张磊的blog

菜鸟说说网站系统开发过程中的安全问题

那天被智勇批评了，我确实挺大意的。

我现在看到个什么系统总想找找人家的毛病，其实自己的系统或多或少也存在一些问题。那天静下来想，总的来说，应该从哪些方面注意呢？我整理了这么些东西：

1、是否禁用异地表格提交并不重要。馒头的程序一般都会有异地提交表单的问题。说白了真不是什么问题，红包系统是没有禁止异地提交的，如果谁有兴趣，不妨试试。

2、永远不要相信前台传递来的信息，后台对信息过滤要严格。禁用了异地提交只能限制一部分“菜鸟级”的选手，对于某些BT机的高手来说这简直不是什么限制。但是后台一定要做好限制，保证只要有非法信息，就自动取消操作。有的程序员过分依赖前台的javascript，导致一旦禁用了javascript，程序就没有任何限制了（明基会员中心的系统就是这样，所幸危险还不大）。

3、操作数据库格外小心。数据库是个好东西，可是如果使用不合理的语句操作数据库，后果不堪设想。在编写代码阶段，应该把各种情况都考虑在内。

其实也很简单，就是我们总会少考虑一些东西。呵呵……

刚又接到一个陌生电话，感觉怪怪的

我正在熟睡，被一个电话叫醒了。一看是个陌生的号码，又情不自禁地想入非非……我打过去，那边是个男人的声音，问我在哪里，我说山西……后来马上开机到网上一插，是秦皇岛的号码。天，怎么总有陌生的号码打到我的电话上？北京的那个还好，怎么又冒出一个秦皇岛？

这几天的忙碌又告一段落了。我的一个姑姑让帮忙准备论文，等干完这个，就可以潜心来做智勇交给我的事了。今天很困，本来是好好地睡觉的，可这个电话让我不安起来，总感觉有什么事情要发生了。会是什么呢？不会是什么好事……

平生第一次

今天到了长治同学聚会，玩到很玩又没地方去。以前从来没包过夜的，但今天没办法。就算是来NETBAR睡觉也是很值的。

说起“包夜”，有很多说法，我听到最多的还有“通宵”，还有“包宿”。我们一行大概有20个人，有的开了CS，有的在玩FIFA我开了WMP听起了JAY和BSB的歌，困困的，不知道什么时候就想睡了。眼睛受不了，看惯了本本的液晶……

我第一次喝酒吐了。喝的酒并不多，但是喝的快了。很开心，So many guys are here.记得前天晚上，我和几个兄弟喝酒，喝得他们路都走不直了，那时也很开心。

昨天晚上睡觉的时候，看见有一个未接来电，隐隐感觉是她打的，我冒险地发过去问了一下，收到的回复是个问号。早上爬起来就去查了查那个号码的地区——北京，这更加证实了我的猜测。可是我不能再发短信问了，现在我们是单线联系。后来我发现前天她也打过一个。很后悔为什么当时没有感觉到。她是不是很伤心？总之我很难过。但是她能打电话给我，说明她过得还不错。

好累好累，极度疲惫。我在思念，希望远在北京的她，过得会很好。I CANNOT LOVE HER MORE。

他们的世界

昨天和几个兄弟去吃饭。路上遇到一个并不相熟的朋友。他问，你现在在哪里读书？我说在杭州。他问，本科？我说是本科。他又问，包分配吗？我说了一句，我不觉得包分配有什么好，也不希望什么包分配。后来他问起了我的专业，我说学软件。他问是不是和黑客一样，我说不一样。他问QQ被偷了怎么办，我说有密码保护就没问题，没密码保护就不会没问题。他就问什么是密码保护……

我实在不想再多回答他的问题。在我家所处的这个小县城，现在街上的混混基本都是我那时的同学——同班或不同班。他们不会理解我的世界我的想法，在他们的眼睛里，本科的学校，还可以“包分配”，那是多么诱人的际遇啊。

后来我们几个同学到了饭店，喝了好多酒。大家玩得很开心，我也不必在脑袋里装着烦人的php。喝完就到了一个公园，大家都随便聊起来，聊学习，也聊感情，每个人都是一本书，我们毫无顾忌地说了好久。

