Windows数字取证实战指南：从注册表到文件系统的全链条证据追踪

原创 于 2025-12-05 23:04:43 发布 · 814 阅读 · 4 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#windows #网络安全 #安全 #系统安全 #安全架构

「鸿蒙心迹」“2025・领航者闯关记“主题征文活动 10w+人浏览 227人参与

概述 (Overview)

计算机取证是网络安全领域的核心分支，专注于收集和分析计算机活动证据。作为广义数字取证的一部分，它涵盖了对各类数字设备（包括计算机）中数据的恢复、检查与分析。其应用范围广泛，从在法律程序（民事或刑事）中支持或反驳某种假设，到在企业内部协助调查和安全事件响应。

数字取证在刑事侦破中的一个经典案例是 BTK 连环杀手案。该案件曾沉寂十余年，直到凶手开始向警方和媒体发送信件进行挑衅。当他寄送一张软盘到当地新闻机构后，案件迎来重大突破。警方成功恢复了软盘上一份被删除的 Word 文档，并通过其元数据及其他线索，最终锁定了凶手的身份并将其逮捕。

微软 Windows 是目前市场份额最高（约 80%）的桌面操作系统，被个人和企业广泛使用。因此，对于任何数字取证从业者而言，精通 Windows 系统的取证分析至关重要。

Windows 取证基础 (Windows Forensics Fundamentals)
1. 取证证据 (Forensic Artifacts)

在取证分析中，“证据”（Artifacts）是指能够证明人类活动的、具有重要价值的信息片段。在物理犯罪现场，指纹、衣物纤维或犯罪工具等都被视为物证，它们共同构成了犯罪过程的全貌。

在计算机取证中，证据是用户活动在系统中留下的微小痕迹。Windows 系统会为特定活动创建并记录大量证据，使得调查人员能够通过取证技术相当精确地追溯个人行为。这些证据通常存储在普通用户不易接触的位置。

尽管开箱即用的 Windows 系统体验相似，但随着时间推移，每个用户都会根据个人偏好进行个性化设置，例如：

  • 桌面布局和图标

  • 网页浏览器书签

  • 用户名和已安装的应用程序

  • 登录各种网络服务的账户

Windows 保存这些偏好是为了提升用户体验，但对于取证调查员而言，这些偏好本身就是识别系统活动的关键证据。因此，系统记录用户信息并非为了明确的“监视”，而是为了个性化服务，但同样的信息却能被调查员用于专业的取证分析。

2. Windows 注册表与取证 (Windows Registry and Forensics)

Windows 注册表是一个包含系统配置数据的核心数据库集合。这些数据涉及硬件、软件、用户信息，以及最近使用的文件、运行的程序或连接到系统的设备记录。

  • 查看工具: 可以使用 Windows 内置的 regedit.exe 工具来查看和编辑注册表。

注册表由 键 (Keys) 和 值 (Values) 组成。在 regedit.exe 中，文件夹结构是注册表键，而存储在键中的数据则是注册表值。一组相关的键、子键和值构成一个 注册表数据库 (Registry Hive)，它们存储在磁盘上的单个文件中。

Windows 注册表深度解析 (In-depth Windows Registry Analysis)
1. 注册表结构 (Registry Structure)

任何 Windows 系统的注册表都包含以下五个根键 (Root Keys)：

  • HKEY_CURRENT_USER (HKCU): 包含当前登录用户的配置信息，如用户文件夹、屏幕颜色和控制面板设置。此信息与用户的配置文件相关联。

  • HKEY_USERS (HKU): 包含计算机上所有活动加载的用户配置文件。HKEY_CURRENT_USER 是 HKEY_USERS 的一个子键。

  • HKEY_LOCAL_MACHINE (HKLM): 包含特定于计算机的配置信息，适用于所有用户。

  • HKEY_CLASSES_ROOT (HKCR): 是 HKEY_LOCAL_MACHINE\Software 的一个子键，确保在使用 Windows 资源管理器打开文件时，系统能调用正确的程序。它合并了 HKLM\Software\Classes (默认设置) 和 HKCU\Software\Classes (用户特定设置) 的信息。

