1.Realworld CTF 2023 ChatUWU 详解
2.3分钟使用 WebSocket 搭建属于自己的前端聊天室（WebSocket 原理、应用解析）
3.用Java构建一个简单的聊天WebSocket聊天室
4.微信小程序建立聊天室难不难？
5.开箱即用开发一个基于环信IM的Vue3聊天室插件，从而快速实现直播间聊天室功能
6.前端好学习么

Realworld CTF 2023 ChatUWU 详解

       本文深入解析了 Realworld CTF 中的室源 ChatUWU 挑战。题目主要围绕一个基于 socket.io 的前端聊天室，其核心问题在于 socket.io 中的聊天 parseuri 问题，而非 DOMPurify 的室源涨幅区间源码过滤漏洞。

       首先，前端题目提供了源码，聊天其中前端的室源关键部分为 index.html。后端代码使用了 DOMPurify 来过滤传入的前端 from 和 text，但分析发现此版本（^0..0）基本没有漏洞。聊天因此，室源直接从代码中无法找到突破口。前端

       挑战的聊天关键在于理解 socket 连接机制。实际操作中，室源前端的 socket 连接到自定义服务器，而不是常规的公共聊天室。这使得 xss 攻击难以通过常规方式触发。

       通过师傅提供的 payload ...:/?...@自己的服务器地址，揭示了问题背后的原理。分析发现，payload 中的 @ 后面部分作为服务器地址，是通过解析 location.search（url查询参数）实现的。

       逐步调试后发现，socket 连接过程涉及 uri 解析，收费系统 源码关键在于 uri 解析组件 parseuri.js。通过此组件解析 uri 后，生成的 hostname 为恶意服务器地址，导致 socket.io 连接到恶意服务器，从而触发 xss 攻击。

       本地测试可验证这一过程，通过执行 parseuri.js 的代码，发现 hostname 被错误解析，导致连接到恶意服务器。这揭示了 socket.io 内部对 uri 的错误解析，进而导致安全漏洞。

       解决策略在于自建恶意服务器，引导 xssbot 连接到该服务器，通过发送可以造成 xss 的 text 来窃取 cookie。实践步骤包括搭建恶意服务器、向 xssbot 发送攻击指令等。

       综上所述，ChatUWU 挑战的关键在于对 socket.io 解析机制的理解及利用。通过深入分析代码、调试与本地测试，可揭示并解决这一安全挑战。

3分钟使用 WebSocket 搭建属于自己的聊天室（WebSocket 原理、应用解析）

       WebSocket，一种革命性的android sdk 源码实时通信协议，它允许客户端与服务器之间建立持久的全双工连接。它的出现简化了以往的轮询或长轮询机制，提升了在线应用的性能和用户体验。

       WebSocket 的优点在于，它能够实现实时数据传输，使得聊天室、在线游戏和金融交易应用等场景得以流畅进行。然而，其缺点在于浏览器兼容性问题，早期版本的浏览器可能不支持，需要进行一定的适配。此外，WebSocket 的实现和维护也需要开发者具备一定的网络编程知识。

       主流浏览器如Chrome、Firefox和Edge等对WebSocket的支持良好，但需要通过Sec-WebSocket-Key和Sec-WebSocket-Extensions等特定的握手过程来初始化连接。数据通信则是通过数据帧进行，包括帧头、掩码和负载数据。MDN上有一个实例说明了整个过程，对于初学者来说，这是一个很好的学习资源。

       要搭建一个简易聊天室，前端需要编写代码来连接和发送消息，c 源码编译而后端则需处理这些请求并生成响应。Java开发者可以利用WebSocket API实现后端逻辑，例如Java的Jetty或Spring框架提供了WebSocket的支持。

       总的来说，WebSocket 是一个强大的工具，它将实时通信带入了更广泛的应用领域。作为技术开发者，我们应持续关注其发展，因为它能帮助我们构建更高效、交互性更强的在线应用。如果你对WebSocket或者如何在Java中使用它感兴趣，我的博客将为你提供详细的教程和实践案例。

