临界区与 lock 关键字
核心作用：
通过将多线程访问串行化，保护共享资源或代码段。lock 关键字是 Monitor 类的语法糖，提供异常安全的临界区实现。
实现示例：
// 创建私有静态只读对象 // private static readonly object _lockObj = new object(); private static readonly System.Threading.Lock _locker = new(); // .NET 9+ 推荐使用 Lock 类型，避免传统 object 的性能损耗 public void ThreadSafeMethod() { lock (_lockObj) { // 临界区代码（每次仅一个线程可进入） } }超时机制：
高并发场景可结合 Monitor.TryEnter 设置超时，避免无限等待：
if (Monitor.TryEnter(lockObject, TimeSpan.FromSeconds(1))) { try { /* 操作 */ } finally { Monitor.Exit(lockObject); } }关键特性：
用户态锁（无内核切换开销）
自动调用Monitor.Enter和Monitor.Exit
必须使用专用私有对象作为锁标识
注意事项：
❌ 避免锁定this、Type实例或字符串（易引发死锁）
❌ 避免嵌套锁（需严格按顺序释放）
✅ 推荐readonly修饰锁对象
❌ lock 不适用于异步代码（async/await），需使用 SemaphoreSlim 实现异步锁
互斥锁（Mutex）
核心作用：
系统级内核锁，支持跨进程同步，但性能开销较高（用户态/内核态切换）。
实现示例：
using var mutex = new Mutex(false, "Global\\MyAppMutex"); try { // 等待锁（最大等待时间500ms） if (mutex.WaitOne(500)) { // 临界区代码 } } finally { if (mutex != null) { mutex.ReleaseMutex(); } }关键特性：
支持跨应用程序域同步
线程终止时自动释放锁
支持命名互斥体（系统全局可见）
适用场景：
单实例应用程序控制
进程间共享文件访问
硬件设备独占访问
信号量（Semaphore）
核心作用：
通过许可计数器控制并发线程数，SemaphoreSlim为轻量级版本（用户态实现）。
实现对比：
类型 跨进程 性能 最大许可数 Semaphore ✔️ 低 系统限制 SemaphoreSlim ❌ 高 Int32.Max 代码示例：
// 创建初始3许可、最大5许可的信号量 var semaphore = new SemaphoreSlim(3, 5); semaphore.Wait(); // 获取许可 try { // 资源访问代码 } finally { semaphore.Release(); }异步编程
private readonly SemaphoreSlim _asyncLock = new(1, 1); public async Task UpdateAsync() { await _asyncLock.WaitAsync(); try { /* 异步操作 */ } finally { _asyncLock.Release(); } }典型应用：
数据库连接池（限制最大连接数）
API 请求限流
批量任务并发控制
事件（Event）
核心机制：
通过信号机制实现线程间通知，分为两种类型：
类型 信号重置方式 唤醒线程数 AutoResetEvent 自动 单个 ManualResetEvent 手动 所有 使用示例：
var autoEvent = new AutoResetEvent(false); // 等待线程 Task.Run(() => { autoEvent.WaitOne(); // 收到信号后执行 }); // 信号发送线程 autoEvent.Set(); // 唤醒一个等待线程高级用法：
配合WaitHandle.WaitAll实现多事件等待
使用ManualResetEventSlim提升性能
读写锁（ReaderWriterLockSlim）
核心优势：
实现读写分离的并发策略，适合读多写少场景（如缓存系统）。
锁模式对比：
模式 并发性 升级支持 读模式(EnterReadLock) 多线程并发读 ❌ 写模式(EnterWriteLock) 独占访问 ❌ 可升级模式 单线程读→写 ✔️ 代码示例：
var rwLock = new ReaderWriterLockSlim(); // 读操作 rwLock.EnterReadLock(); try { // 只读访问 } finally { rwLock.ExitReadLock(); } // 写操作 rwLock.EnterWriteLock(); try { // 排他写入 } finally { rwLock.ExitWriteLock(); }最佳实践：
优先使用ReaderWriterLockSlim（旧版有死锁风险）
避免长时间持有读锁（可能饿死写线程）
原子操作（Interlocked）
原理：
通过CPU指令实现无锁线程安全操作。
常用方法：
