTP请求和响应都是独立的，服务器不记录前一次请求的任何信息。由于其无状态特性，HTTP提高了协议的灵活性与可扩展性，但也意味着每次请求都需要重新建立连接，增加了延迟。

HTTP的工作原理基于客户端与服务器之间的请求-响应模型。当客户端向服务器发送HTTP请求时，服务器接收到请求后返回HTTP响应。在请求报文中，包含了请求方法、请求头部和可选的请求体；在响应报文中，包含了响应状态码、响应头部和响应体。每次通信结束后，TCP连接可以关闭，除非启用持久连接（Keep-Alive）。

HTTP的优点是简单、灵活且易于扩展，能够支持多种类型的资源交换，如文本、图像、视频等。然而由于无状态和无连接的特性，每次请求都需要建立连接，造成延迟增加，且每次请求的开销较大。因此，在高频率通信的场景下，HTTP可能表现出较低的效率。 HTTP协议被广泛应用于Web浏览、文件下载、Web服务、API调用等场景，是互联网通信的核心协议。几乎所有的Web应用和网站，包括电子商务平台、社交媒体和新闻网站，都依赖于HTTP协议来交换信息。

HTTPS协议

HTTPS（HyperText Transfer Protocol Secure，超文本传输安全协议）是HTTP协议的安全版本，采用SSL/TLS协议对数据进行加密和验证，来保证数据传输过程中的安全性和完整性。HTTPS常用于Web浏览器与Web服务器之间的通信，尤其在涉及敏感信息（如登录凭证、支付信息等）的场合，保证数据在传输过程中不被窃取或篡改。

HTTPS相比HTTP增加了加密、认证和数据完整性保护。它使用SSL/TLS协议对数据进行加密，防止信息被中间人窃取或篡改。HTTPS使用数字证书来验证服务器的身份，确保客户端与真正的服务器通信，而不是伪造的服务器。除此之外，HTTPS协议还可以抵抗重放攻击和流量分析，提高通信的安全性。

HTTPS协议通过在HTTP协议的基础上加上SSL/TLS协议，首先进行SSL/TLS握手，交换加密密钥并验证服务器身份。完成握手后，客户端与服务器之间的所有数据都使用加密的方式进行传输。SSL/TLS确保通信内容的机密性、完整性，并提供认证，防止中间人攻击和数据篡改

HTTPS的主要优点是它能够有效保障数据的安全性，防止信息泄露、篡改和伪造。通过加密通信，HTTPS可以提高用户的信任度，尤其在进行网上支付和登录等敏感操作时。然而HTTPS的缺点是它的性能相对较低，因为加密和解密操作增加了计算负担，且建立连接的握手过程比HTTP更为复杂。 HTTPS广泛应用于需要安全保障的场景，如电子商务、银行在线支付、登录验证和其他涉及用户隐私的Web应用。由于它能够有效地防止中间人攻击、数据窃听和篡改，HTTPS已经成为现代互联网服务中处理敏感数据和建立信任的标准协议。

Socket

Socket 也称作"套接字"，是网络编程中用于实现通信的一种抽象概念，它作为应用层与传输层之间的桥梁，允许程序通过网络发送和接收数据。网络应用程序位于应用层，TCP 和 UDP 属于传输层协议，在应用层和传输层之间，就可以使用 Socket 来进行连接。Socket建立在操作系统的支持之上，位于应用层和传输层之间，是现代网络应用程序的核心工具。

Socket主要分为两种类型：流式套接字和数据报套接字。

流式套接字（Stream Socket）：基于TCP协议，提供面向连接的通信方式，确保数据传输的可靠性和顺序性。它适用于需要高可靠性的数据传输场景，如电子邮件服务和文件共享。
数据报套接字（Datagram Socket）：基于UDP协议，提供无连接的通信方式，不保证数据的顺序性和可靠性，但速度更快，适合实时性要求高的应用，如直播和在线游戏。

Socket通信通常分为服务端和客户端。服务端创建Socket并绑定到特定IP和端口号，然后监听客户端请求；客户端通过Socket向服务端发起连接请求。在连接建立后，双方可以通过Socket接口发送和接收数据。通信完成后，双方关闭Socket以释放资源。TCP通信中会通过三次握手建立连接，UDP通信则直接通过数据包完成交互。

