13518219792
HTTP：是互联网上应用最为广泛的一种网络协议，是一个客户端和服务器端请求和应答的标准（TCP），用于从WWW服务器传输超文本到本地浏览器的传输协议，它可以使浏览器更加高效，使网络传输减少。
成都创新互联服务项目包括乌拉特后网站建设、乌拉特后网站制作、乌拉特后网页制作以及乌拉特后网络营销策划等。多年来，我们专注于互联网行业，利用自身积累的技术优势、行业经验、深度合作伙伴关系等，向广大中小型企业、政府机构等提供互联网行业的解决方案，乌拉特后网站推广取得了明显的社会效益与经济效益。目前，我们服务的客户以成都为中心已经辐射到乌拉特后省份的部分城市，未来相信会继续扩大服务区域并继续获得客户的支持与信任！
HTTPS：是以安全为目标的HTTP通道，简单讲是HTTP的安全版，即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。
HTTPS协议的主要作用可以分为两种：一种是建立一个信息安全通道，来保证数据传输的安全；另一种就是确认网站的真实性。
HTTP协议传输的数据都是未加密的，也就是明文的，因此使用HTTP协议传输隐私信息非常不安全，为了保证这些隐私数据能加密传输，于是网景公司设计了SSL（Secure Sockets Layer）协议用于对HTTP协议传输的数据进行加密，从而就诞生了HTTPS。简单来说，HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全。
HTTPS和HTTP的区别主要如下：
1、https协议需要到ca申请证书，一般免费证书较少，因而需要一定费用。
2、http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议。
3、http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。
4、http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全。
我们都知道HTTPS能够加密信息，以免敏感信息被第三方获取，所以很多银行网站或电子邮箱等等安全级别较高的服务都会采用HTTPS协议。
客户端在使用HTTPS方式与Web服务器通信时有以下几个步骤，如图所示。
（1）客户使用https的URL访问Web服务器，要求与Web服务器建立SSL连接。
（2）Web服务器收到客户端请求后，会将网站的证书信息（证书中包含公钥）传送一份给客户端。
（3）客户端的浏览器与Web服务器开始协商SSL连接的安全等级，也就是信息加密的等级。
（4）客户端的浏览器根据双方同意的安全等级，建立会话密钥，然后利用网站的公钥将会话密钥加密，并传送给网站。
（5）Web服务器利用自己的私钥解密出会话密钥。
（6）Web服务器利用会话密钥加密与客户端之间的通信。
尽管HTTPS并非绝对安全，掌握根证书的机构、掌握加密算法的组织同样可以进行中间人形式的攻击，但HTTPS仍是现行架构下最安全的解决方案，主要有以下几个好处：
（1）使用HTTPS协议可认证用户和服务器，确保数据发送到正确的客户机和服务器；
（2）HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全，可防止数据在传输过程中不被窃取、改变，确保数据的完整性。
（3）HTTPS是现行架构下最安全的解决方案，虽然不是绝对安全，但它大幅增加了中间人攻击的成本。
（4）谷歌曾在2014年8月份调整搜索引擎算法，并称“比起同等HTTP网站，采用HTTPS加密的网站在搜索结果中的排名将会更高”。
虽然说HTTPS有很大的优势，但其相对来说，还是存在不足之处的：
（1）HTTPS协议握手阶段比较费时，会使页面的加载时间延长近50%，增加10%到20%的耗电；
（2）HTTPS连接缓存不如HTTP高效，会增加数据开销和功耗，甚至已有的安全措施也会因此而受到影响；
（3）SSL证书需要钱，功能越强大的证书费用越高，个人网站、小网站没有必要一般不会用。
（4）SSL证书通常需要绑定IP，不能在同一IP上绑定多个域名，IPv4资源不可能支撑这个消耗。
（5）HTTPS协议的加密范围也比较有限，在黑客攻击、拒绝服务攻击、服务器劫持等方面几乎起不到什么作用。最关键的，SSL证书的信用链体系并不安全，特别是在某些国家可以控制CA根证书的情况下，中间人攻击一样可行。
