1.【墨菲安全实验室】Spring Cloud Function 3.0.0.RELEASE~3.2.2版本SPEL 表达式注入
2.Spring MVC @RequestParam中Date参数的源码问题
3.idea里的springboot版本有什么不同
4.springboard崩溃原因
5.springboot教程菜鸟(springboot入门教程)
6.聊透Spring事件机制

【墨菲安全实验室】Spring Cloud Function 3.0.0.RELEASE~3.2.2版本SPEL 表达式注入

       墨菲安全实验室昨天监测到一个0day漏洞，于年3月日时通过CNVD提交并上线检测。缺陷漏洞影响了Spring Cloud Function 3.0.0.RELEASE~3.2.2版本，源码利用了SPEL表达式注入漏洞。缺陷

       发现方式为墨菲安全实验室的源码情报预警监控。漏洞由Java语言的缺陷团队分红网站源码Spring Cloud Function框架中的serverless框架引起。受影响组件为org.springframework.cloud:spring-cloud-function-context，源码版本在3.0.0.RELEASE至3.2.2之间。缺陷漏洞通过在properties中配置spring.cloud.function.definition=functionRouter触发，源码路由功能函数通过请求头中的缺陷“spring.cloud.function.routing-expression”参数执行SPEL表达式，导致任意代码执行。源码

       漏洞类型为SPEL表达式注入，缺陷严重性评分为8.5。源码排查方式包括在项目代码目录中使用grep命令获取相关组件版本，缺陷以及使用墨菲安全客户端进行检测。源码官方已发布修复补丁，建议升级到3.2.2版本的下一个版本。

       在进行漏洞防护时，开发者已提交修复补丁并提交至GitHub，墨菲安全实验室已同步上报CNVD并上线检测能力。墨菲安全开源版及企业版用户已支持免费使用。

       墨菲安全实验室隶属于墨菲安全，是一家专注于软件供应链安全的科技创新公司，提供包括开源组件安全检测、云原生容器安全、软件成分分析(SCA)、软件供应链安全评估等服务。实验室专注于技术研究，关注开源组件、闭源软件及其他供应链软件的缺陷分析，以打造专业的缺陷知识库。

Spring MVC @RequestParam中Date参数的问题

       本文探讨了使用Spring MVC的@RequestBody注解处理日期参数时，遇到时区不匹配导致错误的问题。具体场景如下：系统A有一个API foo，接收两个Date参数，查询返回一个List。渴望无标溯源码系统B使用feign调用此API。测试环境和生产环境的时区不同，导致请求在生产环境无法通过，出现错误。问题的关键在于Spring MVC的RequestParamMethodArgumentResolver在处理未添加@DateTimeFormat注解的Date类型时，最终会使用java.util.Date的Date(String)构造方法，该方法已被标记为已弃用。在解析字符串时，此方法会根据预先定义的数组进行复杂匹配，对时区的支持有限。由于Java早期版本中Date相关类的实现存在缺陷，大部分方法已被标记为已弃用。RequestParamMethodArgumentResolver并未针对Date类型进行特殊处理，而是通过反射方式调用Constructor.newInstance(String)。Feign则简单调用对象的toString()方法。在生产环境时区为Asia/Jakarta的情况下，由于时区列表中未包含此值，导致解析失败，返回错误。综上所述，解决时区不匹配问题的关键在于正确处理和解析日期字符串，以及确保调用环境与服务提供者环境的时区一致。

idea里的springboot版本有什么不同

       在IDEA中，Spring Boot版本的不同主要体现在以下几个方面：首先，Spring Boot 2.x版本采用了最新的Spring framework 5.x版本作为核心组件，而Spring Boot 1.x版本使用的则是较老版本的Spring framework。