Socket接口具有平台无关性和灵活性，可以支持多种通信协议（如TCP和UDP）以及通信模式（如点对点、客户端-服务器、多播和广播）。它的高效性和扩展性使其适用于从简单的聊天工具到复杂的分布式系统的广泛场景。应用场景涵盖即时通讯、文件传输、音视频流媒体、远程控制、多用户在线游戏等。例如，在视频会议中，Socket通过UDP实现低延迟的音视频传输；在远程管理中，它通过SSH等协议提供安全的操作控制。

Socket编程

Socket 是对底层网络通信的抽象封装，支持数据在客户端与服务端之间的双向传输。基于 Socket 的编程广泛应用于即时通讯、文件传输、网络游戏等场景。在进行 Socket 编程时，首先需要明确通信的双方角色：服务端负责监听特定端口并接受客户端连接；客户端负责主动发起连接并进行数据交互。设计时应根据具体需求确定通信协议（如消息格式和传输规则）。

服务端通过 ServerSocket 监听指定端口，等待客户端连接。一旦接受连接，需为每个连接创建独立的线程处理通信。服务端通常需要持续运行，因此需要在设计时考虑高效的并发处理能力以及错误恢复机制。

public class SocketServer {
    public static void main(String[] args) {
        int port = 12345; // 服务端监听的端口号
        try (ServerSocket serverSocket = new ServerSocket(port)) {
            System.out.println("服务端已启动，等待客户端连接...");
            
            // 等待客户端连接
            Socket clientSocket = serverSocket.accept();
            System.out.println("客户端已连接：" + clientSocket.getInetAddress());

            // 获取输入输出流
            BufferedReader reader = new BufferedReader(new InputStreamReader(clientSocket.getInputStream()));
            PrintWriter writer = new PrintWriter(clientSocket.getOutputStream(), true);

            // 处理客户端消息
            String message;
            while ((message = reader.readLine()) != null) {
                System.out.println("客户端发送：" + message);
                writer.println("服务端响应：" + message); // 发送回显消息
            }

            clientSocket.close();
        } catch (IOException e) {
            System.err.println("服务端异常：" + e.getMessage());
        }
    }
}

客户端通过 Socket 主动连接服务端，连接建立后可通过输入输出流与服务端交换数据。在发送请求时，需确保消息的格式和协议与服务端一致，同时设计机制处理服务端可能的延迟或无响应情况。

public class SocketClient {
    public static void main(String[] args) {
        String host = "127.0.0.1"; // 服务端地址
        int port = 12345; // 服务端端口号

        try (Socket socket = new Socket(host, port)) {
            System.out.println("已连接到服务端：" + socket.getInetAddress());

            // 获取输入输出流
            PrintWriter writer = new PrintWriter(socket.getOutputStream(), true);
            BufferedReader reader = new BufferedReader(new InputStreamReader(socket.getInputStream()));

            // 向服务端发送消息
            writer.println("你好，服务端！");
            writer.println("这是客户端的另一条消息！");
            writer.println("END"); // 表示结束通信

            // 读取服务端响应
            String response;
            while ((response = reader.readLine()) != null) {
                System.out.println("服务端响应：" + response);
            }
        } catch (IOException e) {
            System.err.println("客户端异常：" + e.getMessage());
        }
    }
}

必须先启动服务端，再启动客户端。服务端需要通过ServerSocket监听特定端口并等待客户端连接。

粘包与拆包

在网络编程中，粘包与拆包是常见的通信问题，通常发生在基于流的协议（TCP协议）中。对于粘包的情况，要对粘在一起的包进行拆包。对于拆包的情况，要对被拆开的包进行粘包，即将一个被拆开的完整应用包再组合成一个完整包。比较通用的做法就是每次发送一个应用数据包前在前面加上四个字节的包长度值，指明这个应用包的真实长度。

粘包是指发送方连续发送多个数据包，而接收方将这些数据包合并成一个大数据包进行接收，从而导致接收方无法正确解析每个数据包的边界。由于 TCP 协议是面向字节流的，它不关心数据的边界，可能会将多个数据包粘在一起发送或接收。

粘包问题原因：

数据发送速度过快：发送端没有给数据包足够的时间进行传输，可能会导致数据包被快速发送，而接收端未能及时处理和分割接收到的数据。
数据包的长度不明确：如果数据包的边界没有明确标识（如没有固定长度或分隔符），接收方就无法知道每个数据包的开始和结束位置。
网络延迟或缓冲问题：TCP 会根据网络情况调整数据的发送和接收，可能会导致一个大的数据块包含多个小数据包，从而发生粘包。

