严重性代码说明项目文件行禁止显示状态
错误CS0121以下方法或属性之间的调用具有二义性:“System.Linq.Queryable.Where<TSource>(System.Linq.IQueryable<TSource>, System.Linq.Expressions.Expression<System.Func<TSource, bool>>)”和“System.Linq.AsyncEnumerable.Where<TSource>(System.Collections.Generic.IAsyncEnumerable<TSource>, System.Func<TSource, bool>)”活动
The call is ambiguous between the following methods or properties.
引用的扩展或其版本有冲突，暂时在查找的表后面加上“AsQueryable()”解决。
刚开始，新增了名为 video 的用户群组，新增了名为 tv 的用户帐号，关联到这个群组，是能够在 DS video 中登录的。但今天登录却提示：
帐号或密码有误。请再试一次。
在勾选了这个帐号的所有权限和应用程序仍然无果后，尝试关联到 administrators 群组能正常登录。当然为了安全性，这个群组是不能随便关联的。
查阅了官网关于 DS video 的文档 https://www.synology.com/zh-cn/knowledgebase/Mobile/help/DSvideo，如果登录失败，请进行以下操作：请以 admin（或属于 administrators 群组的用户）的身份登录到 DSM，然后进入控制面板 > 权限以检查用户帐户是否有使用 Video Station 的权限。
既然官方建议使用 administrators 群组，那基本上没有其它的好办法了。
tv 帐号关联到 administrators 群组，并将所有权限“禁止访问”，将除“Video Station”外的所有其它应用程序设置为“拒绝”。
最后，尝试在 DSM 上登录 tv 帐号，提示：
您没有权限使用本项服务。
那就放心了。
Discuz! 的“词语过滤”支持替换功能，并且借用替换的思想实现禁止发布。
添加关键词举例：
| a=b | a 将被替换成 b |
| a={BANNED} | 包含 a 的内容将被禁止发布 |
| a={MOD} | 包含 a 的内容将进入人工审核通道 |
| a | a 将被替换成 ** |
另外注意几个要点：
替换前的内容可以使用限定符 {x} 以限定相邻两字符间可忽略的文字，x 是忽略的字节数。如 "a{1}s{2}s"(不含引号) 可以过滤 "ass" 也可过滤 "axsxs" 和 "axsxxs" 等等。对于中文字符，若使用 GBK、Big-5 版本，每个中文字符相当于 2 个字节；若使用 UTF-8 版本，每个中文字符相当于 3 个字节。
不良词语如果以"/"(不含引号)开头和结尾则表示格式为正则表达式，这时替换内容可用"(n)"引用正则中的子模式，如"/1\d{10}([^\d]+|$)/"替换为"手机(1)"。
不支持通配符。
系统在发帖时判断并替换过滤词语，数据库中保存的是替换后的内容。因此新添加的词语并不会对旧帖产生影响。
该功能对应数据库表：pre_common_word
在学习和使用 ASP.NET Web API 之前，最好先对 RESTful 有所了解。它是一种软件架构风格、设计风格，而不是标准。
推荐视频教程：https://www.imooc.com/learn/811
讲师：会飞的鱼Xia
需时：2小时25分
REST API 测试工具：
在 Chrome 网上应用店中搜索：Restlet Client
或网站 https://client.restlet.com
>>> 资源路径
SCHEME :// HOST [ ":" PORT ] [ PATH [ "?" QUERY ]]
其中 PATH 中的资源名称应该使用复数名词，举例：
GET https://xoyozo.net/api/Articles/{id}
POST https://xoyozo.net/api/Articles
>>> HTTP verb（对应 CURD 操作）：
| 方法 | 功能 | ASP.NET Web API 接口返回类型（一般的） |
|---|---|---|
| GET | 取一个或多个资源 | T 或 IEnumerable<T> |
| POST | 增加一个资源 | T |
| PUT | 修改一个资源 | T |
| DELETE | 删除一个资源 | void |
| PATCH | 更新一个资源（资源的部分属性） | |
| HEAD | 获取报头 | |
| OPTIONS | 查询服务器性能或资源相关选项和需求 |
>>> 过滤信息：
如分页、搜索等
>>> 常用状态码：
| 200 | OK | 指示请求已成功 |
| 201 | Created | 资源创建成功（常见用例是一个 PUT 请求的结果） |
| 202 | Accepted | 该请求已被接收但尚未起作用。它是非承诺的，这意味着HTTP中没有办法稍后发送指示处理请求结果的异步响应。 |
| 204 | No Content | 成功 PUT（修改）或 DELETE（删除）一个资源后返回空内容（ASP.NET Web API 中将接口返回类型设置为 void 即可） |