       其次，Spring Boot 2.x版本对外部依赖的支持得到了改进和加强，而1.x版本在这方面相对较弱。另外，Spring Boot 2.x版本在自动配置和启动机制方面也进行了改进，新增了一些自动配置项，提高了系统的可扩展性和灵活性。同时，Spring Boot 2.x版本还增强了Actuator模块的山西产品溯源码查询功能，新增了一些端点，提供了更加详细的度量数据和健康检查信息。最后，Spring Boot 2.x版本在注解和配置文件的支持、Web应用程序开发的支持、安全性和认证的支持等方面也进行了优化和改进。同时，修复了一些bug和缺陷，提高了系统的稳定性。总的来说，Spring Boot 2.x版本相较于1.x版本有着很大的改进和提升，更符合现代Web应用程序的开发需求。因此，如果可能的话，建议使用Spring Boot 2.x版本进行开发。

springboard崩溃原因

       Springboard崩溃的原因可能涉及多个方面，包括软件错误、内存问题以及系统资源不足等。

       首先，软件错误是导致Springboard崩溃的常见原因之一。由于iOS设备的操作系统或应用程序中存在的缺陷，可能导致Springboard进程在运行时出现异常，从而被操作系统强制终止。这类错误可能是由于编程逻辑错误、资源访问冲突或者第三方应用程序与系统不兼容等问题引起的。

       其次，内存问题也可能导致Springboard崩溃。当设备的内存不足时，操作系统可能会选择终止一些进程以释放内存资源，其中包括Springboard进程。此外，如果Springboard本身存在内存泄漏问题，即不断占用内存而无法释放，那么当内存占用达到一定阈值时，操作系统也会选择终止该进程以避免系统崩溃。机顶盒 rom 源码

       最后，系统资源不足也是导致Springboard崩溃的原因之一。系统资源包括CPU、内存、磁盘空间等，如果这些资源被过度占用或者配置不足，那么Springboard进程在运行时可能会受到影响，导致崩溃。例如，如果设备的CPU负载过高，那么Springboard进程可能无法及时响应操作系统的请求，从而被终止。

       综上所述，Springboard崩溃的原因可能涉及软件错误、内存问题以及系统资源不足等多个方面。为了避免Springboard崩溃，用户可以尝试更新操作系统、关闭不必要的应用程序、清理内存等方法来优化设备性能。同时，开发者也应该注意编写高质量的代码，避免引入可能导致崩溃的错误和缺陷。

springboot教程菜鸟(springboot入门教程)

       学妹想学SpringBoot，连夜整理一篇SpringBoot入门最详细教程笔记

       凭借开箱即用，远离繁琐的配置等特性，SpringBoot已经成为Java开发者人人必学必会的开源项目。那么开发者该如何快速上手SpringBoot呢？

       那请问SpringBoot到底是啥？SpringBoot是Spring框架的扩展和自动化，它消除了在Spring中需要进行的XML（EXtensibleMarkupLanguage）文件配置（若习惯XML配置，则依然可以使用），使得开发变得更快、更高效、更自动化。

       微服务：每一个功能元素最终都是一个可独立替换和独立升级的软件单元。

       在maven的settings.xml配置文件的profiles标签添加以下配置：

       把maven整合到idea。

       项目目录：

       HelloWorldMainApplication：

       HelloController：

       运行结果：

       打开浏览器访问：

       1、济安线指标源码我们在pom.xml文件中假如以下代码：

       2、然后，我们将应用打包

       3、然后再target文件夹下就可以看到spring-boot--helloworld-1.0-SNAPSHOT.jar

       4、复制到桌面（随便哪，个人选择），打开cmd窗口，切换到jar包所在位置，我的是桌面，然后输入：java-jarspring-boot--helloworld-1.0-SNAPSHOT.jar，运行效果如下。

       5、打开浏览器访问：，同样可以看到HelloWord

       这样的部署就变得十分简单了。

       小伙伴们，帮忙一键三连呀

       题外话，我在一线互联网企业工作十余年里，指导过不少同行后辈。帮助很多人得到了学习和成长。

       我意识到有很多经验和知识值得分享给大家，也可以通过我们的能力和经验解答大家在Java学习中的很多困惑，所以在工作繁忙的情况下还是坚持各种整理和分享。但苦于知识传播途径有限，很多程序员朋友无法获得正确的资料得到学习提升