解决方法：

固定长度数据包：发送的数据包长度固定，接收方根据固定长度读取数据。适用于消息大小相对恒定的场景。
使用分隔符：发送方在数据包的末尾添加特定的分隔符（例如换行符或自定义字符），接收方根据分隔符进行拆分。
添加数据包长度字段：每个数据包包含一个表示数据长度的字段，接收方根据该字段的长度来读取数据。最常见的解决方案，适用于各种数据类型。

粘包解决代码示例：

// 发送端
public class Sender {
    public static void main(String[] args) throws Exception {
        Socket socket = new Socket("localhost", 12345);
        DataOutputStream out = new DataOutputStream(socket.getOutputStream());
        String message1 = "Hello";
        String message2 = "World";
        sendMessage(out, message1);
        sendMessage(out, message2);
        socket.close();
    }

    // 发送带有长度信息的数据包
    public static void sendMessage(DataOutputStream out, String message) throws IOException {
        byte[] messageBytes = message.getBytes();
        out.writeInt(messageBytes.length);  // 先写入消息长度
        out.write(messageBytes);            // 然后写入消息内容
        out.flush();
    }
}

// 接收端
public class Receiver {
    public static void main(String[] args) throws Exception {
        ServerSocket serverSocket = new ServerSocket(12345);
        Socket socket = serverSocket.accept();
        DataInputStream in = new DataInputStream(socket.getInputStream());

        while (true) {
            int length = in.readInt();  // 读取消息长度
            byte[] messageBytes = new byte[length];
            in.readFully(messageBytes);  // 根据长度读取完整消息
            String message = new String(messageBytes);
            System.out.println("Received: " + message);
        }
    }
}

拆包是指发送方发送一个较大的数据包时，由于接收端的缓冲区较小或网络传输的分段问题，接收方无法一次性接收完整的包。接收方会将一个数据包拆分成多个部分进行接收，接收端需要将这些部分重新拼接为完整的数据包。

拆包问题原因：

数据包过大：接收端的缓冲区大小有限，导致无法一次性接收完整的数据包，因此必须将数据包拆分为多个部分来接收。
TCP 分段机制：TCP 协议在传输过程中会根据网络情况进行数据分段，接收端可能会在不同时间接收到数据的不同部分。
接收缓冲区问题：接收端的缓冲区可能被填满，导致一个较大的数据包被拆分成多个小包，接收端需要重组这些数据包。

解决方法：

固定长度数据包：类似于粘包问题，使用固定长度的数据包可以避免拆包问题。接收端每次按固定长度读取数据，确保每个数据包完整。
使用分隔符：在数据包之间加入分隔符，接收方根据分隔符来判断包的边界。
使用长度字段：每个数据包头部添加一个长度字段，接收方根据长度读取指定数量的数据，并拼接成完整的数据包。

拆包解决代码示例：

// 发送端
public class Sender {
    public static void main(String[] args) throws Exception {
        Socket socket = new Socket("localhost", 12345);
        DataOutputStream out = new DataOutputStream(socket.getOutputStream());
        String message = "This is a large message that will be split across multiple packets.";
        sendMessage(out, message);
        socket.close();
    }

    // 发送带有长度字段的数据包
    public static void sendMessage(DataOutputStream out, String message) throws IOException {
        byte[] messageBytes = message.getBytes();
        out.writeInt(messageBytes.length);  // 先写入消息的长度
        out.write(messageBytes);            // 然后写入消息内容
        out.flush();
    }
}

// 接收端
public class Receiver {
    public static void main(String[] args) throws Exception {
        ServerSocket serverSocket = new ServerSocket(12345);
        Socket socket = serverSocket.accept();
        DataInputStream in = new DataInputStream(socket.getInputStream());

        while (true) {
            int length = in.readInt();  // 读取消息长度
            byte[] messageBytes = new byte[length];
            in.readFully(messageBytes);  // 根据长度读取完整消息
            String message = new String(messageBytes);
            System.out.println("Received: " + message);
        }
    }
}

网络安全

网络安全是指采取各种措施和技术保障计算机网络、应用系统、数据免受未经授权的访问、攻击、破坏或篡改。随着互联网应用的快速发展，网络安全问题日益严重，数据泄露、恶意软件、网络攻击等威胁越来越多，网络安全已成为现代信息技术领域的重要课题。

常见网络攻击及防护

网络攻击是指通过互联网或其他网络技术手段，利用漏洞、缺陷或不当配置，故意干扰、破坏或窃取计算机系统、网络及数据的安全性。网络攻击不仅危害个人隐私和财产安全，还可能影响国家、企业的安全和社会稳定。