| 400 | Bad Request | 服务器无法理解请求（如必填项未填、内容超长、分页大小超限等），幂等 |
| 401 | Unauthorized | 未授权（如用户未登录时执行了须要登录才能执行的操作），通俗地讲，是服务器告诉你，“你没有通过身份验证 - 根本没有进行身份验证或验证不正确 - 但请重新进行身份验证并再试一次。”这是暂时的，服务器要求你在获得授权后再试一次。 |
| 403 | Forbidden | 服务器理解请求但拒绝授权（是永久禁止的并且与应用程序逻辑相关联（如不正确的密码、尝试删除其它用户发表的文章）、IP 被禁止等），通俗地讲，是服务器告诉你，“我很抱歉。我知道你是谁 - 我相信你说你是谁 - 但你只是没有权限访问此资源。” |
| 404 | Not Found | 找不到请求的资源（指资源不存在，如果找到但无权访问则应返回 403） |
| 405 | Method Not Allowed | 请求方法被禁用（HTTP 动词） |
| 500 | Internal Server Error | 服务器遇到阻止它履行请求的意外情况（如数据库连接失败） |
| 503 | Service Unavailable | 服务器尚未准备好处理请求（常见原因是服务器因维护或重载而停机，这是临时的，可用于在单线程处理事务时遇到被锁定时的响应，如抽奖活动、抢楼活动，防止因并发导致逻辑错误） |
>> 错误处理：
C# 例：throw new HttpResponseException(HttpStatusCode.NotFound);
PHP 例：throw new Exception('文章不存在', 404);
>>> 返回结果：
JSON/XML
不要返回密码等机密字段
>>> 其它：
身份验证窗口（浏览器弹窗，类似 alert，非页面表单），明文传输，安全性不高，不建议使用。实现：
在 Headers 中添加 Authorization:Basic “用户名:密码”的 Base64 编码
本文不定时更新中……
具备 RESTful 相关知识会更有利于学习 ASP.NET Web API：RESTful API 学习笔记
ASP.NET Web API 官网：https://www.asp.net/web-api
服务 URI Pattern
| Action | Http verb | URI | 说明 |
| Get contact list | GET | /api/contacts | 列表 |
| Get filtered contacts | GET | /api/contacts?$top=2 | 筛选列表 |
| Get contact by ID | GET | /api/contacts/id | 获取一项 |
| Create new contact | POST | /api/contacts | 增加一项 |
| Update a contact | PUT | /api/contacts/id | 修改一项 |
| Delete a contact | DELETE | /api/contacts/id | 删除一项 |
| 返回类型 | Web API 创建响应的方式 |
|---|---|
| void | 返回空 204 （无内容） |
| HttpResponseMessage | 转换为直接 HTTP 响应消息。 |
| IHttpActionResult | 调用 ExecuteAsync 来创建 HttpResponseMessage，然后将转换为 HTTP 响应消息。 |
| 其他类型 | 将序列化的返回值写入到响应正文中;返回 200 （正常）。 |
HttpResponseMessage
可提供大量控制的响应消息。 例如，以下控制器操作设置的缓存控制标头。
public class ValuesController : ApiController
{
public HttpResponseMessage Get()
{
HttpResponseMessage response = Request.CreateResponse(HttpStatusCode.OK, "value");
response.Content = new StringContent("hello", Encoding.Unicode);
response.Headers.CacheControl = new CacheControlHeaderValue()
{
MaxAge = TimeSpan.FromMinutes(20)
};
return response;
}
}IHttpActionResult
public IHttpActionResult Get (int id)
{
Product product = _repository.Get (id);
if (product == null)
{
return NotFound(); // Returns a NotFoundResult
}
return Ok(product); // Returns an OkNegotiatedContentResult
}其他的返回类型
响应状态代码为 200 （正常）。此方法的缺点是，不能直接返回错误代码，如 404。 但是，您可以触发 HttpResponseException 的错误代码。