       故此将并将重要的Java进阶资料包括并发编程、JVM调优、SSM、设计模式、spring等知识技术、阿里面试题精编汇总、常见源码分析等录播视频免费分享出来，需要领取的麻烦评论区领取

从零开始学SpringBoot之SpringBootWebSocket原理篇

       前言：

这节我们介绍下WebSocket的原理。

       一、websocket与

       Upgrade:websocket

       Connection:Upgrade

       Sec-WebSocket-Key:x3JJHMbDL1EzLkh9GBhXDw==

       Sec-WebSocket-Protocol:chat,superchat

       Sec-WebSocket-Version:

       Origin:

       熟悉HTTP的童鞋可能发现了，这段类似HTTP协议的握手请求中，多了几个东西。我会顺便讲解下作用。

       2.1Upgrade和Connection

       Upgrade:websocket

       Connection:Upgrade

       这个就是Websocket的核心了，告诉Apache、Tomcat、Nginx等服务器：注意啦，我发起的是Websocket协议，快点帮我找到对应的助理处理~不是那个老土的HTTP。

       2.2Sec-WebSocket

       Sec-WebSocket-Key:x3JJHMbDL1EzLkh9GBhXDw==

       Sec-WebSocket-Protocol:chat,superchat

       Sec-WebSocket-Version:

       首先，?Sec-WebSocket-Key是一个Baseencode的值，这个是浏览器随机生成的，告诉服务器：你妹，不要忽悠窝，我要验证尼是不是真的是Websocket助理。

       然后，?Sec_WebSocket-Protocol是一个用户定义的字符串，用来区分同URL下，不同的服务所需要的协议。简单理解：今晚我要服务A，别搞错啦~

       最后，?Sec-WebSocket-Version是告诉服务器所使用的WebSocketDraft（协议版本），在最初的时候，Websocket协议还在Draft阶段，各种奇奇怪怪的协议都有，而且还有很多期奇奇怪怪不同的东西，什么Firefox和Chrome用的不是一个版本之类的，当初Websocket协议太多可是一个大难题。。不过现在还好，已经定下来啦~大家都使用的一个东西~脱水：服务员，我要的是岁的噢→_→

       然后服务器会返回下列东西，表示已经接受到请求，成功建立Websocket啦！

       HTTP/1.SwitchingProtocols

       Upgrade:websocket

       Connection:Upgrade

       Sec-WebSocket-Accept:HSmrc0sMlYUkAGmm5OPpG2HaGWk=

       Sec-WebSocket-Protocol:chat

       这里开始就是HTTP最后负责的区域了，告诉客户，我已经成功切换协议啦~

       Upgrade:websocket

       Connection:Upgrade

       依然是固定的，告诉客户端即将升级的是Websocket协议，而不是mozillasocket，lurnarsocket或者shitsocket。

       然后，?Sec-WebSocket-Accept这个则是经过服务器确认，并且加密过后的Sec-WebSocket-Key。服务器：好啦好啦，知道啦，给你看我的IDCARD来证明行了吧。后面的，Sec-WebSocket-Protocol则是表示最终使用的协议。

       至此，HTTP已经完成它所有工作了，接下来就是完全按照Websocket协议进行了。具体的协议就不在这阐述了。

       ——————技术解析部分完毕——————

       你说了这么久，那到底Websocket有什么鬼用，pressionThreshold"value=""/

       /bean

       /property

       propertyname="opTimeout"value=""/

       propertyname="timeoutExceptionThreshold"value=""/

       propertyname="locatorType"value="CONSISTENT"/

       propertyname="hashAlg"

       valuetype="net.spy.memcached.DefaultHashAlgorithm"KETAMA_HASH/value

       /property

       propertyname="failureMode"value="Redistribute"/

       propertyname="useNagleAlgorithm"value="false"/

       /bean

聊透Spring事件机制

       事件机制是Spring提供给企业级开发的利器，它以低耦合、无侵入的方式帮助解决复杂问题。机制由事件、发布器和监听器三部分构成：事件作为核心，发布器负责事件的发布，监听器则处理事件。本文将深入探讨Spring事件的核心工作机制，以及如何支持全局异常处理和异步执行。最后，我们将讨论Spring事件机制的现有缺陷和问题。