攻击类型	描述	举例
DDoS(分布式拒绝服务攻击)	攻击者通过大量受感染的计算机发起大量请求，耗尽目标系统的资源，导致合法用户无法访问。	攻击者通过Botnet攻击目标网站，导致服务器无法处理正常请求。
SQL注入攻击	攻击者通过恶意的 SQL 语句注入数据库系统，获取、修改或删除数据。	攻击者在输入框中输入恶意SQL语句，突破验证，篡改数据。
跨站脚本攻击(XSS)	攻击者向网页中插入恶意脚本代码，导致用户浏览器执行该代码。	通过留言板、论坛等用户输入点注入恶意JavaScript代码。
中间人攻击(MITM)	攻击者截获并篡改客户端与服务器之间的通信，获取敏感数据。	攻击者充当代理，窃取用户的密码、银行信息等。
暴力破解攻击	攻击者通过暴力穷举法破解账户密码。	破解弱密码账户，访问敏感信息。
跨站请求伪造(CSRF)	攻击者通过伪造用户请求，利用用户的身份验证信息发起非法操作。	攻击者诱使用户点击恶意链接，发送伪造的请求，改变用户的账户信息。
远程代码执行(RCE)	攻击者通过应用程序漏洞执行任意代码，控制目标系统。	攻击者通过Web应用漏洞执行恶意脚本，取得系统控制权。

DDoS（Distributed Denial of Service）分布式拒绝服务攻击，是指攻击者控制分布于互联网各处的大量僵尸主机向攻击目标发送大量垃圾报文或者对目标服务器发起过量访问，耗尽攻击目标所在网络的链路带宽资源、会话资源或业务系统处理性能，导致其无法响应正常用户的服务请求。 DDoS攻击简单有效，因此频繁发生，给攻击目标造成了巨大的经济和品牌损失。

DDoS攻击通过大量的流量使目标服务器瘫痪，因此防御的关键是提升服务的抗压能力和流量的识别能力。常见的防御方法包括流量清洗，通过专业的防火墙或云服务提供商提供的清洗服务，识别并过滤掉恶意流量。增加带宽也是一种防御手段，虽然无法完全避免攻击，但可以让攻击带来的影响减到最小。 CDN和反向代理的使用能够将流量分散到多个节点，减少单点的流量压力，同时也能提高网络资源的可用性。Nginx限制请求频率设置：

http {
    limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
    server {
        location / {
            limit_req zone=one burst=5;
        }
    }
}

SQL注入攻击允许攻击者通过向SQL查询中注入恶意的SQL代码，从而绕过应用程序的认证机制，访问或操纵数据库中的数据。攻击者通常在用户输入框中输入恶意的SQL语句，如 OR '1'='1'，使得数据库执行未授权的查询。在登录页面的用户名框输入 ’ OR '1'='1，让SQL查询变为：

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '';

防止SQL注入的最佳方式是对用户输入进行严格处理。使用预处理语句和参数化查询来防止恶意SQL语句的执行。对所有用户输入的数据进行过滤和验证，避免特殊字符被直接插入到SQL语句中。使用最小权限原则来限制数据库用户的权限，避免攻击者利用漏洞获取系统权限。防御代码示例（Java，使用PreparedStatement）：

String query = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement ps = connection.prepareStatement(query);
ps.setString(1, username);
ps.setString(2, password);
ResultSet rs = ps.executeQuery();

XSS攻击通过将恶意的JavaScript代码注入到Web页面中，执行后窃取用户的会话信息、敏感数据等。攻击者将恶意JavaScript代码插入到网页的输入框中，用户浏览该页面时会执行恶意脚本。攻击者通常通过伪装成登录表单、支付页面等方式诱导用户。

防止XSS攻击的核心是对用户输入进行严格的过滤和转义。对于所有用户输入的内容进行HTML转义，确保其中的特殊字符（如 <、>）不会被浏览器解析为HTML标签或脚本代码。通过实现内容安全策略（CSP）来限制页面可以加载的脚本来源。防御代码示例（Java，使用HTML转义）：

String safeInput = org.apache.commons.lang3.StringEscapeUtils.escapeHtml4(userInput);

MITM攻击通过截获和篡改客户端和服务器之间的通信来窃取敏感信息或篡改数据。攻击者可以在数据传输的过程中篡改内容或监听信息，导致数据泄露或篡改。例如，攻击者通过伪造一个恶意Wi-Fi热点，拦截和篡改用户的登录凭证。