int counter = 0; Interlocked.Increment(ref counter); // 原子递增 Interlocked.Decrement(ref counter); // 原子递减 Interlocked.CompareExchange(ref value, newVal, oldVal); // CAS操作适用场景：
简单计数器
标志位状态切换
无锁数据结构实现
自旋锁（SpinLock）
核心特点：
通过忙等待（busy-wait）避免上下文切换，适用极短临界区（<1微秒）。
实现示例：
private SpinLock _spinLock = new SpinLock(); public void CriticalOperation() { bool lockTaken = false; try { _spinLock.Enter(ref lockTaken); // 极短临界区代码 } finally { if (lockTaken) _spinLock.Exit(); } }优化技巧：
单核CPU需调用Thread.SpinWait或Thread.Yield
配合SpinWait结构实现自适应等待
同步机制对比指南
机制 跨进程 开销级别 最佳适用场景 lock ❌ 低 通用临界区保护 Mutex ✔️ 高 进程间资源独占 Semaphore ✔️ 中 并发数限制（跨进程） SemaphoreSlim ❌ 低 并发数限制（进程内） ReaderWriterLockSlim ❌ 中 读多写少场景 SpinLock ❌ 极低 纳秒级临界区 Interlocked - 无锁 简单原子操作
选择原则：
优先考虑用户态锁（lock/SpinLock/SemaphoreSlim）
跨进程需求必须使用内核对象（Mutex/Semaphore）
读写比例超过10:1时考虑读写锁
自旋锁仅用于高频短操作（如链表指针修改）
通过以上结构化的分类和对比，开发者可以更精准地选择适合特定场景的线程同步方案。建议在实际使用中配合性能分析工具（如BenchmarkDotNet）进行量化验证。
💡 ASP.NET 的异步编程（async/await）本质是单进程内的线程调度，不算“跨进程”。每个 IIS 应用程序池对应一个独立的工作进程（w3wp.exe），不同用户访问同一应用程序池下的 ASP.NET 网站，两者的请求均由同一个 w3wp.exe 进程处理。可能跨进程的场景有：Web Garden 配置、多应用程序池部署等。
在 C# 中，除了常规锁机制（如 lock、Mutex、Semaphore 等），还有一些内置类型通过内部锁或无锁设计实现线程安全。以下是常见的几类：
线程安全集合（System.Collections.Concurrent）这些集合通过细粒度锁或无锁算法（如 CAS）实现线程安全，适合高并发场景。
ConcurrentDictionary：分段锁机制，将数据分片存储，每个分片独立加锁，减少锁竞争。
ConcurrentQueue / ConcurrentStack：基于原子操作（Interlocked）保证线程安全。
ConcurrentBag：每个线程维护本地存储，减少争用，适合频繁添加和移除的场景。
BlockingCollection：基于 ConcurrentQueue 和信号量（SemaphoreSlim）实现生产-消费者模式，支持阻塞和超时。
不可变集合（System.Collections.Immutable） 通过数据不可变性实现线程安全（无需锁），每次修改返回新对象。
Lazy 的线程安全初始化（Lazy<T>） 通过锁或 Interlocked 确保延迟初始化的线程安全。
通道（System.Threading.Channels）用于异步生产-消费者模型，内部通过锁和信号量管理容量限制。
内存缓存（System.Runtime.Caching.MemoryCache）内部使用锁保护共享状态，确保线程安全。
原子操作类型（Interlocked 类、Volatile 关键字、Unsafe 类）通过 CPU 指令实现无锁线程安全。
其他同步工具（Barrier、CountdownEvent）虽然不是严格意义上的锁，但用于协调线程。
| 字段 | MySQL 中的类型和精度 | MySQL 中占用字节 | 原因说明 |
| 股票价格 | DECIMAL(10,2) | 5 | 股票价格四舍五入保留两位小数，避免浮点型精度丢失。 即使最贵的股票价格并没有超过 9999.99 元，但考虑到复权价和扩展性，建议用更大的类型。 |
| 基金价格 | 基金价格四舍五入保留三位小数，避免浮点型精度丢失。 | ||
| 精确的成交金额（元）、成交量（手） | BIGINT UNSIGNED | 8 | 取值范围 0 到 1844,6744,0737,0955,1615（即一千多个亿亿）。 2024年A股总成交金额为257万亿元。 |
| 不精确的成交金额、成交量 | float | 4 | 取值范围足够大，有效数字约为6-7位。 |
| 交易日 | DATE | 3 | 包括年、月、日 |
| 交易时间 | DATETIME | 8 | 精确到分钟 |
| 6位股票代码 | CHAR(6) | 6 | 6个半角字符占6个字节 |
| 股票名称 | VARCHAR(10) | utf-8 的一个汉字占3个字节 |
| 方法/工具 | 发布时间 | 所属框架 | 命名空间/依赖项 | 编码标准 | 空格处理 | 严格性 | 适用场景 | 现代项目支持（.NET 6+） |
|---|---|---|---|---|---|---|---|---|