  • HKEY_CURRENT_CONFIG: 包含系统启动时使用的硬件配置文件的信息。

2. 访问注册表 Hive (Accessing Registry Hives)

在对活动系统进行分析时，可以直接使用 regedit.exe。但如果处理的是磁盘镜像，则必须知道注册表 Hive 文件在磁盘上的物理位置。

系统级 Hive (大部分位于 C:\Windows\System32\Config):

  1. DEFAULT (挂载于 HKEY_USERS\DEFAULT)

  2. SAM (挂载于 HKEY_LOCAL_MACHINE\SAM)

  3. SECURITY (挂载于 HKEY_LOCAL_MACHINE\Security)

  4. SOFTWARE (挂载于 HKEY_LOCAL_MACHINE\Software)

  5. SYSTEM (挂载于 HKEY_LOCAL_MACHINE\System)

用户级 Hive (位于用户配置文件目录 C:\Users\<username>\):

  1. NTUSER.DAT (用户登录时挂载于 HKEY_CURRENT_USER)

  2. USRCLASS.DAT (位于 AppData\Local\Microsoft\Windows\，挂载于 HKEY_CURRENT_USER\Software\CLASSES)

其他重要 Hive:

  • Amcache.hve (位于 C:\Windows\AppCompat\Programs\)：记录系统上最近运行程序的详细信息。
3. 事务日志和备份 (Transaction Logs and Backups)

  • 事务日志 (.LOG 文件): 这是注册表键的变更日志。Windows 在向注册表写入数据时会使用它，因此日志文件通常包含比注册表 Hive 本身更新的变更。每个 Hive 的日志文件与其位于同一目录，例如 SAM.LOG。

  • 注册表备份: Windows 会定期（约每十天）将 C:\Windows\System32\Config 目录中的注册表 Hive 备份到 C:\Windows\System32\Config\RegBack 目录。如果怀疑最近有键被删除或修改，这里是重要的调查来源。

取证流程与工具 (Forensics Process and Tools)
1. 数据获取 (Data Acquisition)

正确的取证方法是先制作系统镜像或复制所需数据副本，再进行分析，以确保原始证据的完整性。由于系统级注册表 Hive 是受保护文件，无法直接复制，因此需要使用专业工具获取。

常用获取工具:

  • [[KAPE]]: 一款实时数据采集和分析工具，支持命令行和图形界面，可用于获取注册表数据。

  • [[Autopsy]]: 可以从活动系统或磁盘镜像中提取数据。通过导航到文件位置并选择“提取文件”即可。

  • FTK Imager: 功能与 Autopsy 类似，可以挂载磁盘镜像或活动驱动器以提取文件。其“获取受保护文件”功能可提取所有注册表 Hive（但不包括 Amcache.hve）。

2. 注册表分析工具 (Registry Analysis Tools)

提取注册表 Hive 后，需要使用专用工具进行离线分析。

常用分析工具:

  • Registry Viewer (AccessData): 界面类似于 regedit.exe，但一次只能加载一个 Hive，且不支持事务日志。

  • Registry Explorer (Eric Zimmerman): 功能强大，可以同时加载多个 Hive，并能自动合并事务日志中的数据，提供更完整、更新的视图。内置“书签”功能，可快速跳转到重要的取证键值。

  • RegRipper: 以注册表 Hive 为输入，生成一份包含其中重要取证键值信息的文本报告。但它不处理事务日志，建议先用 Registry Explorer 合并日志后再使用。

从注册表中提取的关键信息 (Key Information from the Registry)
1. 系统信息和账户 (System Information and Accounts)

  • 操作系统版本: SOFTWARE\Microsoft\Windows NT\CurrentVersion

  • 当前控制集 (Current Control Set): 控制系统启动的配置数据。通过 SYSTEM\Select\Current 的值确定当前使用的是 ControlSet001 还是 ControlSet002。分析时应参考 SYSTEM\CurrentControlSet。

