《深入分析Java Web技术内幕》读书笔记 博客分类: 技术总结研究报告 《深入分析Java Web技术内幕》读书笔记
深入分析Java Web技术内幕
1深入Web请求
一个HTTP连接本质上是建立一个Socket连接,所以可以使用HTTPClient模拟
HTTP协议中最重要的是Header,控制着数据传输,控制着浏览器的渲染和服务器的执行逻辑。
Cache-control/Pragma:
用于指定所有缓存机制在整个请求中必须服从的指令。如果知道该页面是否是缓存,不仅可以控制浏览器,还可以控制和HTTP协议相关的缓存或代理服务器。
Cache-control:no-cache与Pragma:no-cache作用一样
Expires:过期时间。浏览器发出请求前,先检查是否过期,过期了就重新请求数据。
Last-modify:服务器资源的最后修改时间。配合304Code,304即目前页面是最新的,不用请求。
HOST配置:
与Window对应的,在Linux系统中,文件是/etc/named.conf
HOST文件在系统域名解析时用。域名解析过程(浏览器缓存、OS Host文件、域名服务器)
Win/Linux查看域名解析结果:nslookup
刷新DNS缓存:Win:ipconfig/flushdns
Linux:/etc/init.d/nscd restart
Java JVM中也会缓存DNS的解析结果:
在InetAddress类中完成。有两种缓存策略:正确解析结果缓存,失败解析结果缓存。这2个缓存时间配置决定,位于%JAVA_HOME%/lib/security/java. Security文件。配置项是networkaddress.cache.tll和networkaddress.cache.nagetive.tll,默认值是-1和10秒。
要修改这两个值,可以直接改文件,也可以再启动时加-Dsun.net.inetaddr.tll=XXX修改默认值。或通过INetAddress类修改。
域名解析记录形式
A记录:
A代表Address,用来指定域名对应的IP。A记录可以将多个域名解析到一个IP,但不能将一个域名解析到多个IP。
MX记录:
表示Email Exchange。将域名下的邮件服务器指向自己的Mail Server。
CNAME记录:即别名解析。为一个域名设置一个或多个别名。
NS记录:为某个域名指定DNS解析服务器。
TXT记录:为某个主机名或域名设置说明。
常用的负载均衡架构设计:链路负载均衡、集群负载均衡、操作系统负载均衡。
链路负载均衡:通过DNS解析到不同IP,用户请求根据IP访问不同服务器;(优)请求直接访问目标服务器,无需经过代理,快。(缺)某个服务器挂掉,很难及时更新域名解析结构。
集群负载均衡:分为软件负载均衡(成本低,多次代理,会增加延时)、硬件负载均衡(使用一台专门的硬件设备转发请求,性能好但很贵)。
操作系统负载均衡:利用OS中的软中断或硬件中断达到负载均衡。
2Java IO机制
Java IO类在io下,80多个类。分为四组:
字节操作:InputStream OutputStream
字符操作:Writer Reader
磁盘操作:File
网络操作:Socket
访问文件的方式
标准访问方式:当应用程序调用read接口时,OS检查内核的高速缓存中有没有需要的数据,如果已经缓存了,就直接从缓存中取出。如果没有,从磁盘中读取,并缓存到OS的缓存中。
直接IO方式:直接从磁盘读取,减少数据的缓存复制。
同步访问方式:数据读写都是同步操作,只有数据写入磁盘才返回成功标记。(性能差)
异步访问方式:线程发出数据请求后,继续做其他事情,而非阻塞等待。数据返回后再处理。(高效)
Java序列化:将一个对象转化为二进制的字节数组。更好的多语言间的序列化工具,如Google Proto。
Linux磁盘IO情况命令:iostat
查看可使用的端口范围:/proc/sys/net/ipv4/ip_local_port_range
网络IO优化
减少网络交互次数(设置缓存、合并请求)、减少网络传输数据量的大小(数据压缩、简单协议—只读头部内容)、尽量减少编码(网络IO以字节传输)。
同步异步、阻塞非阻塞
根据交互场景设计合适的交互方式,主要有同步异步、阻塞非阻塞。
同步异步的比喻:打电话和短信
阻塞和非阻塞是从CPU角度说的。阻塞就是CPU停下来等待一个慢任务完成后,才能做其他的事情;非阻塞就是慢任务进行时CPU进行其他事情,等慢任务完成,CPU再继续做后续工作。非阻塞表面提高了CPU利用率,但也带来线程切换。
其组合共有四种:
同步阻塞:最简单最常用的,IO性能差,CPU大部分时间是空闲状态;
同步非阻塞:提升IO性能的常用手段,在网络IO长连接同时传输数据不多时使用;
异步阻塞:分布式数据库常用。一个写操作,写几个机器。提升网络IO效率。尤其是同时写多分数据。
异步非阻塞:少数非常复杂的情况下使用。如集群消息同步,如cassandra。适用于同时写多份相同数据到不同机器,数据量不大但很频繁。
设计模式之适配器模式
功能:将一个类的接口变成客户端所能接收的另一种接口,从而使两个不匹配、无法工作的2个类一起工作。
Java IO类库中应用该模式的类:InputstreamReader和OutputStreamWriter,StringReader,ByteArrayInputStream。
设计模式之装饰器模式
让类重新装饰一下,更漂亮或功能更强大。而类原来的使用者不会感受到装饰前后的变化。
Java IO示例:FilteriorInputStream
装饰器模式和适配器模式的异同:
都有一个别名包装模式,透明的作用看起来都是包装一个类或对象的作用,但目的不一样。
适配器模式的意义是将一个接口变成另一个接口,通过改变接口实现复用的目的;
装饰器模式不是要改变被装饰对象的接口,而且保持原接口,但增强接口的功能。
3中文编码问题
为什么要编码
计算机中存储信息的最小单位是byte字节,8个bit,所以能表示的字符有0-255;
人类的符号太多,无法用一个字节表示。
所以必须要有一个新的数据结构char,从char到byte要编码
各种编码
汉字编码:GB2312,GBK,UTF8,UTF16
几种编码格式比较:
GB2312<GBK:GBK范围大,能表示所有汉字
UTF16是Java内存编码方式,但不适合网络传输
UTF8最理想
URL编码
URL组成:
http:// localhost :8080 /examples /servlets/ info=
schema domain port contextPath servletPath path info
?a=aaa
queryString
同一个汉字在path info和queryString的编码是不一样的,比如前者可能是UTF8编码后者可能是GBK编码。不同浏览器对path Info的编码可能不一样。
浏览器URL编码规则是将非ASCII字符按照某种编码格式编码成每个16进制表示的字节+%
在Tomcat中对URL中URI部分编码的设置是在connector的URIEncoding进行的
不同的JS框架对URL编码处理不同
JS中常用的编码函数escape():将ASCII、数字、字母、标点符号以外的字符均转化为Unicode。并在编码值前加%u。解码unsecape().