防止MITM攻击的核心方法是加密通信。使用HTTPS协议通过SSL/TLS对通信数据进行加密，避免数据在传输过程中被窃取或篡改。对服务器证书进行验证，确保它来自可信的证书颁发机构（CA）。启用双向身份验证，确保通信双方身份的合法性。

System.setProperty("javax.net.ssl.trustStore", "keystore.jks");
System.setProperty("javax.net.ssl.trustStorePassword", "password");

暴力破解攻击通过不断尝试所有可能的密码组合，试图破解用户账户的密码。攻击者通常会使用自动化工具来大量尝试密码，直到找到正确的密码为止。例如，攻击者使用工具暴力猜测“admin”账户的密码，通过不断尝试“123456”或“password”等简单密码来成功破解。

防止暴力破解攻击的措施包括限制登录尝试次数，当错误尝试超过设定次数时，暂时锁定账户并要求验证码验证。使用强密码策略，要求用户使用包含字母、数字、特殊符号的复杂密码，避免使用简单密码。通过双因素认证（2FA）增加一层安全验证，确保即使密码泄露，攻击者仍无法获取账户访问权限。

int maxAttempts = 5;
int attempts = 0;

if (attempts >= maxAttempts) {
    throw new SecurityException("Too many login attempts. Please try again later.");
}

CSRF攻击通过伪造用户请求，利用用户的身份验证信息发起非法操作。攻击者诱使用户在已认证的情况下执行不当操作，改变账户信息或转账等。防止CSRF攻击的方法是通过使用CSRF令牌。每次用户请求时，服务器会生成唯一的令牌，要求请求中包含该令牌进行验证。使用SameSite Cookies可以防止跨站请求携带用户的身份验证信息。防御代码示例（Java，生成CSRF令牌）：

String csrfToken = UUID.randomUUID().toString();
request.getSession().setAttribute("csrfToken", csrfToken);

远程代码执行攻击允许攻击者利用漏洞，在远程服务器上执行任意代码，从而获得对服务器的控制权。攻击者通过漏洞上传恶意脚本（如WebShell），并通过恶意请求执行服务器上的命令。攻击者通过文件上传漏洞上传恶意的PHP脚本（WebShell），然后执行命令如 ls 或 cat /etc/passwd，窃取敏感信息。

远程代码执行攻击的防御依赖于对文件上传和系统漏洞的控制。限制上传文件的类型和大小，只允许安全的文件类型（如图片、PDF等）上传，并进行内容检查，避免恶意脚本文件上传至服务器。定期更新应用程序和操作系统，及时修补已知漏洞，防止黑客通过漏洞执行远程代码。采用最小权限原则，限制程序和服务的权限，降低潜在攻击者的权限范围。防御代码示例（Java，限制上传文件类型）：

String fileType = getFileType(file);
if (!fileType.equals("image/jpeg") && !fileType.equals("image/png")) {
    throw new Exception("Invalid file type.");
}

放火墙

防火墙是一种用于保护计算机网络的安全设备，通过对进出网络的流量进行监控和控制来防止未经授权的访问或恶意攻击。

工作流程：

当外部或内部请求数据包进入防火墙时，防火墙会根据预定义的规则对数据包进行检查。
防火墙会评估数据包的各个字段（如源IP、目标IP、端口号、协议等），判断数据包是否符合安全规则。
根据判断结果，防火墙决定允许、拒绝或进一步处理数据包。
对于符合规则的数据包，防火墙将其转发到目标设备或服务。对于不符合规则的数据包，防火墙会阻止其进入或离开网络。

工作原理：

数据包过滤：防火墙首先会检查网络中的数据包，基于预设的规则（如IP地址、端口号、协议类型等）决定是否允许这些数据包通过。例如，防火墙可能允许来自某个IP地址的流量，但拒绝来自其他地址的流量。
状态检测：在基本的数据包过滤的基础上，防火墙会使用状态检测技术，跟踪每个连接的状态（如TCP连接的三次握手过程）。这使得防火墙能够判断数据包是否属于已建立的合法连接，并允许合法的流量通过，同时阻止伪造的连接。
代理服务：在代理模式下，防火墙充当网络请求和响应之间的中介。客户端发出的请求首先到达防火墙，防火墙代理请求并代表客户端发送到目标服务器。通过这种方式，防火墙能够隐藏内部网络的真实IP地址，从而增加系统的安全性。
网络地址转换（NAT）：防火墙还可以执行NAT功能，将内部网络的私有IP地址转换为公共IP地址。这样，外部网络只能看到防火墙的IP地址，而无法直接访问内部网络的设备，增强了网络的隐蔽性和安全性。
入侵检测与防御：一些高级防火墙具备入侵检测和防御功能，可以实时监测网络流量，识别潜在的攻击或异常行为，并采取相应的防御措施，如阻断可疑流量或报警。
访问控制策略：防火墙根据事先定义的访问控制列表（ACL）进行工作，规则可能包括允许或拒绝某些IP地址、端口、协议的流量。这些控制策略帮助管理员制定精细的流量过滤和访问管理策略。