如果需要将网站从http切换到https到底该如何实现呢？
这里需要将页面中所有的链接，例如js，css，图片等等链接都由http改为https。例如：改为
BTW，这里虽然将http切换为了https，还是建议保留http。所以我们在切换的时候可以做http和https的兼容，具体实现方式是，去掉页面链接中的http头部，这样可以自动匹配http头和https头。例如：将改为//。然后当用户从http的入口进入访问页面时，页面就是http，如果用户是从https的入口进入访问页面，页面即使https的。
SSL介绍：
安全套接字（Secure Socket Layer，SSL）协议是Web浏览器与Web服务器之间安全交换信息的协议，提供两个基本的安全服务：鉴别与保密。
SSL是Netscape于1994年开发的，后来成为了世界上最著名的web安全机制，所有主要的浏览器都支持SSL协议。
目前有三个版本：2、3、3.1，最常用的是第3版，是1995年发布的。
在客户端与服务器间传输的数据是通过使用对称算法（如 DES 或 RC4）进行加密的。公用密钥算法（通常为 RSA）是用来获得加密密钥交换和数字签名的，此算法使用服务器的SSL数字证书中的公用密钥。有了服务器的SSL数字证书，客户端也可以验证服务器的身份。SSL 协议的版本 1 和 2 只提供服务器认证。版本 3 添加了客户端认证，此认证同时需要客户端和服务器的数字证书。
SSL协议的三个特性
① 保密：在握手协议中定义了会话密钥后，所有的消息都被加密。
② 鉴别：可选的客户端认证，和强制的服务器端认证。
③ 完整性：传送的消息包括消息完整性检查（使用MAC）。
SSL的位置
SSL介于应用层和TCP层之间。应用层数据不再直接传递给传输层，而是传递给SSL层，SSL层对从应用层收到的数据进行加密，并增加自己的SSL头。
SSL的工作原理
握手协议（Handshake protocol）
记录协议（Record protocol）
警报协议（Alert protocol）
1、握手协议
握手协议是客户机和服务器用SSL连接通信时使用的第一个子协议，握手协议包括客户机与服务器之间的一系列消息。SSL中最复杂的协议就是握手协议。该协议允许服务器和客户机相互验证，协商加密和MAC算法以及保密密钥，用来保护在SSL记录中发送的数据。握手协议是在应用程序的数据传输之前使用的。
每个握手协议包含以下3个字段
（1）Type：表示10种消息类型之一
（2）Length：表示消息长度字节数
（3）Content：与消息相关的参数
握手协议的4个阶段
1.1 建立安全能力
SSL握手的第一阶段启动逻辑连接，建立这个连接的安全能力。首先客户机向服务器发出client hello消息并等待服务器响应，随后服务器向客户机返回server hello消息，对client hello消息中的信息进行确认。
Client hello消息包括Version，Random，Session id，Cipher suite，Compression method等信息。
ClientHello 客户发送CilentHello信息，包含如下内容：
（1）客户端可以支持的SSL最高版本号
（2）一个用于生成主秘密的32字节的随机数。（等会介绍主秘密是什么）
（3）一个确定会话的会话ID。
（4）一个客户端可以支持的密码套件列表。
密码套件格式：每个套件都以“SSL”开头，紧跟着的是密钥交换算法。用“With”这个词把密钥交换算法、加密算法、散列算法分开，例如：SSL_DHE_RSA_WITH_DES_CBC_SHA, 表示把DHE_RSA(带有RSA数字签名的暂时Diffie-HellMan)定义为密钥交换算法；把DES_CBC定义为加密算法；把SHA定义为散列算法。
（5）一个客户端可以支持的压缩算法列表。
ServerHello服务器用ServerHello信息应答客户，包括下列内容
（1）一个SSL版本号。取客户端支持的最高版本号和服务端支持的最高版本号中的较低者。
（2）一个用于生成主秘密的32字节的随机数。（客户端一个、服务端一个）
（3）会话ID
（4）从客户端的密码套件列表中选择的一个密码套件
（5）从客户端的压缩方法的列表中选择的压缩方法
