来源：互联网

TCP状态：

LISTEN：侦听来自远方的TCP端口的连接请求
SYN-SENT：再发送连接请求后等待匹配的连接请求
SYN-RECEIVED：再收到和发送一个连接请求后等待对方对连接请求的确认
ESTABLISHED：代表一个打开的连接
FIN-WAIT-1：等待远程TCP连接中断请求，或先前的连接中断请求的确认
FIN-WAIT-2：从远程TCP等待连接中断请求
CLOSE-WAIT：等待从本地用户发来的连接中断请求
CLOSING：等待远程TCP对连接中断的确认
LAST-ACK：等待原来的发向远程TCP的连接中断请求的确认
TIME-WAIT：等待足够的时间以确保远程TCP接收到连接中断请求的确认
CLOSED：没有任何连接状态… 阅读全文

来源：互联网

一.什么是cookies？

大家都知道，浏览器与WEB服务器之间是使用HTTP协议进行通信的，当某个用户发出页面请求时，WEB服务器只是简单的进行响应，然后就关闭与该用户的连接。因此当一个请求发送到WEB服务器时，无论其是否是第一次来访，服务器都会把它当作第一次来对待，这样的不好之处可想而知。为了弥补这个缺陷，Netscape开发出了cookie这个有效的工具来保存某个用户的识别信息，因此人们昵称为“小甜饼”。cookies是一种WEB服务器通过浏览器在访问者的硬盘上存储信息的手段：Netscape Navigator使用一个名为cookies.txt本地文件保存从所有站点接收的Cookie信息；而IE浏览器把Cookie信息保存在类似于C://windows//cookies的目录下。当用户再次访问某个站点时，服务端将要求浏览器查找并返回先前发送的Cookie信息，来识别这个用户。
cookies给网站和用户带来的好处非常多：
1、Cookie能使站点跟踪特定访问者的访问次数、最后访问时间和访问者进入站点的路径
2、Cookie能告诉在线广告商广告被点击的次数，从而可以更精确的投放广告
3、Cookie有效期限未到时，Cookie能使用户在不键入密码和用户名的情况下进入曾经浏览过的一些站点
4、Cookie能帮助站点统计用户个人资料以实现各种各样的个性化服务
在JSP中,我们也可以使用Cookie,来编写一些功能强大的应用程序。
下面,我想介绍一下如何用JSP创建和处理Cookie。

二．如何创建Cookie

import="javax.servlet.http.Cookie"
说了这么多，大家一定很想知道JSP是如何创建cookie了。JSP是使用如下的语法格式来创建cookie的：
Cookie cookie_name =new Cookie("Parameter","Value");
例如：
Cookie username_Cookie =new Cookie("username","waynezheng");
response.addCookie(username_Cookie);
解释：JSP是调用Cookie对象相应的构造函数Cookie(name,value)用合适的名字和值来创建Cookie，然后Cookie可以通过HttpServletResponse的addCookie方法加入到Set-Cookie应答头，
本例中Cookie对象有两个字符串参数：username,waynezheng。注意，名字和值都不能包含空白字符以及下列字符：@ : ;? , " / [ ] ( ) =
处理Cookie的属性

看到这里，有的朋友又要问了：我光知道如何创建Cookie有什么用呀？是呀，光知道如何创建Cookie而不知道怎么使用是不够的。
在JSP中，程序是通过cookie.setXXX设置各种属性，用cookie.getXXX读出cookie的属性，现在把Cookie的主要属性，及其方法列于下，供大家参考：