| HttpUtility.UrlEncode | 2002 | .NET Framework 1.0+ | System.Web（需引用 DLL） | x-www-form-urlencoded | + | 宽松 | 传统 ASP.NET WebForms | ❌ |
| Server.UrlEncode | 2002 | .NET Framework 1.0+ | System.Web（ASP.NET 页面内） | x-www-form-urlencoded | + | 宽松 | ASP.NET WebForms 页面内编码 | ❌ |
| Uri.EscapeDataString | 2005 | .NET Framework 2.0+ | System（核心库） | RFC 3986 | %20 | 严格 | 构造 URI 组件（路径、查询参数） | ✔️ |
| WebUtility.UrlEncode | 2012 | .NET Framework 4.5+ | System.Net（跨平台） | x-www-form-urlencoded | + | 宽松 | 非 Web 环境或兼容旧代码 | ✔️ |
| UrlEncoder.Default.Encode | 2016 | .NET Core 1.0+ | System.Text.Encodings.Web | RFC 3986 | %20 | 严格 | 现代应用，严格 URI 编码 | ✔️ |
关键选择原则
兼容旧代码 → HttpUtility.UrlEncode 或 WebUtility.UrlEncode。
严格 URI 规范 → Uri.EscapeDataString 或 UrlEncoder。
ASP.NET Core → UrlEncoder。
非 Web 或跨平台 → 弃用 System.Web，选择 System.Net 或 System.Text.Encodings.Web 中的方法。
打开“任务计划程序”（taskschd.msc）
点击右侧“创建任务”
填写“名称”
“安全选项”根据实际情况设置
如果选择“不管用户是否登录都要运行”，则启动成功后不会显示窗口（任务管理器中可见进程）
如果选择“只在用户登录时运行”启动成功后会显示窗口，但系统重启后需要进入系统才能运行此计划
“触发器”新建，勾选“重复任务间隔”选最短，“持续时间”无限期，并取消“任务的执行时间超过此值则停止执行”
“操作”新建，启动程序，浏览程序或脚本
“设置”请勿启动新实例（只判断它启动的实例，不判断手动打开的或开机启动的实例），其它选项按需设置
设置完成
设置完成后查看“上次运行结果”。
尚未运行，显示：（0xC000013A)
第一次运行，显示：正在运行任务。(0x41301)
从第二次起，显示：操作员或系统管理员拒绝了请求。（0x800710E0)
打开 .csproj 项目文件，在 <PropertyGroup> 标签内添加：
<Version>
1.0.$([System.Math]::Floor($([System.DateTime]::Now.Subtract($([System.DateTime]::Parse('2000-01-01T00:00:00Z'))).TotalDays))).$([MSBuild]::Divide($([System.Math]::Floor($([System.DateTime]::Now.TimeOfDay.TotalSeconds))), 2))
</Version>最终生成的版本号示例： 1.0.9238.28518
其中，Major 与 Minor 是固定的，Build 是2000年1月1日至今的天数，Revision 是今天的秒数 / 2 所得的值。（为了防止数值超过 65535）
程序中获取版本号：
var version = Assembly.GetExecutingAssembly().GetName().Version!; // 当前类库
var version = Assembly.GetEntryAssembly()?.GetName().Version!; // 入口项目从版本号获取发布时间：
DateTime versionTime = new DateTime(2000, 1, 1).AddDays(version.Build).AddSeconds(version.Revision * 2);在解决方案资源管理器中找到 Properties/AssemblyInfo.cs 文件。该文件存放程序集版本信息。
修改版本号格式
将以下代码片段中的 AssemblyVersion 改为使用星号通配符（建议保留主版本和次版本号）：
[assembly: AssemblyVersion("1.0.*")] // 自动生成构建号和修订号 // [assembly: AssemblyFileVersion("1.0.0.0")] // 注释或删除此行关闭确定性构建
用文本编辑器打开 .csproj 项目文件，在 <PropertyGroup> 标签内添加：
<Deterministic>false</Deterministic>此设置允许 MSBuild 生成动态版本号。
最终生成的版本号示例： 1.0.9238.28518
其中，Major 与 Minor 是固定的，Build 是2000年1月1日至今的天数，Revision 是今天的秒数 / 2 所得的值。（为了防止数值超过 65535）