用Java构建一个简单的WebSocket聊天室

       本文将指导你使用Java构建一个功能丰富的简单WebSocket聊天室，包括自我对话、好友交流、群聊和离线消息等功能。主要依赖于InChat框架，一个轻量级且高效的异步网络应用通讯框架。即使对SSM和SpringBoot不熟悉，也能通过基本的Java语言实现。

       首先，我们不需要额外的Maven包，仅需InChat框架即可开始。聊天室的android 5.0源码核心在于对接两个接口：一个用于数据保存和读取，通过它获取通信数据，另一个负责用户登录验证和群聊信息获取。例如，通过群聊的groupId查询用户Id数组。

       框架启动代码十分简洁，只需配置相关类到框架工厂，启动框架，一个内置的接口会实时发送通知给用户。前端页面你可以从项目或GitHub地址获取，记得替换IP地址。成功启动后，浏览器打开chat.html页面，就能看到运行效果。

       尽管文章没有详述每个步骤，但整体来看，搭建过程相当直观和简单。想了解更多细节，可参考InChatV1.1.0版本使用说明。此外，文章还推荐了一些与编程相关的话题供你进一步探索。

微信小程序建立聊天室难不难？

       微信小程序建立聊天室相对来说并不难，但需要一定的开发经验和技能。以下是大致的步骤：

       1. 在小程序中创建一个聊天室页面，并设计好界面布局。

       2. 使用 WebSocket 或者 Socket.io 等实现双向通信，使得用户可以发送消息、接收消息等操作。

       3. 为了保证数据安全性，需要在服务器端进行身份验证和权限控制，并使用 SSL/TLS 加密协议传输数据。

       4. 实现在线用户列表功能，以便查看当前有哪些用户正在聊天室内。

       5. 对于一些常见的功能需求如上传、表情包支持等也需要进行相应的开发工作。

       总之，在建立微信小程序聊天室时，需要具备前端和后端相关技术知识，并且要考虑到安全性、稳定性等方面问题。如果您没有相关经验或者团队资源，则可能会比较困难。

开箱即用开发一个基于环信IM的Vue3聊天室插件，从而快速实现直播间聊天室功能

       本文将分享如何以Vue3插件的形式快速开发一个轻量级的聊天室，实现直播间聊天功能。首先，明确插件功能范围是关键，接着我们逐步进行开发。

       1. 创建项目并配置：初始化一个空白项目，安装eslint和prettier等代码校验工具，并设置`.eslintrc.cjs`和`.prettierrc.cjs`，注意因项目采用ESM模块，所有js文件需以.cjs结尾。

       2. 打包脚本设置：创建scripts文件夹，引入vite进行打包，添加jsx支持，安装@vitejs/plugin-vue-jsx，并在`package.json`中添加打包命令。完整的build脚本请参阅源码链接。

       3. Vue3插件入口：编写插件入口函数，它接收用户参数，如登录信息和聊天室标识，以及初始状态。

       4. 输入框和消息列表组件：实现输入框功能，包括文本和发送，以及消息列表的渲染和滚动。

       5. 聊天室核心功能：管理聊天室状态，初始化环信SDK，挂载监听事件，确保实时通信。

       要使用这个插件，只需提供必要的配置参数，即可在页面中快速集成一个聊天室。

       查看成果，你可以访问以下地址获取源代码：

       Github 源码地址

       以及npm包地址：

       npm 相关包地址

       参考资料包括环信注册、官方Web端文档，以及前端组件库开发和Vue3组件的TSX编写教程。

前端好学习么

       å…¶å®žå‰ç«¯å­¦ä¹ æ²¡æœ‰å¥½ä¸å¥½å­¦è¿™ä¹ˆä¸€è¯´ï¼Œå­¦ä¹ æœ¬èº«å°±æ˜¯ä¸æ–­çš„突破，遇到问题和解决问题这样的一个过程，想要学好肯定都是有难度的。