类型 … 阅读全文

来源：互联网

Cookie真是一个伟大的发明，它允许web开发者保留他们的用户的登录状态。然而，当你的站点或网络 
有一个以上的域名时就会出现问题了。 
在Cookie规范上说，一个cookie只能用于一个域名，不能够发给其它的域名。因此，如果在浏览器中对 
一个域名设置了一个cookie，这个cookie对于其它的域名将无效。如果你想让你的用户从你的站点中的其中 
一个进行登录，同时也可以在其它域名上进行登录，这可真是一个大难题。 
我的解决方案将使用下面的一般框架： 
一个预置的脚本将用来接受通过GET或COOKIE方式传递过来的sessionid号。它将比COOKIE优先选择GET 
变量。所以，无论何时需要引用交叉的域名时，我们把sessionid做为一个URL参数进行发送。 
修改Apache配置，用来实现重写所有的交叉域名的cookie。这样做的原因一会儿就会清楚了。 
在任何时候出现一个交叉域名引用时使用变量。 
第一步：创建预置脚本 
将下面的代码加到预置脚本中(或出现在所有脚本之前的函数中)。 
<?php 
/* 支持交叉域名cookie… */ 
// 如果GET变量已经设置了，并且它与cookie变量不同 
//则使用get变量(更新cookie) 
global $HTTP_COOKIE_VARS, $HTTP_GET_VARS; 
if (isset($sessionid) && isset($HTTP_GET_VARS[\’sessionid\’]) && ($HTTP_COOKIE_VARS[\’sessionid\’] != $HTTP_GET_VARS[\’sessionid\’])) { 
SetCookie(\’sessionid\’, $HTTP_GET_VARS[\’sessionid\’], 0, \’/\’, \’\’); 
$HTTP_COOKIE_VARS[\’sessionid\’] = $HTTP_GET_VARS[\’sessionid\’];  … 阅读全文

Tomcat是我们最长用的java应用服务器之一了，但当tomcat工作时到底给他分配多少内存合适？本文方法也适用普通java的进程。

一．Tomcat内存构成 

Tomcat是java程序，他在运行时是标准的jvm进程，内存分配情况如下图所示。

Jvm的堆内存大概分为：年轻代，年老代，持久代 三个主要部分。

其中年轻代，分为：Eden space， From space ， To  Space 三个部分。

 … 阅读全文

来源：互联网

在Web应用中，Cookie很容易成为安全问题的一部分。从以往的经验来看，对Cookie在开发过程中的使用，很多开发团队并没有形成共识或者一定的规范，这也使得很多应用中的Cookie成为潜在的易受攻击点。在给Web应用做安全架构评审（Security architecture review）的时候，我通常会问设计人员以下几个问题：

1. 你的应用中，有使用JavaScript来操作客户端Cookie吗？如果有，那么是否必须使用JavaScript才能完成此应用场景？如果没有，你的Cookie允许JavaScript来访问吗？
2. 你的网站（可能包含多个Web应用）中，对于Cookie的域（Domain）和路径（Path）设置是如何制定策略的？为何这样划分？
3. 在有SSL的应用中，你的Cookie是否可以在HTTP请求和HTTPS请求中通用？

在实际的应用场景中，Cookie被用来做得最多的一件事是保持身份认证的服务端状态。这种保持可能是基于会话（Session）的，也有可能是持久性的。不管哪一种，身份认证Cookie中包含的服务端票据（Ticket）一旦泄露，那么服务端将很难区分带有此票据的用户请求是来自于真实的用户，或者是来自恶意的攻击者。在实际案例中，造成Cookie泄露最多的途径，是通过跨站脚本（XSS, Cross Site Script）漏洞。攻击者可以通过一小段JavaScript代码，偷窃到代表用户身份的重要的Cookie标示。由于跨站脚本漏洞是如此的普遍（不要以为简单的HTML Encode就可以避免被跨站，跨站是一门很深的学问，以至于在业界衍生出一个专用的名词：跨站师），几乎每一个网站都无法避免，所以这种方式是实际攻防中被普遍使用的一种手段。

避免出现这种问题的首要秘诀就是尽所有的可能，给你的Cookie加上HttpOnly的标签。HttpOnly的具体使用不在本文的讨论范围内，否则作者略有骗InfoQ稿酬的嫌疑。一个大家所不太熟悉的事实是，HttpOnly是由微软在2000年IE6 Sp1中率先发明并予以支持的。截止现在，HttpOnly仍然只是一个厂商标准，但是在过去的十余年中，它得到了众多浏览器的广泛支持。

下表是OWASP整理的关于主流浏览器对HttpOnly支持情况的一个总结。从表中可以看出，目前主流的浏览器，除了Android之外，几乎都无一例外对这一属性予以了支持。