县城已经建设得很好了，但是我所接触到的朋友不能让我满意。我不知道该怎样表达，姑且这么说吧。教育做得太差了，现在本科毕业生没有点真才实学也很难活得好了，他们居然还在希冀考个本科包分配。鲁迅先生对国人的看法是“哀其不幸，怒其不争”，而我觉得，他们没什么不幸的（至少比我好），只是他们不争。

他们的世界里，本科就是最辽远天空。

应CC的要求，把我flickr里的同学们的照片发上来

这些脸庞依然熟悉，再远都不算是距离……

第一个就是个美女……刘慧茜。后面的我就不说了，慢慢看吧。后天就要同学聚会了，我看了大众点评还没啥感觉呢……更不用说豆瓣了。对现在的这个东西思考的一点都不成熟……

比价购物怎么做

http://www.sobigo.com

我在落落那里看到了这个东西。一开始还以为又是落落姐做的，觉得太不可思议了。后来经过层层分析发现是一个专门做比价的网站，仔细看看，里面的搜索不是我一直以来想实现的吗？

那时候智勇和我说“货比多家”那个小东西没有市场的，现在看来，确实如此。我在想要不是智勇又交给了我新的任务，我会在学习java一段时间后开始做两个东西（一个是比价购物，还有一个暂时不说，做出来再说）。但是直到现在，我都不知道如果脱离了数据库，比价购物怎么来做。

php内建的函数可以分析页面，但真的要这样来做吗？这样不仅会拖慢服务器，而且确实是很笨。不用缓存意味着用户需要等级分钟才能出来分析结果，这几分钟里服务器要完成分析页面，排列次序，重新输出等一系列工作。而使用缓存意味着每一天都需要有人来更新。Buyren论坛没有全职的工作人员，这个工作该交给谁？

一直在考虑，但一直都不成熟。这个东西比起红包和现在做的这个来，难了不止10倍。

还是忍不住想起高考，我后悔了吗？

昨天去下面打水的时候见到了以前一起玩的兄弟。他说，Wang现在在补习班里是全校一二名的水平，说一定考得比我好。我心里总有那么点不爽，随口说了句，我从来不看好她……

每个人的心里总有那么些挥不去的阴霾，印象中第一件让我拼命想忘却的事情是高三那次到省实验中学考试的失败。第二件，就是以一分之差在省物理奥赛上拿了二等奖。恐怕第三件，就是高考了。我考得很差，很失败。虽然分数看起来比一本线高出30多分，但物理的失误让我不能拿到更好的分数。家里人都让我补习，县里的中学开出了很优惠的条件（包括给我开工资），我也不知出于什么目的，坚决不去。

我离北京交通大学只有一分之差，到不了北京许多矛盾也应运而生。比如说一堆朋友都在北京，有以前的同学也有智勇这种圈内人士。比如GF家在北京，她约摸会往北京考。北京成了装载许多人梦想的地方包括我，而至少在4年内，我无法踏足北京了。Wang说，她一定会考到北京去。需要这样吗？我真的不知道。

我在杭州电子科技大学过得很好很惬意，虽然交往的都是南国的朋友，但真诚是没有区别的。但每次想起来，我总会问自己，选择去读书而不是补习真的正确吗？我真的没有后悔吗？Wang将来也许会考到一所很好的大学，也许我会酸酸地巴望着开始新一轮的反思。

我曾立志做杭州电子科技大学最有实力的软件人，现在看来，只要自己保持这种劲头，应该是没悬念的。虽然真的很后悔，但我相信，如果我去复读，我会更加后悔。我永远都不知道这一刻的选择在下一刻意味着什么，因为高考的失利我才会这样艰难地抉择，因为生在中国我才要这样在乎高考，因为地球上有了生命我才会生在中国。

为什么世界会是这个样子？因为它不可能是别的样子——好像是多年以前读的一本书中的一句话，这个，叫做人择原理。

为什么我会后悔，因为我不可能不后悔，选择多消磨一年还是选择一个不知名的大学，我怎么做都是后悔。难道说，Wang就不会后悔吗？

困了，胡乱说说feedsky和feedburner

红包系统出来的时候，我第一个选择的是feedsky来处理它的feed，可是很不幸，feedsky处理出来的东西除了英文就是问号，和我的feed刚提交过去时候一样。本来以为过一段时间就会好起来的，可是过了两天也没好（今天看的时候已经好了，不知道是不是因为给智勇面子）。后来我只能转投feedburner。