       æ˜¨å¤©åœ¨æˆ‘在国外网站reddit上看到一篇文章，作者分享了他自学编程9个月后找到工作的经历。文章不到一天就得到3千多赞，2百条回复。我看了下内容，非常中肯，其中有不少建议也是我在编程教室屡次提过的。所以我连夜翻译了出来。原文略长，我做了适当的缩减。另外加上了一点我的想法（括号内斜体字）。虽说国情有不同，但本质是相同的，对想要入行的朋友很有参考价值。

       é•¿è¯çŸ­è¯´ï¼Œå¹´æœˆï¼Œæˆ‘处于人生的十字路口，无论是继续完成看不到尽头的化学硕士学位还是重新寻找自己的出路都令我感到纠结。那时我写了一些代码（也就几百行Python），感觉不错。我决定靠着积蓄来学习编程，直到找到一份开发的工作。

       å›žé¡¾è¿™ä¸ªæ¼«é•¿è€Œè‰°éš¾çš„旅程，我想分享一些经验，它是如何开始以及如何结束的。我的观点没有特别的顺序，虽然我会先写一些我认为最重要的。

       1）设定一个非常精确的目标。我是指现实的目标。这是你旅程中最重要的方面，你需要对终点线有清晰的认识。你学习编程，是因为想解决一些实际问题吗？也许你想要自动处理你工作/生活中的一些任务，也许你想破解游戏，也许你出于好奇心，也许你喜欢学习新事物，又也许你是一个想开发应用却没有资金的企业家。而本文中，我主要针对想要通过学习编程找工作的角度来谈。

       2）如果你的目标是找工作，就盯着就业市场看，而不是Twitter和Medium上的热点。还记得第一点吗？你必须设定一个非常精确的目标。诸如“我想成为一名开发人员并从事游戏行业”这样的目标就过于模糊。你的首要任务是什么？是寻找一个真实的开发工作，还是在游戏行业工作？如果你在游戏行业找不到工作怎么办？你的城市没有此类公司，或者你达不到游戏公司的要求怎么办？其实不论你学习哪种编程语言，我敢说将来某一天这些知识都可能用在游戏开发上，只要这是你的目标。你将需要学习大量的新东西。但是你有解决问题的能力和编程知识才能迈出第一步。

       ä½ æ˜¯ä¸€åè‡ªå­¦æˆæ‰çš„开发人员，不是MIT的优秀毕业生，找到一份异地的工作会更难。我在年月犯了一个错误：我认为首要任务是找到一份前端开发的工作。但我没意识到，在我的地区C#/php/Java的工作与前端JS工作的比例为9:1。因此，请查查你所在地区的公司，看看它们的职位和要求。

       ï¼ˆå¦‚果你的目标是转行，不妨从初级职位先入行，再不断调整到你期望的方向）

       3）永远永远不要假设在编程中什么更难什么更容易。当我决定学习前端时，我这样做了。这是一个巨大的错误。不好说前端比后端更容易，或是更难。关键是，你也无法知道自己会更喜欢什么，更适应什么。所以不要假设。永远不要认为JavaScript比C更容易或是更难。不同工具对于不同问题的有不同的复杂性，你还没有到能区分什么“更难”什么“更容易”的程度，我也是。就别去衡量。你能说清，从现在开始的个月内，在某平台上提升渲染和网络性能比优化基于地理空间数据预测天气的算法“更容易”吗？你确定在复杂的实时应用程序中管理状态比编写着色器或教电脑如何翻译或绘画更容易吗？你根本就不知道。所以，千万不要做这种无脑的假设。

       4）坚持学习。你有多少时间学习编程？你是学生吗？还是失业了（就像我一样）但是有足够的积蓄来投入学习。你的目标要符合实际，但要坚持。每天写1小时代码会比每周写一次7小时的代码会使你成为一个更好的程序员。