当然对于中国开发者来说，需要考虑的问题更加复杂一些：在这个神奇的地方，有大量的用户使用的浏览器并不在以下的列表中，他们使用的是以下面浏览器中的一种或者数种为内核的“精装版”浏览器。这些浏览器厂商对于同源策略、HttpOnly Cookie、证书管理等安全规范的支持情况，有待于进一步调查。

来源：互联网

CLOSE_WAIT状态的生成原因

重用本地地址和端口

从容关闭还是强行关闭？

总结

摘要：本文阐述了为何socket连接锁定在CLOSE_WAIT状态，以及通过什么措施力求避免这种情况。

不久前，我的Socket Client程序遇到了一个非常尴尬的错误。它本来应该在一个socket长连接上持续不断地向服务器发送数据，如果socket连接断开，那么程序会自动不断地重试建立连接。

有一天发现程序在不断尝试建立连接，但是总是失败。用netstat查看，这个程序竟然有上千个socket连接处于CLOSE_WAIT状态，以至于达到了上限，所以无法建立新的socket连接了。

为什么会这样呢？

它们为什么会都处在CLOSE_WAIT状态呢？
CLOSE_WAIT状态的生成原因

首先我们知道，如果我们的Client程序处于CLOSE_WAIT状态的话，说明套接字是被动关闭的！

因为如果是Server端主动断掉当前连接的话，那么双方关闭这个TCP连接共需要四个packet：

       Server  —  FIN  —  Client

       Server  —  ACK  —  Client

    这时候Server端处于FIN_WAIT_2状态；而我们的程序处于CLOSE_WAIT状态。

       Server  —  FIN  —  Client

这时Client发送FIN给Server，Client就置为LAST_ACK状态。

        Server  —  ACK  —  … 阅读全文

来源：互联网

一般HTTP通信时，会使用Content-Length头信息性来通知用户代理（通常意义上是浏览器）服务器发送的文档内容长度，该头信息定义于HTTP1.0协议RFC  1945  10.4章节中。浏览器接收到此头信息后，接受完Content-Length中定义的长度字节后开始解析页面，但如果服务端有部分数据延迟发送吗，则会出现浏览器白屏，造成比较糟糕的用户体验。

解决方案是在HTTP1.1协议中，RFC  2616中14.41章节中定义的Transfer-Encoding: chunked的头信息，chunked编码定义在3.6.1中，所有HTTP1.1 应用都支持此使用trunked编码动态的提供body内容的长度的方式。进行Chunked编码传输的HTTP数据要在消息头部设置：Transfer-Encoding: chunked表示Content Body将用chunked编码传输内容。根据定义，浏览器不需要等到内容字节全部下载完成,只要接收到一个chunked块就可解析页面.并且可以下载html中定义的页面内容,包括js,css,image等。

采用chunked编码有两种选择,一种是设定Server的IO buffer长度让Server自动flush buffer中的内容，另一种是手动调用IO中的flush函数。不同的语言IO中都有flush功能：

l php:    ob_flush(); flush(); 

l perl:   STDOUT->autoflush(1); 

l java:  out.flush(); 

l python:  sys.stdout.flush() 

l ruby:  stdout.flush 

采用HTTP1.1的Transfer-Encoding:chunked,并且把IO的buffer flush下来,以便浏览器更早的下载页面配套资源。当不能预先确定报文体的长度时，不可能在头中包含Content-Length域来指明报文体长度，此时就需要通过Transfer-Encoding域来确定报文体长度。

Chunked编码一般使用若干个chunk串连而成，最后由一个标明长度为0的chunk标示结束。每个chunk分为头部和正文两部分，头部内容指定下一段正文的字符总数（非零开头的十六进制的数字）和数量单位（一般不写,表示字节）.正文部分就是指定长度的实际内容，两部分之间用回车换行(CRLF)隔开。在最后一个长度为0的chunk中的内容是称为footer的内容，是一些附加的Header信息（通常可以直接忽略）。

上述解释过于官方，简而言之，chunked编码的基本方法是将大块数据分解成多块小数据，每块都可以自指定长度，其具体格式如下(BNF文法)：

Chunked-Body   = *chunk            //0至多个chunk

last-chunk         //最后一个chunk

trailer            … 阅读全文