EncodeURI():将整个URL进行UTF8编码,每个编码值前加%
解码decodeURI()。
EncodeURIComponent():除数字、字母不编码,其他均编码。解码decodeURIComponent()、
4Javac编译原理
Javac编译器的工作:将Java语言规范转化为JVM语言规范。即将Java源代码的语言转化成当前这台机器能够识别的机器语言。
常见编译器的工作步骤
1读取源代码,一个个字节读入,找出预发关键词--词法分析,找出规范的Token流;
2对Token流进行语法分析,检查这些关键词组合是不是符合Java规范,形成抽象语法树;
3语义分析:复杂语法转化简单语法;形成注解过的抽象语法树;
4通过字节码生成器生成字节码;
5深入Class文件结构
6深入分析ClassLoader工作机制
ClassLoader的作用:
1class文件加载到JVM
2审查每个类由谁加载(父优先的等级加载)
3class字节码重新解析成JVM统一要求的格式
7JVM体系结构和工作方式
JVM基本结构:类加载器、执行引擎(解析字节码,得到执行结果)、内存区、本地方法调用
高级语言之所以屏蔽硬件差异是因为中间有一层编译,与硬件耦合的工作交给了编译器
JVM执行字节码基于栈的结构理由:要设计成与平台无关、为了JVM更好的优化代码、指令的紧凑性
8JVM内存管理
Java中使用内存的组件:Java堆、线程、类和类加载器、NIO、JNI
Java内存分配主要有堆栈两种形式
9Servlet工作原理解析
url-pattern:精确匹配、路径匹配、后缀匹配
10深入理解Session和Cookie
作用都是为了保持访问用户和服务器的交互状态
每次addCookie都会增加一个Header,但返回时会降Header汇总成一个
Spring的三大核心组件:Core、Context、Bean
Java采用的是big endian字节序
zookeeper的Java API ZKClient
memcache客户端和服务端通过构建在TCP之上的memcache协议通信。协议支持两种数据传输:文本行(客户端的命令和服务端的响应)和非结构化数据(客户端和服务端数据传递)。
memcache不是分布式系统,分布式功能由客户端保证,如根据Key Hash%机器
潜在问题:某台机器负载可能很高--》一致性Hash解决
分布式Session可以用memcache,缺点:重启后会话数据会丢失,需要重新建立
Tomcat可以使用memcached-session-manager工具(配置在config.xml)结合memcache实现分布式session
Hbase伸缩能力好,更适合海量数据存储和处理,并发写入能力好;但查询维度有限,不支持group by,order by ,join等复杂操作;
Redis读写吞吐能力好,支持的并发数高,能提供丰富的数据结构支持。
互联网安全架构
常见的web攻击手段和防御方法,如XSS、CRSF、SQL注入、DDOS攻击等;
常见的安全算法:如数字摘要、对称加密、非对称加密、数字签名、数字证书;
如何采用摘要认证方式防止信息篡改、通过数字签名来验证通信双方的合法性、通过HTTPS协议保障通信过程中数据不被第三方监听和截获;
在开放平台体系下,OAuth协议如何保障ISV对数据的访问是经过授权的合法行为。
XSS(跨站脚本攻击:在网页中嵌入恶意代码)
防范:(出现是因为用户数据变成了代码。)对用户输入的数据进行HTML转义处理。
CRSF(跨站请求伪造)
和XSS区别:XSS利用站内信任的用户,CRSF伪造来自受信任的用户请求来利用受信任的网站--盗用用户身份攻击网站
防御:将cookie设置为HttpOnly、增加Token(Token服务端校验)、通过refer识别
SQL注入:将SQL伪装成HTTP参数,传到服务端,欺骗服务器,执行恶意命令
防范:使用预编译语句(预编译使用参数占位符替代需要动态传入发参数,使语句的语义结构无法被改变)、使用ORM框架:iBATIS、herbiNate,避免密码明文存放。
常用的安全算法
数字摘要:亦即消息摘要,唯一对应的消息或文本的固定长度值。Hash计算产生,如MD5 128位、SHA 160位、十六进制编码、Base64编码。
对称加密算法:DES、AES。
非对称加密算法:RSA。
数字签名:非对称加密算法+数字摘要。
数字证书:含用户认证信息。