网络加密技术

网络加密技术是为了保证网络中传输的数据的安全性，防止数据在传输过程中被窃取、篡改或伪造。加密技术主要通过将明文数据转化为密文，使得即便数据被截获，也无法被未经授权的第三方读取或理解。网络加密技术广泛应用于网络通信协议、数据存储和身份验证等多个领域。

加密类型	描述	优点	缺点	使用场景
对称加密（AES, DES）	使用相同的密钥进行加密和解密。数据加密后发送，接收方使用相同密钥解密。	加密速度快，效率高；适合大规模数据加密。	密钥交换和管理较为复杂；一旦密钥泄露，所有数据均易受攻击。	VPN、磁盘加密、文件加密等场景
非对称加密（RSA, ECC）	使用一对密钥（公钥和私钥）进行加密和解密。公钥加密，私钥解密。	不需要提前共享密钥，密钥管理更安全；适合数字签名和身份验证。	加密速度较慢；计算复杂度高，适用于小量数据加密。	数字证书、SSL/TLS、电子邮件加密、数字签名等场景
混合加密（SSL/TLS）	结合对称加密和非对称加密的优点，先用非对称加密交换密钥，再用对称加密加密数据。	兼具对称加密的高效率和非对称加密的安全性；可以有效交换密钥。	初始化时使用非对称加密过程较为复杂；性能略低于纯对称加密。	HTTPS协议、虚拟私人网络（VPN）、Web安全通信等场景
哈希加密（SHA, MD5）	将任意长度的数据通过哈希函数转化为固定长度的哈希值，哈希值不可逆。	用于数据完整性校验；存储密码时不暴露明文数据；计算速度快。	不可逆；哈希碰撞可能导致安全问题，MD5、SHA-1已不安全。	密码存储、文件完整性校验、数字签名、区块链技术等场景
数字签名（RSA签名）	使用私钥对数据进行签名，公钥验证签名的有效性，确保数据完整性和身份验证。	确保数据的完整性和来源可靠；适用于身份验证和数据完整性保护。	计算开销大，验证过程相对较慢；私钥管理不当会导致安全风险。	软件分发、电子邮件签名、区块链应用、证书认证等场景

对称加密是指加密和解密使用相同的密钥。它的优势是加密和解密速度较快，适合用于加密大量数据。常见的对称加密算法有AES、DES、3DES等。AES（Advanced Encryption Standard）是目前最为安全且广泛使用的对称加密算法。对称加密的最大问题是密钥的管理和安全。密钥如果泄露，数据就不再安全。Java代码实现：

import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.util.Base64;

public class AESExample {

    // 加密方法
    public static String encrypt(String data, String key) throws Exception {
        SecretKeySpec secretKey = new SecretKeySpec(key.getBytes(), "AES");
        Cipher cipher = Cipher.getInstance("AES");
        cipher.init(Cipher.ENCRYPT_MODE, secretKey);
        byte[] encryptedData = cipher.doFinal(data.getBytes());
        return Base64.getEncoder().encodeToString(encryptedData);
    }

    // 解密方法
    public static String decrypt(String encryptedData, String key) throws Exception {
        SecretKeySpec secretKey = new SecretKeySpec(key.getBytes(), "AES");
        Cipher cipher = Cipher.getInstance("AES");
        cipher.init(Cipher.DECRYPT_MODE, secretKey);
        byte[] decryptedData = cipher.doFinal(Base64.getDecoder().decode(encryptedData));
        return new String(decryptedData);
    }

    public static void main(String[] args) throws Exception {
        String key = "1234567890123456"; // 16字节密钥
        String originalData = "Hello, AES!";
        
        String encryptedData = encrypt(originalData, key);
        System.out.println("Encrypted: " + encryptedData);

        String decryptedData = decrypt(encryptedData, key);
        System.out.println("Decrypted: " + decryptedData);
    }
}

