因为数据库查询为数据输入端输入一条记录，就对目标表进行一次查询，而流查询则是将目标表读取到内存中，数据输入端输入数据时，对内从进行查询，所以，当输入端为大数据量，而被查询表数据量较小（几百条记录），则可以使用流查询，毕竟将目标表读到内存中，查询的速度会有非常大的提升。在/var/spoon/mail/root文件中会记得所有例行性任务的日志信息，cat /var/spoon/mail/用户名，可以

进入容器（containerID 是容器的ID）：docker exec -it containerID /bin/bash。监控docker容器运行状态 shell 脚本。查看都有哪些镜像：docker images。查看都有哪些容器：docker ps -a。使用nsenter进入Docker容器。Dockerfile文件构建镜像。docker垃圾回收机制。查看都有哪些目录：ls。

windows示例：mysqlbinlog --start-position=538 --stop-position=646 -d db1 D:\mysql\mysql-5.7.22-winx64\data\mybin.000001 | mysql -u root -p root -v db1。libfastcommon.so 安装到了/usr/lib64/libfastcommon.so，但是F

命令注入，此处所指的是操作系统命令注入，由于命令的部分或全部指令来自用户输入的数据，一旦被攻击者利用，往往可被彻底拿下服务器，后果不堪设想。

允许用户上传任意文件可能会让攻击者注入危险内容或恶意代码，并在服务器上运行。由于文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型，导致允许攻击者向某个可通过 Web 访问的目录上传任意动态脚本文件（JSP、PHP 等），并能够将这些文件传递给 web 服务器进行解释，就可以在远程服务器上执行该脚本。

跨站脚本攻击（也称为 XSS）指利用网站漏洞从用户那里恶意盗取信息。用户在浏览网站、使用即时通讯软件、甚至在阅读电子邮件时，通常会点击其中的链接。攻击者通过在链接中插入恶意代码，就能够盗取用户信息。攻击者通常会用十六进制（或其他编码方式）将链接编码，以免用户怀疑它的合法性。网站在接收到包含恶意代码的请求之后会产成一个包含恶意代码的页面，而这个页面看起来就像是那个网站应当生成的合法页面一样。

”的代码是否存在可被绕过的危险，过滤应该采用循环过滤的方式，直到过滤完全（即过滤之后的值中不存在“…在文件下载过程中，程序往往会从前端传入文件的名称或者文件的完整地址用于下载。/”目录跳转字符进行安全过滤，导致攻击者可以下载任意目录下的文件。对于不可信的 fileName 参数，程序将该参数的值组合成完整的文件路径，且未对目录跳转字符(“…对于不可信的 fileName 参数，程序采用循环过滤的方

但是对于不可信的 fileName 参数和 rdir 参数，程序将这些参数的值组合成完整的文件路径，且未对目录跳转字符(“…在文件读取过程中，根据系统的业务需求，程序往往会从前端传入文件的名称或者文件的完整地址用于文件读取。/”目录跳转字符进行安全过滤，导致攻击者可以读取或写入任意目录下的文件。/”的代码是否存在可被绕过的危险，过滤应该采用循环过滤的方式，直到过滤完全（即过滤之后的值中不存在“…对

正常的修改密码都是需要在最后一步验证原密码是否正确， 如果正确才去修改密码。尤其是 Ajax 技术的出现，如今很多程序在修改密码的时候，都喜欢在用户输入原密码之后，先用 ajax 异步的方式去数据库中查询一下是否正确，如果正确才允许用户继续提交密码修改的请求。此处密码修改过程中，前端首先采用 Ajax 方式调用了checkOldPwd 方法，如果返回的 json 数据中 success 的值为 t

在采用验证码来防护攻击者暴力破解的时候，由于在服务端未能及时更新会话中保存的验证码，导致可以被重复使用。开发人员一般会认为自己明明已经在验证失败的时候会跳转到登录页面，而此时会自动刷新页面和会话中的验证码。殊不知在使用工具去发起请求的时候，可以不用将响应的内容交给浏览器去执行，这个时候也就不会去刷新验证码。程序在比较完验证码之后，并未更新 session 中保存的验证码，造成可以重复使用。检查使用