程序中获取版本号：
var version = Assembly.GetExecutingAssembly().GetName().Version;从版本号获取发布时间：
DateTime versionTime = new DateTime(2000, 1, 1).AddDays(version.Build).AddSeconds(version.Revision * 2);查看 .NET Core / .NET 5+ 实现自动版本号的方法
本文介绍 Token 认证和 HMAC 认证两种方式。
一、Token 接口认证方式
原理：
客户端使用账号密码等信息登录，服务器验证通过后生成一个 Token 发送给客户端。客户端在后续的请求中携带这个 Token，服务器通过验证 Token 来确认用户的身份和权限。
应用场景：移动应用、Web 应用（特别是 SPA）
优点：
无状态性，即服务器不需要存储用户的会话信息。
易于实现跨域认证。
缺点：
Token 可能被窃取，应使用 HTTPS、不暴露在 URL 中、使用 HttpOnly 的 Cookie、对 Session ID 进行验证、设置合理过期时间、对 Token 进行加密等措施加强防范。
二、HMAC 接口认证方式
原理：
客户端将消息M与密钥K连接起来，通过哈希函数计算得到 HMAC 值，发送给服务器。服务器收到请求后，使用相同的密钥和请求参数重新计算 HMAC 值，如果与客户端发送的签名一致，即是合法请求。
优点：
安全性较高，攻击者很难伪造 HMAC 值，截获并篡改数据也无法通过服务端验证。
计算效率较高，哈希函数（如 MD5、SHA-1、SHA-256 等）计算效率比较高。
缺点：
密钥的更新和管理比较麻烦。
扩展：
在消息体中添加时间戳以防止重放攻击。
加密隐私数据：可以使用对称加密算法（如 AES）或非对称加密算法（如 RSA、ECC 等）对部分隐私数据进行加密。非对称算法虽然更安全，但速度较慢，如需加密大量数据，可以考虑使用对称加密算法进行加密，然后使用非对称加密算法对对称密钥进行加密。
前几天实现了在 nginx 中使用 lua 实现远程鉴权，今天想试试在 IIS 中能不能实现相同的功能。查询资料发现需要使用 URL 重写和 HTTP 请求模块，没有深究。干脆使用 ASP.NET 中间件来实现吧。
在 StratUp.cs 的 Configure 方法中，或 Program.cs 文件中添加以下代码：
// 远程鉴权
app.Use(async (context, next) =>
{
var ip = context.Connection.RemoteIpAddress!.ToString();
var ua = context.Request.Headers.UserAgent.ToString();
var host = context.Request.Host.Host;
var uri = new Uri(context.Request.GetDisplayUrl()).PathAndQuery;
var client = new HttpClient();
client.Timeout = TimeSpan.FromSeconds(1); // 设置超时时间
try
{
var requestUrl = "https://鉴权地址/";
var requestMessage = new HttpRequestMessage(HttpMethod.Get, requestUrl);
requestMessage.Headers.Add("X-Real-IP", ip);
requestMessage.Headers.Add("User-Agent", ua);
requestMessage.Headers.Add("X-Forwarded-Host", host);
requestMessage.Headers.Add("X-Forwarded-Uri", uri);
// 发送请求
var response = await client.SendAsync(requestMessage);
// 检查响应状态码
if (response.StatusCode == HttpStatusCode.Forbidden)
{
// 如果返回403，则拒绝访问
context.Response.StatusCode = (int)HttpStatusCode.Forbidden;
await context.Response.WriteAsync("Access Denied");
}
else
{
// 如果返回其他状态码，则继续执行管道中的下一个中间件
await next();
}
}
catch (TaskCanceledException ex) when (ex.CancellationToken.IsCancellationRequested)
{
// 如果请求超时（任务被取消），则继续执行管道中的下一个中间件
await next();
}
catch
{
// 如果遇到错误，则继续执行管道中的下一个中间件
await next();
}
});代码很简单，使用 HttpClient 发送请求，若返回 403 则拒绝访问，其它情况继续执行业务逻辑，超时或报错的情况按需修改即可。
若鉴权接口在私网中，建议将鉴权接口域名和私网 IP 添加到 hosts 文件中。
http {
...