非对称加密使用一对密钥：公钥（用于加密）和私钥（用于解密）。非对称加密相比对称加密在加密和解密时使用不同的密钥，通常公钥公开，私钥由接收方保管。RSA是目前最常用的非对称加密算法。非对称加密的优势是密钥分发安全，公钥可以公开，而私钥由接收方控制。缺点是加密过程较慢，适合加密少量数据。Java代码实现：

import java.security.*;
import javax.crypto.Cipher;
import java.util.Base64;

public class RSAExample {

    // 使用公钥加密
    public static String encrypt(String data, PublicKey publicKey) throws Exception {
        Cipher cipher = Cipher.getInstance("RSA");
        cipher.init(Cipher.ENCRYPT_MODE, publicKey);
        byte[] encryptedData = cipher.doFinal(data.getBytes());
        return Base64.getEncoder().encodeToString(encryptedData);
    }

    // 使用私钥解密
    public static String decrypt(String encryptedData, PrivateKey privateKey) throws Exception {
        Cipher cipher = Cipher.getInstance("RSA");
        cipher.init(Cipher.DECRYPT_MODE, privateKey);
        byte[] decryptedData = cipher.doFinal(Base64.getDecoder().decode(encryptedData));
        return new String(decryptedData);
    }

    public static void main(String[] args) throws Exception {
        KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
        keyPairGenerator.initialize(2048);
        KeyPair keyPair = keyPairGenerator.generateKeyPair();

        PublicKey publicKey = keyPair.getPublic();
        PrivateKey privateKey = keyPair.getPrivate();

        String originalData = "Hello, RSA!";
        
        String encryptedData = encrypt(originalData, publicKey);
        System.out.println("Encrypted: " + encryptedData);

        String decryptedData = decrypt(encryptedData, privateKey);
        System.out.println("Decrypted: " + decryptedData);
    }
}

哈希加密是一种单向加密方式，它将任意长度的输入（如字符串）通过哈希算法转换为固定长度的输出（哈希值）。哈希加密无法从哈希值中恢复原始数据。SHA（Secure Hash Algorithm）是一种常用的哈希算法，SHA-256是SHA算法中的一种常见变种，生成256位的哈希值。哈希加密常用于验证数据的完整性，常见应用包括密码存储、数字签名等。Java代码实现：

import java.security.MessageDigest;
import java.util.Base64;

public class SHAExample {
    
    // 使用SHA-256进行哈希计算
    public static String hash(String data) throws Exception {
        MessageDigest digest = MessageDigest.getInstance("SHA-256");
        byte[] hash = digest.digest(data.getBytes());
        return Base64.getEncoder().encodeToString(hash);
    }

    public static void main(String[] args) throws Exception {
        String originalData = "Hello, SHA-256!";
        String hashedData = hash(originalData);
        System.out.println("Hashed: " + hashedData);
    }
}

混合加密技术结合了对称加密和非对称加密的优点，适用于需要高效、安全的数据传输。SSL/TLS协议就是一种混合加密协议，通常用于HTTPS通信中。非对称加密首先用于密钥交换，然后对称加密用于加密实际数据，从而提高数据传输的安全性。结合了非对称加密的安全性和对称加密的效率。适合互联网通信中的加密和身份验证。Java代码示例：

import javax.net.ssl.*;
import java.security.*;
import java.io.*;
import java.net.*;

public class SSLExample {

    public static void main(String[] args) throws Exception {
        SSLContext context = SSLContext.getInstance("TLS");
        context.init(null, new TrustManager[] { new TrustAllCertificates() }, new SecureRandom());

        SSLSocketFactory factory = context.getSocketFactory();
        SSLSocket socket = (SSLSocket) factory.createSocket("www.example.com", 443);
        
        socket.startHandshake();
        System.out.println("SSL Handshake completed");

        socket.close();
    }

    // TrustManager允许所有证书，实际使用时应使用有效证书进行验证
    static class TrustAllCertificates implements X509TrustManager {
        public X509Certificate[] getAcceptedIssuers() { return null; }
        public void checkClientTrusted(X509Certificate[] certs, String authType) { }
        public void checkServerTrusted(X509Certificate[] certs, String authType) { }
    }
}