完善 Help 页
一般都是通过元数据注释（Metadata Annotations）来实现的描述的。
显示接口和属性的描述：
打开 HelpPage 区域的 App_Start 目录下的 HelpPageConfig.cs 文件，在 Register 方法的首行取消注释行：
config.SetDocumentationProvider(new XmlDocumentationProvider(HttpContext.Current.Server.MapPath("~/App_Data/XmlDocument.xml")));
在项目右键属性“生成”页，勾选“XML 文档文件”，并填写与上述一致的路径（App_Data/XmlDocument.xml）。
给接口加上 ResponseType 显示响应描述和示例：[ResponseType(typeof(TEntity))]
在实体模型的属性上加入 RequiredAttribute 特性可提供请求或响应中的实体的属性描述，如：[Required]
推荐使用：Swashbuckle
关于格式
在 WebApiConfig.Register() 中加入以下代码以禁止以 XML 格式输出（请按需设置）：
GlobalConfiguration.Configuration.Formatters.XmlFormatter.SupportedMediaTypes.Clear();Json 序列化去掉 k__BackingField
GlobalConfiguration.Configuration.Formatters.JsonFormatter.SerializerSettings.ContractResolver = new Newtonsoft.Json.Serialization.DefaultContractResolver { IgnoreSerializableAttribute = true };如果属性值为 null 则不序列化该属性
config.Formatters.JsonFormatter.SerializerSettings = new JsonSerializerSettings { NullValueHandling = NullValueHandling.Ignore };
ASP.NET MVC 项目发布到 IIS 上，出现服务器错误“403 - 禁止访问：访问被拒绝”，排除权限设置问题后，原因在于 MVC 的 URL 通常没有扩展名，IIS 并未将其交由 ASP.NET 托管处理。
经过各种找资料，各种尝试后，最终确定：项目本身没有问题，本地运行正常，发布到另一台服务器上正常。
删除服务器 IIS 上的该网站和应用程序池，重新创建网站，恢复正常。原因未知。
风险名称：系统共享配置检测
风险等级：中危
检测项说明：
检测注册表项HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\LSA\\RestrictAnonymous的值，该值控制是否允许远程操作注册表
检测项目:
远程操作注册表
建议值:
1
路径:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\RestrictAnonymous
建议:
建议禁止远程访问操作注册表，建议关闭
在网站开发过程中遇到上传图片等文件的功能，需要在服务器上设置该目录可写入，并且必须防止被上传 .php 等可执行的脚本文件。
根据文件所有者的不同，我们分两种情况讨论：
一、程序上传的用户与执行 PHP 的用户不同（例如程序代码通过 SSH 上传（root 用户），而 PHP 以 www 身份运行）
由于 Linux 上的文件默认权限是 644，目录默认权限是 755，所以在这种情况下，PHP 不能修改 root 上传的程序文件，也不能将客户端上传的图片文件保存到服务器上。
例如我们将客户端上传的文件指定到 /upload/ 目录，那么，
第 1 步，赋予它写入权限：
chmod 777 upload递归所有子目录请加 -R 参数，但会将文件也更改为 777，赋予了执行权限，这是不建议的。文件若需写入权限请设为 666。
第 2 步，设置该目录下不允许执行 PHP：
我们无法保证客户端上传完全符合我们要求的文件，那么必须禁止任何文件的执行权限。（此处指 PHP 的执行权限，注意与 sh 执行权限的区别，后者由 chmod 命令修改）
nginx 的 .conf 文件配置示例：
location ~ /upload/.*\.(php|php5)?$
{
deny all;
}Apache 的 .htaccess 文件配置示例：
RewriteRule upload/(.*).(php)$ – [F]特别注意：上面的代码必须加在 PHP 引用配置的上方才有效（如 nginx 的 PHP 引用配置 include enable-php-**.conf;）
默认 Linux 系统是大小写敏感的，所以规则中的正则表达式无须忽略大小写（但必须与实际的目录或文件名大小写一致），因为 MIME 类型中设置的是小写的 .php，那么类似大写的 .PHP 文件是不被 php-fpm 解释的，结果是被当作普通文本返回到客户端。