这个阶段之后，客户端服务端知道了下列内容：
（1）SSL版本
（2）密钥交换、信息验证和加密算法
（3）压缩方法
（4）有关密钥生成的两个随机数。
1.2 服务器鉴别与密钥交换
服务器启动SSL握手第2阶段，是本阶段所有消息的唯一发送方，客户机是所有消息的唯一接收方。该阶段分为4步：
（a）证书：服务器将数字证书和到根CA整个链发给客户端，使客户端能用服务器证书中的服务器公钥认证服务器。
（b）服务器密钥交换（可选）：这里视密钥交换算法而定
（c）证书请求：服务端可能会要求客户自身进行验证。
（d）服务器握手完成：第二阶段的结束，第三阶段开始的信号
这里重点介绍一下服务端的验证和密钥交换。这个阶段的前面的（a）证书 和（b）服务器密钥交换是基于密钥交换方法的。而在SSL中密钥交换算法有6种：无效（没有密钥交换）、RSA、匿名Diffie-Hellman、暂时Diffie-Hellman、固定Diffie-Hellman、Fortezza。
在阶段1过程客户端与服务端协商的过程中已经确定使哪种密钥交换算法。
如果协商过程中确定使用RSA交换密钥，那么过程如下图：
这个方法中，服务器在它的第一个信息中，发送了RSA加密/解密公钥证书。不过，因为预备主秘密是由客户端在下一个阶段生成并发送的，所以第二个信息是空的。注意，公钥证书会进行从服务器到客户端的验证。当服务器收到预备主秘密时，它使用私钥进行解密。服务端拥有私钥是一个证据，可以证明服务器是一个它在第一个信息发送的公钥证书中要求的实体。
其他的几种密钥交换算法这里就不介绍了。可以参考Behrouz A.Forouzan著的《密码学与网络安全》。
1.3 客户机鉴别与密钥交换：
客户机启动SSL握手第3阶段，是本阶段所有消息的唯一发送方，服务器是所有消息的唯一接收方。该阶段分为3步：
（a）证书（可选）：为了对服务器证明自身，客户要发送一个证书信息，这是可选的，在IIS中可以配置强制客户端证书认证。
（b）客户机密钥交换（Pre-master-secret）：这里客户端将预备主密钥发送给服务端，注意这里会使用服务端的公钥进行加密。
（c）证书验证（可选），对预备秘密和随机数进行签名，证明拥有（a）证书的公钥。
下面也重点介绍一下RSA方式的客户端验证和密钥交换。
这种情况，除非服务器在阶段II明确请求，否则没有证书信息。客户端密钥交换方法包括阶段II收到的由RSA公钥加密的预备主密钥。
阶段III之后，客户要有服务器进行验证，客户和服务器都知道预备主密钥。
1.4 完成
客户机启动SSL握手第4阶段，使服务器结束。该阶段分为4步，前2个消息来自客户机，后2个消息来自服务器。
1.5 密钥生成的过程
这样握手协议完成，下面看下什么是预备主密钥，主密钥是怎么生成的。为了保证信息的完整性和机密性，SSL需要有六个加密秘密：四个密钥和两个IV。为了信息的可信性，客户端需要一个密钥（HMAC），为了加密要有一个密钥，为了分组加密要一个IV，服务也是如此。SSL需要的密钥是单向的，不同于那些在其他方向的密钥。如果在一个方向上有攻击，这种攻击在其他方向是没影响的。生成过程如下：
2、记录协议
记录协议在客户机和服务器握手成功后使用，即客户机和服务器鉴别对方和确定安全信息交换使用的算法后，进入SSL记录协议，记录协议向SSL连接提供两个服务：
（1）保密性：使用握手协议定义的秘密密钥实现
（2）完整性：握手协议定义了MAC，用于保证消息完整性
记录协议的过程：
3、警报协议
客户机和服务器发现错误时，向对方发送一个警报消息。如果是致命错误，则算法立即关闭SSL连接，双方还会先删除相关的会话号，秘密和密钥。每个警报消息共2个字节，第1个字节表示错误类型，如果是警报，则值为1，如果是致命错误，则值为2；第2个字节制定实际错误类型。
是否有漏洞与代码有关，与此无关
其中主流的连接MySQL的方式是用mysql或者mysql2包，它们只是提供了调用驱动的api。很多框架中包括egg，nest都是基于此封装的。
但这不是SQL注入的关键，它只是一种连接方式。它只管连接，不管其他的，存不存在SQL注入完全靠写代码的人本身啊。
一句脚本本没有问题(知道不让直接放sql的，也是放注入)，但是你如果让SQL变成由用户输入拼接而成，那就存在SQL注入的风险。
你应该去了解SQL注入的原理，然后进行防患，百度就能找到，然后可以用ORM，一般都对输入做了处理，还能避免直接写SQL(但其实难的地方还得自己写)。