数字签名是使用私钥对数据进行签名，验证数据的完整性和来源。签名后的数据可以通过公钥进行验证，确保数据在传输过程中没有被篡改，并且来源可信。常用于邮件验证、软件发布和区块链等场景。Java代码示例：

import java.security.*;
import java.util.Base64;

public class DigitalSignatureExample {

    // 使用私钥进行签名
    public static String sign(String data, PrivateKey privateKey) throws Exception {
        Signature signature = Signature.getInstance("SHA256withRSA");
        signature.initSign(privateKey);
        signature.update(data.getBytes());
        byte[] signedData = signature.sign();
        return Base64.getEncoder().encodeToString(signedData);
    }

    // 使用公钥验证签名
    public static boolean verify(String data, String signatureStr, PublicKey publicKey) throws Exception {
        Signature signature = Signature.getInstance("SHA256withRSA");
        signature.initVerify(publicKey);
        signature.update(data.getBytes());
        byte[] signatureBytes = Base64.getDecoder().decode(signatureStr);
        return signature.verify(signatureBytes);
    }

    public static void main(String[] args) throws Exception {
        KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
        keyPairGenerator.initialize(2048);
        KeyPair keyPair = keyPairGenerator.generateKeyPair();

        PrivateKey privateKey = keyPair.getPrivate();
        PublicKey publicKey = keyPair.getPublic();

        String data = "Hello, Digital Signature!";
        String signedData = sign(data, privateKey);
        System.out.println("Signed: " + signedData);

        boolean isVerified = verify(data, signedData, publicKey);
        System.out.println("Verified: " + isVerified);
    }
}

跨域问题

跨域（Cross-Origin）是指浏览器的同源策略（Same-Origin Policy）对不同来源的资源访问做出的限制。浏览器出于安全考虑，限制了网页上的脚本从一个域名访问另一个域名下的资源。例如，从 https://www.example.com 发出的请求去访问 https://api.example2.com 就是跨域请求。由于浏览器的同源策略，除非目标域允许，否则浏览器会拒绝此类请求。

跨域问题通常由以下情况导致：

不同的协议：例如，一个网站使用 http，另一个网站使用 https。
不同的域名：例如，网站A请求网站B的资源，域名不同。
不同的端口号：例如，同一个域名下不同端口的访问请求，也会触发跨域问题。例如，http://localhost:3000 和 http://localhost:5000 是不同的源。

解决跨域问题的常用方法有以下几种：

CORS（跨源资源共享），是一种允许浏览器跨域请求的机制，通过在服务器端添加特定的 HTTP 头来允许或拒绝跨域请求。浏览器会发送预检请求（OPTIONS），服务器返回相应的允许跨域的头部信息，浏览器才会继续发送实际的请求。使用 Access-Control-Allow-Origin 头来指定允许的源（可以是 * 表示所有源允许，或者是特定的源）。
```
Access-Control-Allow-Origin: https://www.example.com
Access-Control-Allow-Methods: GET, POST
Access-Control-Allow-Headers: Content-Type
```
JSONP 是一种绕过浏览器同源策略的技术，通过 <script> 标签的跨域特性来获取数据。JSONP 只支持 GET 请求，不支持 POST 请求，且只能用来请求数据，不能进行其他类型的操作。
```
<script type="text/javascript">
  function handleResponse(data) {
    console.log(data);
  }
</script>
<script src="https://api.example2.com/data?callback=handleResponse"></script>
```

通过设置一个代理服务器，将跨域请求转发到目标服务器。前端通过请求代理服务器，代理服务器再将请求转发到目标服务器。这样跨域问题就会被解决，因为代理服务器与前端请求是同源的。设置一个代理服务器（如使用 Node.js 的 http-proxy-middleware 中间件）将请求代理到不同的API服务器。

const express = require('express');
const { createProxyMiddleware } = require('http-proxy-middleware');
const app = express();

// 设置代理
app.use('/api', createProxyMiddleware({
  target: 'https://api.example2.com',
  changeOrigin: true,
  pathRewrite: {
    '^/api': '', // 将 /api 路径重写为空
  }
}));

app.listen(3000, () => {
  console.log('Server is running on http://localhost:3000');
});

跨域问题主要发生在浏览器的同源策略限制下，当前端需要访问与其不同域的资源时，就会遇到跨域问题。解决跨域的方式有多种，最常见的包括CORS、JSONP、代理服务器等。CORS是最为标准和灵活的解决方案，适用于大多数现代Web应用；JSONP适用于只支持GET请求的接口，且适合一些老旧系统；代理服务器则可在前端与后端分离的架构中简化跨域请求的处理。选择合适的解决方案需要根据实际需求、项目架构以及安全性要求来综合考虑。

Java 随笔

发表评论