帐前卒专栏

Without software, we are nothing.


               分享到:

有道云笔记 网易微博 新浪微博 微信 Twitter

微信公众平台开发中的安全问题

0. 我在开发中

    近期一直在利用有道云笔记API在微信上开发一款应用。因为是服务器端与服务器端的交互。所以有很多安全问题值得考虑。

1. 微信的认证

    微信的认证很简单,标准的认证是这样子的:
token 授权
    微信这种授权模式相当的山寨,如果只是单纯的靠这种token授权,服务器很容易被攻破。这里需要填写的url必须是使用80端口,而且url中也不能有很特殊的字符。不过token中可以有特殊字符。所以开发者需要尽量将自己的token设的复杂。微信首先认证连接时会将signature,echostr,nonce,timestamp这四个URL参数以GET请求的方式发送过来。数据则以POST请求的方式发送到同样的URL上,并且URL参数变为signature,echostr,nonce。nonce是和请求中的timestamp成对的。也就是说timestamp+nonce是唯一的。所以这里可以防止重放攻击。另外server与server通信之间,timestamp的单位是秒,一般误差也就是分钟级别的。这样可以从另外一个角度防止重放攻击。所以开发者应该在GET,POST请求中都加入这些参数的校验。

致青春

    昨日和老婆大人一起看了致青春这部电影。这个电影总体感觉挺不错的。而我个人的感觉是电影里郑微和老婆大人有几分相似。要说哪几分,应该是暴力的那几分。嗯…

    昔日的同学也各有成绩。每个人或许都少了些过去的狂妄和稚嫩。但总有些值得记忆的往事。这或许就是导演希望告诉我们的。但是无论如何,青春不在,如何重来?所以感情的重新开始…就只能从青春的记忆和自己的臆想里继续了。

    老婆大人说:如果不是赵薇导演的,这部影片应该是没有人去看的。而我认为:如果不是老婆大人打开这个电影,我是绝对不会看的。嗯,就是这样…

Barchart UDT(二)

前言

    barchart UDT 最近还是做了些实验。发现在内网中,这个表现实在不怎么样。测试了一下内网字节=32 时间=2ms TTL=60,外网字节=32 时间=27ms TTL=53.这两个环境中UDT表现不好。下面给出一些结论:

结论

  1. 内网基本不丢包的情况下, udt在15-30并发时upload表现较好。

  2. 在外网偶发丢包率的情况下, UDT在上传中,多并发(并发数不超过15)表现较为优异,会偶尔高于TCP.

  3. TCP 在偶发丢包/不丢包 网络状态下,性能稳定,而且不会有IO异常情况。

  4. UDT在偶发丢包情况下,会有连接失败/重传超时后连接断开等情况发生。需要修改代码逻辑保证完整的数据传输。

  5. UDT在大多数情况下,传输率不及TCP。

Barchart UDT(一)

UDT简单介绍

    最近在研究UDT相关的东西。这个主要用于高带宽时延积。也就是适用于网络带宽较高,但是丢包还是比较频繁的网络。给个公式:

    高带宽时延积(缩写)=带宽 * RTT   

    UDT相关的可以在这里找到:http://udt.sourceforge.net 另外对于UDT原版(c++)版,这里有两个下载路径。一个是CVS的。另外一个是git的。

Upgrade to Octopress 2.0

0. 前言

    最近在看Octopress的代码,然后想想可能Octopress要更新了。于是手贱了一下,把整个Octopress重新更新了一下。然后整个blog乱成一团了。所以说千万别更新,更新之前一定要git push保存一下进度。如果真的更新挂了,就再rollback.

Modify Octopress Blog

    这几天一直在捣鼓blog.因为很久没有用Octopress写blog.另外也没有碰HTML相关。所以写markdown或者改Octopress都手生。这里把各种修改方法一一记下。要学习的是ruby, Liquid.