有不理解可以追问。
交互式 mongo shell
mongo 127.0.0.1:27017
use test
db.users.findOne()
mongo --eval 运行一段脚本
mongo 127.0.0.1:27017/test --eval "printjson(db.users.findOne())"
在OS命令行下，运行一个js文件
mongo 127.0.0.1:27017/test userfindone.js
userfindone.js 的内容：
printjson(db.users.findOne());
在mongo shell 交互模式下，运行一个js文件
mongo test
load("/root/mongojs/userfindone.js")
load() 参数中的文件路径，既可以是相对路径，也可以是绝对路径。
在mongo shell下查看当前工作路径的方法： pwd( )
当前工作路径就是我们启动mongo shell时，当前用户所处的路径。
例如:
[root@cgl-centos-dev mongojs]# pwd
/root/mongojs
[root@cgl-centos-dev mongojs]# mongo
MongoDB shell version: 2.6.12
connecting to: test
pwd()
/root/mongojs
MongoDB 查询数据的语法格式如下：
db.collection.find(query, projection)
query ：可选，使用查询操作符指定查询条件
projection ：可选，使用投影操作符指定返回的键。查询时返回文档中所有键值， 只需省略该参数即可（默认省略）。
如果你需要以易读的方式来读取数据，可以使用 pretty() 方法，语法格式如下：db.col.find().pretty()
pretty() 方法以格式化的方式来显示所有文档
以下实例我们查询了集合 col 中的数据：
db.col.find().pretty(){
"_id" : ObjectId("56063f17ade2f21f36b03133"),
"title" : "MongoDB 教程",
"description" : "MongoDB 是一个 Nosql 数据库",
"by" : "菜鸟教程",
"url" : "",
"tags" : [
"mongodb",
"database",
"NoSQL"
],
"likes" : 100}
除了 find() 方法之外，还有一个 findOne() 方法，它只返回一个文档。
对于python的入门
首先会学习python基础语法，面向对象编程与程序设计模式的理解、python数据分析基础、python网络编程、python并发与高效编程等等。
通过前期python学习来了解和掌握常量变量的使用，运算符的使用、流程控制的使用等，最后掌握python编程语言的基础内容。
并会对常见数据结构和相应算法进行学习，注重表格的处理，树结构的处理知识。
第二阶段主要学习内容是web页面开发、web页面特效开发、数据持久化开发、linux运维开发、linux测试开发、服务器集群架构等等。
对js的掌握并在网络前端中使用，而且需要详细将js学习并掌握，为将来从事全栈工作打下基础，也会学习linux操作系统的基础知识和掌握linux操作系统常用命令，并会学习linux自动化运维技巧等。
第三阶段主要学习网络爬虫，数据分析加人工智能：
这一个阶段需要学习的内容也是比较多的，例如：爬虫与数据、多线程爬虫、go语言、NoSQL数据库、Scrapy-Redis框架。
需要掌握爬虫的工作原理和设计思想，掌握反爬虫机制，并且通过学习NoSQL数据库和Scrapy-Redis框架，并且可以使用分布式爬虫框架实现大量数据的获取。
数据分析和人工智能阶段需要学习的数据分析、人工智能深度学习、量化交易模型、数据分析-特征工程和结果可视化和人工智能机器学习等等。
需要理解随机变量的数字特征的概念和性质，并会利用性质计算随机变量的数字特征，了解可视化过程，图形绘制。并且需要掌握Matplotlib模块、常用的机器学习算法等等。
