ChenShan3的博客

即使 XSS 攻击成功，恶意脚本也只能访问当前源的数据，无法直接读取其他标签页或 iframe 中不同源的内容（除非目标网站配置了错误的 CORS）。虽然同源策略不能完全阻止 CSRF（因为表单提交可以跨域），但配合服务端的 CSRF Token 和浏览器限制跨域 AJAX 请求，能大幅降低风险。恶意网站利用用户已登录的 Cookie 发起伪造请求（如通过隐藏表单提交）。的 Cookie 附加到请求中，恶意网站就能以用户身份完成转账操作。员工的浏览器会直接访问内网系统并返回数据，导致公司内部信息泄露。

情况 1：可变参数本身为。情况 2：可变参数数组为。

聚簇索引（主键索引）存储了完整行数据，其他索引（如二级索引）通常指向主键。如果主键未及时更新，可能导致二级索引引用失效。（如并发插入相同值，内存中未合并的 Change Buffer 无法拦截冲突）。（如隔离性、一致性）。

Spring MVC 默认要求显式声明非对象参数的来源。• 浏览器原生 API，适合非 Axios 场景。• 手动拼接 URL，适合参数少且固定的场景。实体类中存在但前端未传递的字段（如实体类有。• 代码更简洁，自动处理 URL 编码。字段，但 JSON 中无此字段）。• 适合动态字段（参数名不固定）。• 参数较少时使用，灵活性较差。• 需自行处理参数编码（如。• 自动处理特殊字符编码。• URL 参数名必须与。时，Spring 会。• 需手动处理类型转换。• 需手动构建实体类。• 参数可动态扩展。

• 转换后的数组是独立的副本，修改不会影响原集合（除非使用。• 如果传入的数组大小不足，会自动创建新数组。• 返回的是 Object[] 数组。• 适用于 Java 8 及以上版本。• 无法直接转换为特定类型的数组。• Java 11+ 推荐使用。）转换为基本类型数组需要额外处理。• 适用于需要特殊处理的场景。只需要 Object[] 时。• 可以指定返回的数组类型。Java 11+ 通用方案。Java 8+ 简洁代码。• 基本类型集合（如。

记住，数组和集合之间的转换可能会影响性能，特别是在处理大量数据时。• 对于基本类型数组：使用 Stream API 的。：返回的 List 是不可变的。基本类型数组需要特殊处理，因为。• 如果不需要修改集合：使用。这种方法创建的 List 是。• 如果需要可变集合：使用。• 返回的 List 是。的，不能添加或删除元素。Java 9 引入了。

同种数据类型的多个数据通过Stream接口的静态方法of(T... values)生成流。返回由该流的不同元素（根据Object.equals(Object) ）组成的流。对流中的每个元素进行映射转换，生成一个新的流。把"张"开头的集合中的长度为3的元素存储到一个新的集合。跳过指定参数个数的数据，返回由该流的剩余元素组成的流。Map体系集合把Map转成Set集合，间接的生成流。返回此流中的元素组成的流，截取前指定参数个数的数据。把集合中所有以"张"开头的元素存储到一个新的集合。

是一个长度不可变，内容也无法修改的集合。

这样，服务端可以确信JWT的内容是可信的，因为只有拥有正确密钥的服务端才能生成有效的签名。同时，由于JWT中包含了用户信息和权限声明，服务端可以通过解析JWT获取到这些信息，无需再进行数据库查询，从而提高了性能。当用户进行身份认证时，服务端验证用户的身份，如果验证成功，服务端会生成一个JWT并将其返回给客户端。服务端在接收到请求后，会解析JWT，并验证其签名的有效性，从而确定用户的身份和权限。将计算得到的签名与JWT中的签名部分进行比较，如果一致，则说明JWT没有被篡改。

1、Redis 服务端（需支持 SSL），注意开源redis不支持开源。Jedis 需要依赖额外的 SSL 库（如。Redis 的 SSL/TLS 加密传输是通过。（Spring Boot 2.x+ 默认客户端）的配置，注意不是 SSL 登录认证。2、 Spring 通过。客户端库连接 Redis。

支持行为验证（滑动、点选等），适合高安全场景。功能类似，集成在Hutool工具包中。轻量级、支持多种类型、配置简单。老牌验证码库，但配置较复杂。