       5）不必懂得职位所需的一切。对于框架和库尤其如此。顶级公司非常关注数据结构和算法，这表明你可以思考并解决问题。更具体地说，无论你选择何种编程语言（Java，JavaScript，C#，Python和PHP中的任何一种都可能找到工作），尽可能地学习它的基础知识。我学习了前端开发。我觉得这需要从html到dom，学大量的库，transpiling，webpack等等。但实际上，在求职面试中，这些话题很少被问起，他们只想知道我是否真的了解JavaScript。我申请了3个前端React工作，没有人关心你是否知道React的调用（我的意思是，如果你学习React，你应该至少具备它的工作原理的基本知识），但成为一名优秀的React开发人员所需的核心知识就是了解JavaScript。如果你了解JavaScript和dom，那么学习React只需要一周的时间。否则你永远不会成为一个好的React开发者。高阶函数，this绑定，这些是React开发人员每天需要真正面对的问题和知识，其余的都是谷歌搜索。这同样适用于任何其他语言。如果没有扎实的语言基础，各种bug会让你一筹莫展。仅仅读过一些东西，并不意味着你吸收了它，更不谈掌握它了。一个会种技能/工具，但并不真正精通一个的人，很难取得别人信任。

       6）尝试寻找一个导师。Slacks,IRC,Discord上很多人比你有经验，你也许能找到愿意长期帮助你的。感谢freenode的javascript频道所有成员对我学习的帮助（特别是ljharb，slikts，stennowork，liste，innovati，zsoc，cjhonson，qswz，GreenJello，sillyslux）。请注意，我不是让你们去联系这些人，他们在讨论组中提供帮助而不是一对一。两个建议：1.不要考验导师的耐心和意愿。如果你一直在问可以搜索或书上查到的基本问题，他们会厌烦并懒得回答你。2.程序员，包括你在内，都希望别人认可自己的聪明，我认为这是理性人的本质。你可以利用这一点，比如：如果你进入聊天室并写“平心而论，我觉得在座各位不会绑定箭头函数”，你会得到个回复。而如果你问“箭头函数怎么用？”可能不会有任何答案。

       ï¼ˆä¸€ä¸ªè¿‡æ¥äººçš„建议和指导对于学习非常有帮助，这是任何书本、教程或者视频都无法达到。关于这点，参与过编程教室码上行动的各位同学应该深有体会）

       7）了解什么是编程：将数据作为输入，对它做一些处理，生成一个输出。这就是每个程序所干的事情。把两个数字相加：输入数字->处理->输出总和。在屏幕上渲染3D模型：相机顶点矩阵->处理->屏幕上的2D图像。在网站上设置你的个人资料图片：数据输入地址->处理->来自服务器的响应。这就是编程的全部，一切都是为了计算。数据->处理->数据。不过我对数据结构和算法知之甚少。我不太能实现归并算法或实现复杂的数据结构，在面试中也没有真正要求它们。知道时间复杂度和不同数据结构的应用对于我的面试来说已经足够了。但在其他公司和职位上可能会有所不同。

       8）了解程序员做什么。他们通过代码解决问题。作为程序员，你需要解决问题（通常由你自己创建）。不能解决代码的问题，那要你何用。如果你认为跟随youtube/udemy上的一些废话视频可能会让你成为一名程序员，那就大错特错了。看别人替你解决问题意味着你没有提高问题解决技巧。所以当你无法理解某些代码时，别急着谷歌或问人。要知道，这就是你要面对的工作。善于解决问题，有些可能是语法问题（如前所述），有些可能与性能有关，等等。学会使用调试器。代码只是想法的实现，习惯用铅笔和纸编程。定义好你的问题，输入，输出以及如何从一个到另一个。整理你的代码，看看你乱七八糟的面条代码，看看你凌乱和命名不佳的函数和变量，超过几百行就难以维护的代码，试着改进它。