最后就是对于python的入门学习，我们在学习理论、学习python语法基础的同时我们应该多动手、多联系。但是呢，对于我们零基础的小伙伴呢，一般不建议自学。
你肯定要问为什么？我就知道！原因大概有三点：
首先我们自学虽然成本低、学习时间灵活等，但是你想过没，你要自学到就业的程度大概需要多长时间，辞职在家学习，或者买个网课，每天听课、练，你可能需要1年左右，就这你还不一定能够学会、换不一定能够全面掌握企业需要的技术；然后报班学习的学员都已经学完工作半年了。
其次就是学习知识的系统性、前沿性。IT行业的学习一定要系统，不能说我们这里一点那里学一点，完了全是一片一片的知识点，听起来你都有涉及但是真正做项目反而使用不起来，很耽误时间。其次就是前沿性，学习时一定要选择最新的课程大纲、最新的课程。IT行业的技术更新很快。
最后就是就业服务和保障，我们选择报班学习一般都有就业服务，当然我们在学习完也会进行模拟面试和简历指导的等工作。其次就是服务，一般培训机构都有合作企业来招聘，大大增加了我们的就业机会。
总而言之你是零基础选择培训绝对是最快速的转行入门途径！
MongoDB 插入文档
本章节中我们将向大家介绍如何将数据插入到MongoDB的集合中。
文档的数据结构和JSON基本一样。
所有存储在集合中的数据都是BSON格式。
BSON是一种类json的一种二进制形式的存储格式,简称Binary JSON。
插入文档
MongoDB 使用 insert() 或 save() 方法向集合中插入文档，语法如下：
db.COLLECTION_NAME.insert(document)
实例
以下文档可以存储在 MongoDB 的 runoob 数据库 的 col集合中：
db.col.insert({title: 'MongoDB 教程',
description: 'MongoDB 是一个 Nosql 数据库',
by: '菜鸟教程',
url: '',
tags: ['mongodb', 'database', 'NoSQL'],
likes: 100
})
以上实例中 col 是我们的集合名，前一章节我们已经创建过了，如果该集合不在该数据库中， MongoDB 会自动创建该集合并插入文档。
查看已插入文档：
db.col.find()
{ "_id" : ObjectId("56064886ade2f21f36b03134"), "title" : "MongoDB 教程", "description" : "MongoDB 是一个 Nosql 数据库", "by" : "菜鸟教程", "url" : "", "tags" : [ "mongodb", "database", "NoSQL" ], "likes" : 100 }
我们也可以将数据定义为一个变量，如下所示：
document=({title: 'MongoDB 教程',
description: 'MongoDB 是一个 Nosql 数据库',
by: '菜鸟教程',
url: '',
tags: ['mongodb', 'database', 'NoSQL'],
likes: 100
});
执行后显示结果如下：
{
"title" : "MongoDB 教程",
"description" : "MongoDB 是一个 Nosql 数据库",
"by" : "菜鸟教程",
"url" : "",
"tags" : [
"mongodb",
"database",
"NoSQL"
],
"likes" : 100
}
执行插入操作：
db.col.insert(document)
WriteResult({ "nInserted" : 1 })
插入文档你也可以使用 db.col.save(document) 命令。如果不指定 _id 字段 save() 方法类似于 insert() 方法。如果指定 _id 字段，则会更新该 _id 的数据。
最适合新手入门的途径。
教程是某一学科的课程，主要是被用来引导用户理解相关知识或者指导用户完成特定的任务。以信息为基础的视频教程会向用户传递特定的信息，如向用户介绍某个产品的历史、作用、特性等等。在以信息为基础的教程中，一般不会有相关技术的介绍。
而在基于操作的视频教程中，其内容通常是基于实际操作设计的，用户往往可以通过该视频教程的学习提高某种技术的熟练程度。目前互联网上主流的教程分为两大类：1：图文教程 2：视频教程。