feedsky里面的模板挺好的，GF喜欢笔笔，可是我用了一段还是觉得张靓影那个好看，后来就换掉了（欣总喜欢张靓影才把她的做得这么好看么）。feedburner里面我至今没找到有模板（别说我弱，我英语不好的），更不用说用户自己编xsl了（这也难怪，要是我自己受得了写xsl还用feed处理干吗？）。而最近，feedsky的广告系统开始测试，我用了用，显然广告相关度没有做……不如feedburner拿Adsense for feed来做，可是google不是对所有feed都开放的。指望拿blog赚钱，真不容易。我的朋友们有的会问，张磊你的blog访问都十几万了，有没有赚钱？我说没，这不是让赚钱的，是让推销自己的（下面引用的是智勇的话）：
Quote:

张智勇 10:08:09

呵呵，主要是我一直看你的blog，觉得你有能力，会很有前途的；担心你被别的论坛挖去

国内的b2c这年头不景气，joyo给了amazon，dangdang也要往c2c靠；c2c更是烧钱，想做c2c就不必打赚钱的主意。可是联盟还弄得这么红火，谁都想再从b2c身上咬一块肉。feedsky的广告没有出了我的意料，b2c做得再差，也还在给国内的许多网站提供不菲的收入。

最后说一句，我写完blog以后feedburner的feed马上就有了，可见它是实时读取并处理的；feedsky似乎用了缓存，只不过有时候我怀疑缓存会停止更新。用缓存固然好，尤其对我这种流量有限制的空间来说，但，最好还是快一些更新吧。

没关系，慢慢来……

这次看来真的不能在大年之前完成任务了。什么事情都不那么理想。本来说昨天把点评的事谈好，今天开做，明天就可以整完。可是偏偏今天我妈带我去买衣服，偏偏有人叫我去修电脑（顺便在那里吃了一顿），明天偏偏有兄弟叫我去吃饭，后天还要准备去长治，大后天是同学聚会，聚会要拖到27号才能完。

我的事情做都做不完。我曾有心让几个兄弟和我一起来做，很可惜，他们的水准都不能满足我的要求。放了假我知道他们一定不会像我这样地学习和实践，而是在游戏和电影带来的快感中消磨时光。

曾经有一段时间，我希望自己将来做一个好的程序员，有着让人流口水的技术。可是后来我明白只会技术是没有出路的，还好，我有其他方面的优势可以利用起来。我肤浅地懂得了“软件工程”中“工程”的意义，所以只需要做两天的红包系统我却用了几个月来研究和设计。

现在做的X(在推出之前，姑且先这么说吧)，我还没有拿出一个较为成熟的让自己满意的设计。所以不能着急，一定不能着急，不要急着去把程序写出来。红包系统其实在我的角度上看是失败的，我曾希望它是一个模块化很高的东西，但很可惜，我做得虎头蛇尾。

不要着急，不要着急，休息，休息一会儿……我决定在拿出完整的方案之前（包括结构、风格、内容的组织和连接）不再动手写程序。明天GF就要登上去北京的车了，希望她在北京过一个好年：）。

今天看到论坛里一个新人在帖子里说

Quote:

我觉得作为buyren论坛的核心管理人员，我们都应该想想，我们这么辛苦做出来的东西，怎样才能更好地为会员所接受呢？这是一个很复杂的问题，在之前我只是想过把现在的几个插件整理出来（包括我写的和馒头写的）然后同一放到一个后台以方便管理，但是我们的会员呢？该让他们怎么样来认识？

怎样把我们为用户创造良好使用体验的理念灌输给大家，通过行动故然好，但，最好还是作为一个口号提出来。

给blog换张脸

一直看着那个imsn的样子，难免有些审美疲劳。昨天把红包的事情可以放一段落了，所以就整了整这个皮肤。

我一直后悔自己用了exblog而不是wordpress。印象中智勇的blog以前也不是LBS的系统，后来做过一次升级。我也一直在想要不要升级一下。反正要先换张脸。对i7c模板的修改花了我半个晚上加半个上午，样子还过得去，就是总觉得有那么些单调。

本来我已经无聊的开始研究java，从“helloworld”写起了，智勇又交给我一个小任务……暂时保密。经过写“红包系统”，我对phpwind的了解深了很多，没有浪费之前打印phpwind代码所花的巨额资金。

不说了，开始工作……为buyren工作的感觉很好。