借助有道云笔记写blog

0. 前言

       下面这个blog介绍一下如何借助有道云笔记来写blog. 这里的blog当然是公开的非私密的。帐前卒 的 blog是借助Octopress搭建在github上,使用的markdown写成。由于github对于免费的成员只提供400MB的空间。对于图文并茂的blog来说,这点空间有点相形见绌。所以急需找到一个能提供图片分享的地方。图片分享的地方很多:

  1. 当然很多图床网站可以提供的(当然也有可能不小心被封了)
  2. 小bbs站(游客身份也可以查看,同时这个小站提供上传图片功能)可以试试有道云笔记官方论坛
  3. 网易云相册啥的
  4. 各种其他的blog站点,写一篇blog上传,里面加入图片。然后把图片地址放入markdown中
  5. 本文重点要介绍使用有道云笔记 分享方式添加图片。不过这一种不如前面几种简单实用。但是可以分享25M以下的任意图片,并且没有数量限制,空间还在不断增长。

1. 分享你的图片

       首先打开有道云笔记的客户端,然后创建一篇新的笔记,然后点击‘分享链接’ 分享链接 图片

2. 获取图片地址

       打开浏览器(chrome, 火狐,IE均可) 这里只介绍firefox. 点击分享链接。然后在调出firebug. 使用它,选中你要获取的图片。然后就可以看到下面这段html. 注意其中的src属性。没错,这就是你的图片url了。

<img data-inited="true" src="http://note.youdao.com/yws/public/resource/d54e01fec212f37df16b5bcd032a83dd/25FBFC3EADAD4EDEB46F9AD6F147C0D9" data-media-type="image">

firebug界面

3. 在markdown中编辑

        接下来要做的就是在markdown中插入图片.

![图片名] (刚才从有道云笔记分享获取的url)

4. 发布

        这里就没有什么好说的了。Deploy it!
另外编写markdown需要注意的:

  1. 段首空格需要加 &nbsp; 另外如果需要多个空格,那么每个&nbsp之间都要有空格。
  2. 如果写为段落列表那么需要在每个列表后加入一个空行
  [空行]
  1.  aaa
  1.  bbb 

圣诞玫瑰

    做影评前,先做下功课:圣诞玫瑰(Christmas Rose) 是1月21日和1月25日的生日花,也是一种草药。别名秋红、圣诞红。花语为‘犹豫’。
圣诞玫瑰的图片
    个人评论:这个花和普通的玫瑰看起来没有什么区别,可能是粉色的.所以情人节那天还是只能送大红色的玫瑰
    这部影片延续了郭富城近几年的风格:压抑的侦探式剧情,虽然他在该剧中饰演律师。在这部影片一直在讲故事,中间有能预料到的转折。所以我个人认为导演怕各位观众智商低看不懂,所以各个转折之前都有铺垫。这样故事转折不是那么突兀,但是丧失意外的悬疑影片讲述的一个很压抑的故事。这样的感觉好像是妈妈对小朋友讲故事,而结局就是皆大欢喜。当然对于没有听过故事的小朋友,估计是引人入胜。而听过一遍的,基本上不想再听第二遍。故事本身的叙事还是不错,一个半小时也没有觉得多长。转折起伏不多,基本上也不费脑细胞,没有大场面,没有意外的结局。
    从整个表面上把这个影片分析完了。再来看看导演究竟想说什么主题。我和LP的分歧在于该影片在宣扬人间公义,定义律师心中的准则;还是关爱他人,给他们希望和机会;还是其实影片啥也没有说,只是讲述社会的缩影。公义这个词在这个影片中多次出现,另外还有一副不知名的油画(导演杨采妮说那叫众生相),混沌并且表情不一。在混沌中,公义或者说正义是什么?无论如何帮助弱者,因为弱者已经很弱;还是维护所谓的事实公正?这真是两难的抉择。让我想到无责撞人的司机,还有搀扶非自己撞倒的老太,这两者都要赔偿一定的损失。所谓两难,从关系人两面分析,就能知道大概。给机会和希望这个主题应该是最后一点时间郭富城所说的那几句话引发的。“假如人人都充满爱”,就没有这样的悲剧发生了。但可惜的是,就是因为当事者都太有爱了,所以才有这件事。另外一个观点:社会缩影。这个倒是有点意思,因为该影片反映的太多的是是非非。律师不是侦探。如果心有公正,就不会说星期天一根本就没有罪。而有公正之心的早就推辞不接活了。所以总结为:

  不念父母情,小三想上位,
  世俗偏弱势,舆论贬强人,
  做人心不悔,是非谁人罪。 

    影片好坏自在人心。都是在讲故事,最主要是要抓住人心,留一丝牵挂之想。或喜悦,或兴奋,或压抑,或悲伤,千言万语总汇成心底的回忆。

Long Weibo长微博

今天有人提议在贵公司举行的“黑客马拉松”中搞一个项目”长微博生成工具”。开始假设都挺好的,说只需要一个文本,就能重用以前的服务,然后做一个这样工具出来。开始大家真心觉得不错。好做又能功能复用。就在大家热情高涨的时候,我说:“这样的工具已经有了。”

长微博源自于一般微博只有140字,如果希望字数更多,那么就要将这样的文字转换为图片,然后以图片的形式发布出去。这样看到这条微博的人就能看到更多的信息。其实将文字转图片不难,但是将html转图片,就需要考虑展示了。java的能做,c++的也能做到,大家可以调研一下。长微博的站点现在有:

  1. 长微博,站点名就叫这个 这个网站支持富文本编辑,并且支持图片和表格插入。该网站开始的编辑区就是和微博最终图片展示的大小相同,所以不必担心超宽度。

  2. 太长了 这个网站比前一个简陋了很多,只是支持简单的图片插入(头/尾), 不过支持自己的logo和版权。相比第一个这点好很多。但是实在是太简陋了。

  3. 长微博@工具 这个网站比前一个还简陋.就不多说了。大概是这两个网站都没有时间做富文本编辑器。

  4. 新浪原生的长微博工具 这个是支持富文本了,但是这个东西是和新浪博客合在一起使用的。如果不是新浪微博上自己的文字,是不能被发布的。基本无用。

  5. 有道云笔记长微博工具 使用方式在PC端中分享微博就可以了。老王卖瓜,我这里就不夸了。说说现在的缺点,对于某些富文本的内容展示的效果还不是太理想。另外字体还是不太好看。正在持续改进中…欢迎使用

话说贵公司发的明信片太多的广告。有人问祝福语应该写在哪里?上面全都是贵公司各个产品做得广告。我说:”那你就写4个字:欢迎使用。”

老婆终于学会她年会的舞蹈了,太有喜感了。

2013.01.07今日见闻,奖金,年终奖,感谢贵公司

today, 今天发了双薪,本来那一个月的薪水是应该在奖金中一起发的。按照过去的发钱方法交税是比较少的,还能给自己留点余额。今年可好了,一半的工资都被做为税收了…感谢国家,感谢党,感谢贵公司。

据说年终奖4万元以上的话,这样发双薪划算。想来贵公司这么的人性化。老婆说没发这么多年终奖的话,就不让我回家…所以我准备从现在开始筹钱。

今天贵公司发的二手笔记本电源灯一直闪红色,插电源充电也没有用。解决方法不是换电源、不是换主板、不是换另外一个二手电脑,而是用贴纸把灯贴住。感谢贵公司,我又学会了节省。

今天打开了久违的虚拟机,写了blog. 很长时间没有用,都不知道怎么写octopress的blog了。

老婆大人边在旁边跳舞,边在旁边讥讽我拿了双薪…我问她为什么跳舞不动手,她说还没有学会手的动作…

今天重构了一下RSA,AES模块,发现和c++通信的RSA模块还是不行,这该死的RSA算法,写的非常的通用,就是多个语言之间通常都不用。嗯,”通用”新解。

另外今天发布blog一直不成功,后来发现需要先验证git.com的邮箱…竟然有这样的事情.