  • 计算机名: SYSTEM\CurrentControlSet\Control\ComputerName\ComputerName

  • 时区信息: SYSTEM\CurrentControlSet\Control\TimeZoneInformation

  • 网络接口和历史网络:

    • 接口信息 (IP, DHCP, DNS): SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{GUID}

    • 历史连接网络: SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Unmanaged

  • 自动启动程序与持久化:

    恶意软件为了在系统重启后依然能够运行，常通过修改注册表中的自启动项来实现持久化。手动检查这些位置是发现恶意软件的重要一步。

    • 常见自启动注册表键:

      • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run (当前用户登录时运行)

      • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run (任何用户登录时运行)

      • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce (当前用户登录时运行一次，然后删除)

      • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce (任何用户登录时运行一次，然后删除)

      • 以及 policies\Explorer\Run 等其他键。

    • 服务: SYSTEM\CurrentControlSet\Services (start 值为 0x02 的服务会在启动时运行)。

    • 使用 AutoRuns 进行自动化检测:

      手动检查所有可能的自启动位置非常繁琐且容易遗漏。微软官方工具 AutoRuns (及其 PowerShell 模块) 可以自动检查所有已知的自启动位置（包括注册表、计划任务、服务等）。

      • 初步分析: Get-PSAutorun 命令会列出所有自启动项。建议将其输出通过管道传递给 Out-GridView 以便交互式地过滤和排序。

        PowerShell

        Get-PSAutorun | Out-GridView

      • 基线比较: 这是 AutoRuns 最强大的功能。你可以先在干净的系统上创建一个“基线”快照，然后在系统疑似被感染后，创建另一个快照并进行比较，从而快速找出新增或被修改的自启动项。

        1. 创建基线:

          PowerShell

          Get-PSAutorun -VerifyDigitalSignature |
>> Where { -not($_.isOSbinary)} |
>> New-AutoRunsBaseLine -Verbose

        2. 比较基线:

          PowerShell

          Compare-AutoRunsBaseLine -Verbose | Out-GridView

  • SAM Hive 和用户信息:

    • SAM\Domains\Account\Users: 包含用户 RID、登录次数、最后一次登录时间、密码策略等信息。
2. 文件/文件夹使用痕迹 (File/Folder Usage and Knowledge)

  • 最近打开的文件 (Recent Files):

    • NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs: 包含按文件扩展名分类的最近使用文件列表和最后打开时间。

  • Office 最近文件:

    • NTUSER.DAT\Software\Microsoft\Office\VERSION\UserMRU\LiveID_####\FileMRU: 记录 Microsoft Office 程序最近打开的文档。

  • ShellBags: 记录用户在 Windows 资源管理器中查看文件夹的偏好（如视图、大小）。这些信息可用于识别用户访问过的文件夹。

    • USRCLASS.DAT\Local Settings\Software\Microsoft\Windows\Shell\Bags

    • NTUSER.DAT\Software\Microsoft\Windows\Shell\Bags

  • 打开/保存对话框的最近使用项 (MRUs):

    • NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\LastVisitedPidlMRU

  • Windows Explorer 地址/搜索栏历史:

    • NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths

    • NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\WordWheelQuery

3. 程序执行证据 (Execution Evidence)

  • UserAssist: 记录用户通过 Windows Explorer 启动的 GUI 程序的执行次数和最后执行时间（不记录命令行程序）。

    • NTUSER.DAT\Software\Microsoft\Windows\Currentversion\Explorer\UserAssist\{GUID}\Count