       9）掌握计算机的基本常识。认真脸。你起码要了解冯·诺伊曼结构和内存模型，这些几小时就能学完。哪怕是通过维基百科、Youtube或者是一些博客，至少做下这件事。搞懂内存模型和调用栈，你的代码水平将会提升，你也会码得更快。你再也不会搞不清：为什么你不能修改一个字符串，或者为什么是通过引用而不是值来传递非基本类型。这对提升你的学习速度，加深你对计算机运行原理的了解具有重要意义。

       ï¼‰ä¸è¦è·Ÿç€è§†é¢‘学习。你需要做得事情越高级，越小众，你能使用的资源就越来越少。你要习惯用谷歌也搜索不到多少信息的情况。你将会需要使用文档很少或者为零的程序库，需要查看代码来搞清楚为什么这个库改变了那个对象类型，或者运行情况和预期不同。去Github上看一些热门的库，那里有很多问题可研究。在你之前，那些优秀的工程师从来没遇到过这些问题。我知道这不容易，但这是个好习惯。我还没见到过哪个编程问题在视频中比在出色的书或文章中写得更好。而且要注意，很多做这些课程的人并不一定是优秀的程序员；即使他们是，他们也不见得是好的老师。

       æˆ‘不是说“不要使用视频”。有很多视频帮了我大忙，帮我理解概念，解决问题，以及看怎么使用一些技术。但是不到最后，不要用这个资源，不要依赖它。比如我自己很喜欢AndrewMead的React课程，但如果我没有自己去研究，一遍遍尝试，那我看到过的内容都没变成我自己的。靠着某个视频，了解关于某个软件特定版本的例子，只是不得已的替代方案。

       ï¼ˆä½ è§‰å¾—真正的编程大牛会整天开直播给你讲怎么写入门代码吗？）

       ï¼‰è°ƒè¯•å’Œç‰ˆæœ¬æŽ§åˆ¶ã€‚这对于学习语言和计算机基础是最重要的，也是工作环境中最需要的东西。其次是工具的使用。如果你掌握Java，那么学习Spring比学习docker和git要容易得多。但你可能会花％的时间来编写Spring代码。又比如你掌握Python，你可以在一个周末学会Django，但需要花更多时间学会调试错误的Python代码。关于IDE也是，知道5个IDE不如熟练使用1个。这些未必是初级职位的必备技能，你可以不去了解它们，但这个东西是长期有用的。

       ï¼ˆè°ƒè¯•debug和版本控制是区分新手与程序员的重要标志，对求职也很加分，参考开发5分钟，调试2小时-你的问题在哪里？）

       ï¼‰ä¸è¦è¯•å›¾ä¸€æ¬¡å­¦ä¹ å¤ªå¤šä¸œè¥¿ã€‚小步走，但要稳。我犯过这样的错，并且付出不小的代价。不是说读Hennessy和Patterson的著作没用，或者说关于设计模式的阅读是无用的，也不是说看Youtube视频、有趣的技术讨论、阅读行为驱动设计没用，但是还记得第一点吗？你必须明白什么是首要的，扎实走好每一小步。如果你和我一样，充满好奇心，那很好。但是，先找到一份工作，在一个舒适的环境中，拿着一份薪水，跟着资深开发者学习，然后回家尝试用Rust编程，看关于不可变性的谈话，难道不是更好吗？

       ï¼‰å°è´´å£«1：如果在你正式找工作前有6至7个月的准备时间，我推荐学下C语言。这是一门很小的语言，但可以教会你很多。这么说吧，如果我在花4个月学习另一门高阶语言之前，先花2个月学习C语言（每天至少4小时），并且解决一些Leetcode上简单和中等难度的问题，我会成为一名比现在更优秀的程序员。现在技术太多，高阶语言中有大量“噪音”。

       ä½ å¾ˆå¿«å°±ä¼šä»Žâ€œæˆ‘怎么样从input到output”这样的问题上被引诱到别的关注点上，而这却是写一个完整代码最最基本的步骤。我知道编写“input”和“output”一点也不酷，但还记得第一点吗？我们需要尽快找到一份让自己能挣钱的体面工作。学习C语言，可能起初比较慢。但当你学习下一门语言时，你最后会发现和使用C语言解决问题是一样的，只不过要使用无数的API。