       Spring事件的使用

       理解Spring事件的基础，首先要明确其如何使用。通常，事件分为自定义事件和内置事件两种。自定义事件主要用于业务逻辑的扩展，而内置事件则多用于系统启动或关闭时的初始化或清理工作。

       1.1 自定义事件的使用

       自定义事件的使用灵活，能够根据业务需求进行定制，适用于各种特定场景。

       1.2 内置事件

       内置事件包括：

       ContextRefreshedEvent：在ApplicationContext的refresh()执行完成时触发，适用于系统启动后的初始化工作。

       ContextStartedEvent：在ApplicationContext的start()执行完成时触发，用于系统启动后的预热。

       ContextClosedEvent：在ApplicationContext的close()执行完成时触发，表示容器关闭，用于清理工作。

       ContextStoppedEvent：在ApplicationContext的stop()执行完成时触发，表示系统停止，用于清理资源。

       具体实现中，通常在这些事件触发时执行特定的初始化或清理逻辑。

       Spring事件的运行机制

       深入研究Spring事件机制，我们关注事件发布、广播和监听器处理。事件发布通过ApplicationContext或ApplicationEventPublisher完成，而事件的广播和处理则由ApplicationEventMulticaster负责。事件监听器处理事件，支持异步执行和指定执行顺序。

       2.1 事件发布

       事件发布通过ApplicationContext或ApplicationEventPublisher实现。通过注入ApplicationEventPublisher或ApplicationContext，可以直接发布事件。

       2.2 事件监听器

       事件监听器是事件处理的核心，通过ApplicationListener实现。监听器被Spring容器识别和注册，支持异步执行和优先级排序。

       异步处理事件

       通过注入TaskExecutor或使用@Async注解，可以实现事件的异步处理，提高系统响应速度。这使得事件机制更加灵活，能够适应高并发场景的需求。

       全局异常处理

       Spring事件处理默认是同步执行的，当一个监听器处理异常时，后续监听器将无法接收事件。通过设置全局异常处理器，可以统一处理异常，避免阻塞后续监听器。

       Spring事件机制的缺陷

       在探讨Spring事件机制的优点的同时，也需关注其存在的问题。发布阻塞是由于事件处理机制使用单线程或共享线程池，导致监听器执行速度互相影响。此外，无法为不同事件或监听器定制线程池，可能造成线程资源的浪费或拥堵。

       为解决上述问题，可采用内存队列（如Disruptor）存储事件，采用双总线实现自研EventBus，以提高事件处理的效率和灵活性。

最新常见BUG管理系统（缺陷管理系统）

       在众多的BUG管理系统中，一些如什么bugfree、禅道、EasyBUG、QC、redmine、jira、bugzilla等，因其界面丑陋、操作复杂、功能臃肿、学习曲线陡峭且价格高昂，往往让人望而却步。对于这类软件，我不会赘述，有兴趣的读者可自行研究。

       进入主题，我推荐一款名为CRAP的BUG管理系统。CRAP是一个开源的BUG管理系统，采用了Java+Mybatis+SpringMVC+Angularjs+Iconfont的开发架构，集合了当前主流技术，非常适合需要二次开发的用户。

       CRAP系统更新频繁，每周都有新功能的加入，且完全免费开源。用户只需通过GitHub或Gitee账号即可登录使用，同时，企业用户也能够部署在内网上使用。CRAP不仅仅是一个BUG管理系统，它还提供了接口管理、数据库表管理、文档管理等常用开发功能，以及集成接口调试工具ApiDebug，是接口开发人员的必备工具。

       此外，还有蒲公英旗下的BUG管理系统——tracup。蒲公英是一个被软件开发者熟知的网站，tracup提供了bug追踪、项目协作等功能，有助于提升团队开发效率。

       ONES则是另一款提供企业级研发管理解决方案的BUG管理系统。ONES旨在为企业提供全面的研发管理工具，覆盖需求、设计、开发、测试、运维等各个环节，帮助团队实现高效协作与管理。