  • ShimCache (AppCompatCache): 用于确保应用程序向后兼容性的机制，记录了已启动程序的文件名、大小和最后修改时间。

    • SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache

  • AmCache: 类似于 ShimCache，但存储更丰富的数据，包括执行路径、安装时间、SHA1 哈希值等。

    • Amcache.hve\Root\File\{Volume GUID}\

  • BAM/DAM: 背景活动监视器 (BAM) 和桌面活动调节器 (DAM) 记录了应用程序的完整路径及其最后执行时间。

    • SYSTEM\CurrentControlSet\Services\bam\UserSettings\{SID}

    • SYSTEM\CurrentControlSet\Services\dam\UserSettings\{SID}

4. 外部设备/USB设备取证 (External/USB Device Forensics)

  • 设备识别: 记录了插入系统的 USB 设备的供应商 ID、产品 ID 和版本，以及首次插入时间。

    • SYSTEM\CurrentControlSet\Enum\USBSTOR

    • SYSTEM\CurrentControlSet\Enum\USB

  • 首次/最后插入时间: 记录设备首次连接、最后一次连接及最后一次移除的时间。

    • SYSTEM\CurrentControlSet\Enum\USBSTOR\Ven_Prod_Version\USBSerial#\Properties\{83da6326-97a6-4088-9453-a19231573b29}\####

    • 0064: 首次连接时间

    • 0066: 最后一次连接时间

    • 0067: 最后一次移除时间

  • USB 设备卷名:

    • SOFTWARE\Microsoft\Windows Portable Devices\Devices: 可通过 GUID 与设备 ID 关联，确定设备名称。
文件系统取证 (File System Forensics)

文件系统负责组织存储设备上的比特流，使其成为可读信息。

1. 文件分配表 (File Allocation Table, FAT)

FAT 是一种历史悠久的文件系统，通过索引来标记文件在磁盘上的位置。

  • 核心数据结构:

    • 簇 (Cluster): 基本存储单元。

    • 目录 (Directory): 包含文件名、起始簇和文件长度等元信息。

    • 文件分配表 (File Allocation Table): 包含所有簇状态的链表，指向文件的下一个簇。

  • 版本:

    • FAT12, FAT16, FAT32: 使用不同位数进行簇寻址，决定了最大卷和文件大小。FAT32 最大支持 2TB 卷和 4GB 文件，常用于 U 盘和 SD 卡。

    • exFAT: 为解决 FAT32 的 4GB 文件大小限制而设计，适用于大容量 SD 卡和数码设备，支持高达 128PB 的文件和卷。

特性FAT12FAT16FAT32
可寻址位数121628
最大簇数4,09665,536268,435,456
最大卷大小32MB2GB2TB
2. 新技术文件系统 (New Technology File System, NTFS)

NTFS 是现代 Windows 系统的默认文件系统，相较于 FAT 提供了更强的功能。

  • 主要特性:

    • 日志记录: 将元数据变更记录在 $LOGFILE 中，提高了系统崩溃后的恢复能力。

    • 访问控制: 支持基于用户的文件/目录权限设置。

    • 卷影副本 (Volume Shadow Copy): 跟踪文件变更，支持文件版本恢复和系统还原。

    • 替代数据流 (Alternate Data Streams, ADS): 允许单个文件包含多个数据流，常被浏览器用于标记下载文件，也可能被恶意软件滥用。

  • 主文件表 (Master File Table, MFT): NTFS 的核心，是一个结构化数据库，跟踪卷中所有对象。

    • $MFT: 卷的第一个记录，包含卷上所有文件的目录。

    • $LOGFILE: 存储文件系统的事务日志。

    • $UsnJrnl: 更新序列号 (USN) 日志，记录文件系统中所有文件的变更及其原因。

常见取证分析任务 (Common Forensic Analysis Tasks)
1. 恢复删除的文件 (Recovering Deleted Files)

删除文件时，文件系统仅删除指向文件磁盘位置的条目，并将该空间标记为“未分配”。只要实际数据未被新文件覆盖，就有可能恢复。Autopsy 等工具可以通过扫描磁盘镜像的未分配空间来恢复已删除的文件。

2. 分析程序执行证据 (Analyzing Execution Evidence)

  • Windows Prefetch 文件 (.pf):