       ï¼‰å°è´´å£«2：学会管理你的时间。你整天坐在电脑前学编程，顺手刷一刷各种网站很有诱惑力的，但这些都是在浪费时间。如果你能把时间管理好，那你的准备时间可以大大缩减掉几个星期甚至几个月。

       ï¼‰å°è´´å£«3：休息，社交，恋爱，娱乐，照顾自己，这些都超级重要。一个人坐在那里，整天看着博客，盯着VisualStudio，对你的精神健康没有好处，而且会让你和别人格格不入。努力学习，懂得自制，但是在生活的其他方面也要自制。因为一旦这个平衡被打破，其他地方也会出问题。

       å°±å†™è¿™ä¹ˆå¤šï¼Œå¦‚果写太长了，请不要介意。希望有人会觉得这篇文章有帮助，且这只是我个人的见解，可能会有很多人不赞同。

如何用js写出使用websocket协议的远程聊天室?

       实现一个使用Websocket协议的远程聊天室，需要通过前端和后端协同工作，构建一个实时通信环境。以下实现步骤详细阐述了如何在前端与后端之间建立连接、数据传输以及实时更新用户状态的过程。

       首先，配置开发环境，使用VSCode编辑器，并安装必要的NodeJS依赖包。利用`npm init -y`创建项目配置文件，然后通过`npm i express -s`安装Express框架。同时，引入WebSocket和Socket.IO模块，使用命令`npm i express -ws socket.io`。项目文件结构应包括`package.json`文件，以管理依赖和脚本。

       后端代码实现主要集中在配置和监听Websocket事件上。使用Express作为服务器框架，与WebSocket服务集成。具体实现包括初始化服务器、监听连接事件，以及接收和处理客户端发送的事件（如用户登录、发送消息、用户下线等）。通过`io.on()`方法监听并响应客户端的请求，确保了实时消息传输的顺畅。

       前端页面设计以用户交互为中心，包括登录界面、用户列表展示、发送消息功能和断开连接机制。用户在登录时，通过Websocket连接到后端服务器，将用户名发送给后端进行存储和广播。同时，前端页面实时更新上线用户列表，用户点击列表中的用户名，将选择的用户信息显示在发送框中。发送消息时，将信息传递给后端，后端接收并转发至目标用户。此外，页面提供了下线功能，处理用户离开或断开连接的情况。

       以下为简化版的HTML和JavaScript代码示例，展示了基本的页面结构和交互逻辑。HTML代码负责构建基本的界面元素，而JavaScript代码则处理用户输入、事件监听和Websocket通信。

       HTML代码示例展示了一个简单的登录界面、用户列表和发送消息功能：

       Document

       Login

       Send to whom

       Disconnect

       Online users list

       JavaScript代码示例则包含了一个简化版的事件处理逻辑，实现用户登录、选择聊天对象、发送消息和断开连接的功能：

       javascript

       let user; //接收信息的人

       function $(selector) {

        return document.querySelector(selector);

       }

       $(".login").onclick = function () {

        const socket = io("http://localhost:");

        let username = $(".username").value;

        socket.emit("send", username);

        socket.on("userList", ({ userList, offline }) => {

        let html = '';

        userList.forEach(user => {

        html += `

       ${ user}

       `;

        });

        $(".list").innerHTML = html;

        if (offline) {

        alert(offline + ' has logged out.');

        }

        });

        // 更多交互逻辑...

       };

       // 更多代码实现...

       通过上述实现，可以构建一个基本的实时聊天室应用，支持用户登录、选择聊天对象、发送消息以及处理用户上线和下线状态。该应用通过Websocket协议实现了客户端与服务器之间的实时通信，提供了流畅的实时聊天体验。