lua_shared_dict cpu_cache 1m; # 定义共享字典用于缓存 CPU 使用率
access_by_lua_block {
local cpu_cache = ngx.shared.cpu_cache
local cache_time = cpu_cache:get("cache_time") or 0
local current_time = ngx.now()
if current_time - cache_time > 5 then -- 每 5 秒更新一次
local cpu_info = io.popen("top -bn1 | grep 'Cpu(s)'"):read("*all")
local cpu_usage = cpu_info:match("(%d+%.%d+) id") -- 获取空闲 CPU 百分比
local cpu_used = 100 - tonumber(cpu_usage) -- 计算使用率
cpu_cache:set("cpu_usage", cpu_used)
cpu_cache:set("cache_time", current_time)
end
local cpu_usage = cpu_cache:get("cpu_usage")
ngx.log(ngx.INFO, "CPU 使用率: " .. cpu_usage .. "%")
-- 将 cpu_usage 发送到远程鉴权接口，可根据服务器压力来决定是否拒绝一些不重要的请求
}
}代码解析：
共享字典：使用 lua_shared_dict 定义一个共享字典 cpu_cache，用于存储 CPU 使用率和缓存时间。
获取 CPU 使用率：在 access_by_lua_block 中，检查缓存时间，如果超过 5 秒，则重新获取 CPU 使用率，并更新共享字典。
记录日志：使用 ngx.log 将 CPU 使用率记录到 Nginx 日志中。
注意事项：
确保 Nginx 配置中已经加载了 Lua 模块（如 ngx_http_lua_module）。
根据实际需求调整缓存时间，以平衡性能和数据的实时性。
尝试过使用 ifconfig 或 ip 命令获取网卡流量，在宝塔面板中失败了，怀疑是权限问题，有空再研究。临时方案是鉴权接口定时调用宝塔面板 API 或阿里云控制台 API 来获取 ECS 的 CPU 和带宽使用率。
今天早上同事反映论坛某管理账号无法登录，于是我尝试用创始人账号登录，也不行，第一反应就是中招了。
于是进阿里云控制台，发现云安全中心有许多安全警告，类型是网站后门，幸好 nginx 中设置了仅部分文件可执行 PHP，这些后门文件无法被执行。
尝试在 config_global_default.php 文件中添加创始人，但账号必须是副站长等管理账号才能成为创始人。
于是借用一个小号，从表 pre_ucenter_members 中将这个小号的 password 和 salt 复制到创始人账号中，这样创始人账号就可以用这个小号的密码登录了。
进入论坛后台，在 工具-运行记录-系统记录-后台访问 中查看入侵时间段的记录（操作、时间、IP 等），可搜索。
发现基本上在操作模板管理和专题管理。
对比时间，发现进入后台操作在先，上传后门在后。
查询 web 访问日志，通过访问文件路径或 IP 查询，在进入论坛后台之间，他进入了 UCenter 的后台，但是再往前就没有记录了。
因此基本可以确定：
黑客从 UCenter 修改了某管理员账号的密码（可能是利用漏洞），然后登录论坛后台修改了创始人的密码（可能也是用 UCenter 改的），通过模板管理和专题管理功能的上传功能上传了后门文件。
索性他没有对数据进行破坏性处理，也没有挂马，只是发现后门文件无法执行就放弃了。