    • 位置: C:\Windows\Prefetch\

    • 信息: 包含应用程序的最后运行时间、运行次数以及所用文件和设备的句柄。是分析程序执行历史的重要来源。

    • 工具: PECmd.exe (Eric Zimmerman)

  • Windows 10 时间线 (Timeline):

    • 位置: C:\Users\<username>\AppData\Local\ConnectedDevicesPlatform\{...}\ActivitiesCache.db

    • 信息: 一个 SQLite 数据库，存储最近使用的应用程序和文件，以及应用的专注时间。

    • 工具: WxTCmd.exe (Eric Zimmerman)

  • Windows 跳转列表 (Jump Lists):

    • 位置: C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\

    • 信息: 存储用户从任务栏访问的最近使用的文件，包含应用程序的首次和最后执行时间。

    • 工具: JLECmd.exe (Eric Zimmerman)

3. 分析文件/文件夹访问痕迹 (Analyzing File/Folder Access Traces)

  • 快捷方式文件 (.lnk):

    • 位置: C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Recent\

    • 信息: Windows 为每个打开的文件创建的快捷方式，包含文件首次打开时间（创建日期）和最后打开时间（修改日期），以及原始路径。

    • 工具: LECmd.exe (Eric Zimmerman)

  • IE/Edge 历史记录:

    • 位置: C:\Users\<username>\AppData\Local\Microsoft\Windows\WebCache\WebCacheV*.dat

    • 信息: 不仅记录网页浏览历史，也记录通过系统打开的本地文件（以 file:///* 前缀标识）。

  • 跳转列表 (Jump Lists): 如上所述，跳转列表也是识别最近打开文件的重要证据来源。

4. 分析外部设备使用痕迹 (Analyzing External Device Usage)

  • Setupapi.dev 日志:

    • 位置: C:\Windows\inf\setupapi.dev.log

    • 信息: 记录任何新设备连接到系统时的设置信息，包含设备序列号以及首次和最后一次连接的时间。

  • 快捷方式文件 (.lnk): 如上所述，当用户从 USB 设备打开文件时，系统会创建快捷方式文件。这些文件可以揭示该 USB 设备的卷名、类型和序列号。

结语

Windows数字取证是一个深度结合系统知识与调查技术的专业领域，它揭示了现代操作系统在日常使用中留下的丰富数字痕迹。从注册表的复杂结构到文件系统的精巧设计，从程序执行的细微记录到外部设备的连接历史，每一个组件都成为了重构用户活动的关键拼图。

