什么是反序列化漏洞 有Protocol buffer這種輕便的序列化反序列化工具,Json為什么還會(huì)大量使用?
有Protocol buffer這種輕便的序列化反序列化工具,Json為什么還會(huì)大量使用?原因很簡(jiǎn)單:1、JSON是JavaScript本機(jī)支持,沒有外部依賴項(xiàng)2、JSON有人眼可讀性3、開發(fā)人員偷懶
有Protocol buffer這種輕便的序列化反序列化工具,Json為什么還會(huì)大量使用?
原因很簡(jiǎn)單:
1、JSON是JavaScript本機(jī)支持,沒有外部依賴項(xiàng)
2、JSON有人眼可讀性
3、開發(fā)人員偷懶
關(guān)于序列化協(xié)議和框架,估計(jì)可以創(chuàng)建一個(gè)百科全書,比如:XML、JSON、bson、Hessian,協(xié)議緩沖區(qū)…
有很多不受歡迎的,排名不分先后。
雖然有各種各樣的協(xié)議和框架,但序列化本質(zhì)上可以分為兩種類型:
二進(jìn)制協(xié)議的優(yōu)點(diǎn)是體積小、效率高。例如,協(xié)議緩沖區(qū)可以用來將數(shù)據(jù)壓縮成位,序列化和反序列化具有良好的性能,非常適合各種系統(tǒng)通信和接口調(diào)用。
但問題也在這里,二進(jìn)制數(shù)據(jù)幾乎沒有可讀性,所以在程序的開發(fā)和調(diào)試中,更讓程序員痛苦,尤其是頻繁變化的數(shù)據(jù)結(jié)構(gòu)。
文本協(xié)議恰恰相反,數(shù)據(jù)量大,性能差,但能滿足可讀性要求。例如,我們可以很容易地理解JSON或人肉結(jié)構(gòu)數(shù)據(jù)的一部分。對(duì)于快速開發(fā)和web開發(fā)來說,它可以提高開發(fā)效率,開發(fā)人員不必過于關(guān)注協(xié)議或框架,只關(guān)注業(yè)務(wù)。
我的觀點(diǎn)如下:
1。對(duì)于業(yè)務(wù)穩(wěn)定、性能要求高的場(chǎng)景,應(yīng)該優(yōu)先考慮協(xié)議緩沖區(qū)等二進(jìn)制序列化協(xié)議
2。對(duì)于性能要求低、業(yè)務(wù)變更頻繁的場(chǎng)景,應(yīng)優(yōu)先考慮JSON和XML等待文本協(xié)議
您的問題價(jià)值220萬美元。如果我不告訴普通人,你應(yīng)該記住,如果你有問題,請(qǐng)報(bào)警并撥打110
對(duì)于新程序員,為了提高自己的編程能力,我從一個(gè)老程序員的角度給你以下建議:1。養(yǎng)成良好的編程習(xí)慣。
當(dāng)高樓從地面升起時(shí),基本技能非常重要。新手一定要有耐心,從注解、縮進(jìn)、變量命名這些最基本的入手,培養(yǎng)自己良好的編程習(xí)慣。
2. 熟悉軟件工程的思想
軟件開發(fā)是一種團(tuán)隊(duì)合作。熟悉一些團(tuán)隊(duì)發(fā)展的工具和想法,將有助于你將來與同事合作。
軟件開發(fā)是用計(jì)算機(jī)語言表達(dá)想法的過程。軟件常用:分治、遞歸等基本思想理解。設(shè)計(jì)模式的設(shè)計(jì)原則也應(yīng)該記住。總之,多讀書,提高自己的理論水平。
4. 廣泛參與
例如,你應(yīng)該了解前衛(wèi)技術(shù)的原理,如大數(shù)據(jù)、云計(jì)算、物聯(lián)網(wǎng)、人工智能、區(qū)塊鏈等。學(xué)習(xí)更多的商業(yè)知識(shí)
這是非常重要的,商業(yè)是技術(shù)的前提。這也是程序員和高級(jí)架構(gòu)師必須掌握的能力。對(duì)于常見的電子商務(wù)系統(tǒng)、ERP系統(tǒng)、CRM系統(tǒng)、客戶服務(wù)系統(tǒng)等大業(yè)務(wù)模塊,各模塊之間的關(guān)系是什么,掌握的越多越好。
6. 鍛煉自己寫文檔的能力
軟件開發(fā)的前臺(tái)階段是設(shè)計(jì)階段。關(guān)注自己的文檔能力對(duì)于將復(fù)雜的業(yè)務(wù)問題轉(zhuǎn)化為計(jì)算機(jī)問題至關(guān)重要。
最后,祝您在編程的道路上一切順利。
反序列化漏洞屢被黑客利用,危害巨大,代碼怎樣寫才安全?
區(qū)別:
Dubbo默認(rèn)協(xié)議:
單TCP長(zhǎng)連接,Hessian二進(jìn)制序列化和NiO異步通信
適用于小數(shù)據(jù)包,大并發(fā)服務(wù)調(diào)用和服務(wù)消費(fèi)者數(shù)量遠(yuǎn)遠(yuǎn)大于服務(wù)提供者數(shù)量的情況
不適合大數(shù)據(jù)包服務(wù)
Hessian協(xié)議:
底層HTTP通信,servlet公開服務(wù),Dubbo默認(rèn)嵌入式j(luò)etty作為服務(wù)器
可與本機(jī)Hessian服務(wù)互操作
通信效率高于web服務(wù)和Java自身的序列化
參數(shù)和返回值需要實(shí)現(xiàn)可序列化的接口,以及列表、地圖、數(shù)字、日期、日歷等用戶定義的接口
是的適合傳輸大數(shù)據(jù)包,提供商多于消費(fèi)者,提供商壓力更大。