Neolnfra
关注
CTF内存取证实战：解析baby_forensic.zip中的Windows系统镜像
weixin_28931507的博客
09-19 1027
内存取证（Memory Forensics）是指通过对系统运行时的物理内存镜像进行分析，提取进程、网络连接、注册表、凭证等瞬态信息的技术手段。与传统磁盘取证不同，内存取证能够捕获攻击者在无文件攻击（Fileless Attack）、代码注入、反射型DLL加载等场景下的行为痕迹，具有极强的“实时性”和“动态性”。其技术基础在于操作系统在运行过程中会将关键数据结构（如EPROCESS、ETHREAD、页表等）驻留在内存中，即使未写入磁盘也可被提取分析。
EaseUS免费数据恢复软件实战指南：轻松找回误删文件与解决硬盘无权限问题
weixin_42575109的博客
10-30 536
htmltable {th, td {th {pre {简介：EaseUS数据恢复软件是一款专为个人用户设计的高效工具，适用于误删文件或硬盘因权限问题无法访问时的数据抢救。该软件通过扫描磁盘标记和重建文件结构，支持文档、图片、音频、视频等多种文件类型的恢复。具备全面兼容性、快速与深度双模式扫描、文件预览、简洁操作界面及完全免费无内购等优势。用户只需下载安装、选择设备与扫描模式、预览并恢复目标文件即可完成操作。
数据库取证实战指南：从理论到应用
08-22
本书《数据库取证的实用动手方法》深入探讨了数据库取证的各个方面，从基础理论到实际应用。书中不仅详细介绍了数据库的基本概念、结构化查询语言（SQL）和数据库管理系统的原理，还结合了大量实例，展示了如何在...
数字取证实战指南
09-22
本书《数字取证实战指南》是数字取证领域的实操教程，内容主要围绕Kali Linux这一专业安全工具展开，其2019.x版本被用于展示数据采集、恢复、网络取证和恶意软件分析等核心技能。 本书针对初学者，通过详细解析真实...
Python数字取证实战指南
11-04
本书《Python数字取证实战指南》是一本专注于数字取证领域的专业工具书，旨在引导读者运用Python编程语言进行深入的数字取证调查。书中内容广泛，从处理证据容器，到解析操作系统痕迹，再到提取元数据及识别威胁指标...
jackson 控制处理
x17809211858的博客
12-01 221
default-property-inclusion: always # 确保 null 会走到序列化器。
C# 调用 DLL为什么不像 C/C++调用 DLL 时需要lib库
luohaitao的专栏
11-30 726
C#调用DLL机制与C/C++存在本质差异：C#基于托管代码和运行时动态绑定，无需.lib文件，仅需DLL即可完成调用。关键区别在于C#完全绕过了C/C++的静态链接流程，通过两种方式实现：调用托管DLL时利用内置元数据替代头文件和.lib；调用非托管DLL时通过DllImport实现运行时动态绑定。而C/C++必须在编译期通过.lib解析符号，否则会报链接错误。在C#项目中"添加引用"时只显示托管DLL，因为VS知道C#不需要处理原生.lib文件。唯一可能接触.lib的情况是使用C++
20251204，职级权限，开发实践分享
星云的博客
12-04 278
本文探讨了基于树形职位结构的权限管理系统实现方案。系统以公司为根节点，构建包含部门、大区、城市等多层级的树状结构，实现勾选上级自动包含下级的权限继承机制。通过集合运算（获取产品运营负责人节点集合A与用户关联职位集合B的子节点集合C的交集D）实现权限过滤，并支持按城市、大区等维度查询。系统采用Redis缓存优化性能，建议通过增加path路径字段替代递归查询来提升效率。接口设计涵盖职位ID获取、城市列表查询、人员按角色过滤等功能，为培训系统提供完整的权限管理解决方案。
21、单向链表完整实现与核心技巧总结
weixin_46607526的博客
12-01 858
本文详细介绍了嵌入式C语言单向链表的完整实现与核心技巧。主要内容包括： 数据结构设计：采用三层结构（数据节点、链表节点、链表管理），分离数据与结构，支持灵活替换数据类型，适用于嵌入式场景。 核心功能实现： 链表逆序采用三指针原地迭代法（空间复杂度O(1)） 内存安全管理：严格处理销毁逻辑，避免内存泄漏 通用查找通过回调函数实现多条件复用 嵌入式优化： 避免递归减少栈内存消耗 边界条件全覆盖保证稳定性 代码复用和类型安全设计 应用场景：适用于传感器数据存储、日志记录等嵌入式系统常见需求。 该实现充分考虑了嵌入
java基础-List接口
weixin_61835075的博客
12-01 362
List是Java集合框架中的一个重要接口，它继承自Collection接口，代表一个有序的、可重复的元素序列。
使用OSPF协议构建园区网
bedynamic的专栏
12-01 374
创建ospf进程并设定区域，然后利用network宣告周围的直连网络，此处与rip协议有所不同，ospf协议支持可变掩码长度，所以此处需要宣告网络的同时加上子网掩码（但子网掩码需要取反）。将R1、R2、R3做为边界路由进行配置，其中三台路由器构成骨干网络，pc1-pc4为area 1，pc5-pc8为area 2，pc9-pc12为area3.分别宣告向R1、R2的两个属于area0的网络，以及向RS3、RS4的两个属于area2的网络。不同颜色代表划分的不同区域。以R1为例（其它类似），配置如下。
hot100-39二叉树层序遍历
youngee11的博客
12-01 334
声明Queue类型的引用变量queue，并用LinkedList实例化。4）弹出队列中的节点，将对应的值加入list，并将其左右子节点加入queue。3）每次循环新创建一个list（新的一层），通过长度n控制for循环。将元素加入队列尾部，入队。2）使用一个队列，先加入根节点root，用队列的长度控制循环。等价于queue.add(root);
ORM会不会刷关联属性
weixin_73740443的博客
12-01 680
摘要：EF Core中的导航属性（如ICollection<T>）不会直接映射为数据库表的字段，而是通过外键建立表间关系。数据库层面通过外键列和约束实现关联，代码层面通过导航属性表示对象关系。EF Core自动管理对象与表的映射，迁移时只生成实际的表和列。这种设计既保持了数据库规范化，又提供了面向对象的编程便利。开发时应区分数据存储（外键）与业务对象（导航属性），理解ORM如何桥接两者。
Javan
2501_91992196的博客
12-01 457
当方法参数是仅含一个抽象方法的函数式接口（如 Runnable 、 Callable 、 Comparator ），用 Lambda 替代匿名内部类，大幅精简代码。我们用「生活类比+极简代码对比」，彻底把Lambda表达式讲明白，核心就记住一句话：Lambda是“简化版的匿名内部类”，只保留核心逻辑，去掉冗余框架。现在再回头看之前的例子，是不是就清晰多了？- 匿名内部类是实现方式：是早期用来实现 Consumer 接口的“没有名字的类”，用来给 forEach 提供参数逻辑；
Java基础面试题（11）—Java（泛型）
2301_81189772的博客
11-30 377
本文介绍了Java泛型的基本概念与使用方法。泛型通过"参数化类型"实现类型安全，避免强制转换和运行时错误。文章详细讲解了泛型类、泛型方法和泛型接口的语法，以及通配符的使用场景。同时指出了泛型的三大限制：不能使用基本类型、存在类型擦除现象以及不能创建泛型数组。作者通过具体代码示例展示了泛型带来的编译期类型检查优势，并反思了学习过程中应注重思考而非简单复制的重要性。文章采用生活化比喻和幽默口吻，使技术内容更易理解。
如何在Android中使用RemoteCallbackList？
weixin_39789947的博客
12-01 834
服务接口（供客户端调用注册 / 解注册）和回调接口（服务端向客户端推送事件）。
LLVM后端入门4：指令集的定义
fangfanglovezhou的博客
12-01 817
LLVM后端入门4：指令集的定义，如何使用td文件描述和定义一个指令集。
什么是Stream流
最新发布
a7676asdfghjkl的博客
12-04 704
Stream 流是 Java 8 引入的处理集合（Collection）的抽象工具，你可以把它理解成：把集合（比如 List、Set）想象成一个装满水的水池，Stream 流就是从水池里流出来的 “水流”—— 你可以在水流上做过滤、加工、排序等操作，操作的是 “水流” 里的元素，而不会改变原水池（原集合）的内容，最终还能把处理后的水流重新收集成新的集合。它不是数据结构（不存储数据），而是一套 “流水线式” 的操作 API，目的是让集合处理代码更简洁、高效，尤其是处理大数据量时还能轻松实现并行处理。
【JDK版本】JDK1.8相比JDK1.7 语言特性之函数式编程
瘦到被风吹走的博客
12-03 272
方法链调用，如 now.plusDays(1).minusHours(2)：解决了接口演化问题，JDK 可在不破坏兼容性的前提下扩展 API。：.parallel() 自动利用多核，性能提升 2-5 倍。2、延迟执行，运行时优化，性能优于匿名内部类。：接口不能包含实现，修改接口需改动所有实现类。3、性能提升，减少类加载，字节码更简洁。：中间操作不执行，直到终端操作才处理。：接口可包含默认实现，实现类无需修改。：声明式流水线处理，支持并行计算。：外部迭代，代码冗长。：线程安全，无副作用。
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值