提问：有些目录需要设置为可写入，但里面还有正常的 php 文件，禁止执行会有问题吗？（例如 Discuz! 的 config 目录，ThinkPHP 的 Runtime 目录）
解答：以 Discuz! 为例，config 下面虽然有 config_*.php 等配置文件，但这些文件并非直接供客户端浏览，而是被其它 .php 文件引用（include 方式、IO 方式等），当 config 目录禁止执行 PHP 后并不会对它们造成影响。
我们在开发程序的过程中应避免在允许写入的目录下放置直接供客户端浏览的 .php 文件。
二、程序上传的用户与执行 PHP 的用户相同（例如程序代码通过 FTP 上传，且和 PHP 一样，都使用 www 用户）
常见于虚拟空间。这种情况下，通过 PHP 上传的文件可以保存到该网站下面的任何目录下（甚至是网站目录之外，即传说中的跨站），原因大家都懂，默认 755 中第一个是“7”，即所有者拥有写入权限。
因此，除了做到上述设置，我们必须严格控制客户端上传文件的保存路径，做到以下几点：
必须更改客户端上传的文件名，而非直接使用原文件名；
不得从客户端文件名获取扩展名，或者只控制允许的后缀名。
最可靠的文件类型判别方式是分析文件签名，参考：文件签名表，以防篡改后缀名欺骗。
举个早期的栗子：上传文件名为 abc.asp;.jpg，未改文件名保存到服务器，浏览器直接访问该文件，IIS 6 当作 abc.asp 来解析。
网站的“防跨站攻击”默认是开启的，对应网站根目录下存在 .user.ini 文件，可阻止该网站程序读写网站目录外的文件或目录。
通过 FTP 上传或通过 PHP 创建的文件（夹）的用户（组）都是 www:www，目录权限 755，文件权限 644
PHP 不需要“执行”权限，因为这个“执行”权限是针对 sh 的
因此 PHP 在该站任何位置具有写入权限
理想的权限控制是：pure-ftp 使用另外的用户（组），譬如 ftp:ftp
这样使用 www:www 的 PHP 就无法随意创建文件，只能在开放了“公共权限”中的“写入”权限的目录中创建。
查看系统用户组：cat /etc/group
查看系统用户：cut -d : -f 1 /etc/passwd
查看 pure-ftp 帮助：
/www/server/pure-ftpd/bin/pure-pw --help
修改 FTP 用户的所有者和组：
/www/server/pure-ftpd/bin/pure-pw usermod FTP用户名 -u 所有者 -g 组
重启 pure-ftp
上述命令经简单测试并没有更改 FTP 用户的所有者和组……
退而求其次的做法是通过 SSH 用 root 来上传网站程序代码，并开放上传目录的“写入”权限
还有重要的一点，在网站的配置文件中禁止这些有“写入”权限的目录中的 PHP 运行权限！（参：在 CentOS (Linux) 中设置目录写入权限，并禁止执行 php）
各位站长好：
根据苹果相关通知，从2017年1月1日起，所有上架AppStore的应用必须支持https协议。
仍然采用HTTP传输的站点APP，将无法在AppStore被用户下载使用，也无法进行升级更新等工作。
官方视频
https://developer.apple.com/videos/play/wwdc2016/706/
相关新闻
http://www.chinaz.com/news/2016/1028/602635.shtml
根据AppStore审核要求，站长需要在2017年1月1日之前，在APP服务器全面部署https。
尽管不升级支持https后果严重，但诸位也不必太过担心，马甲根据要求为各位提供一份服务器升级https的技术文档，供您参考。
https的优点：
1. 相对于http，https可以确保数据在网络传输过程中不被篡改(如禁止运营商插入广告)，同时可以提升网站的安全性。
2. iOS可以实现微信内部浏览器直接启动并打开App对应页面。
APP网站升级https步骤：
1. 为APP域名申请购买SSL证书（可选免费型）；
2. 将SSL证书部署到APP站点。
https证书申请方法：
1. 进入阿里云（独立服务器客户可注册一个阿里云账号，无须购买阿里云主机）https证书申请页面 https://www.aliyun.com/product/security/markets/aliyun/product/cas
2. 购买https证书，选择免费类型，点击购买（无需实际付款)
3. 购买完成后，进入控制台-CA证书服务页面，找到证书订单，点击“补全”
4. 填写证书对应的域名信息，免费证书只能用于一个域名(请填写完整域名例如：test.magapp.cc 而不是 magapp.cc)
5. 继续补全证书信息，注意域名验证类型选择DNS，邮箱填写自己常用邮箱即可，稍后系统会往邮箱发送域名解析信息。
6. 下一步生成证书请求文件(CSR)，这里建议选择“系统生成CSR”，点击右侧创建，创建完成后，点击提交审核，开始申请https证书。
7. 稍后系统会向邮箱发送一份该邮件，邮件包含需要在域名管理后台解析的信息。
8. 到域名管理后台添加新的域名解析，注意解析类型为CNAME
9. 添加新域名解析完成后，系统会对您的申请进行审核（审核时间在几分钟到几个小时不确定），如果审核成功系统会为你签发https证书，失败也会有相关原因说明，如果失败可根据提示重新申请。
10. https证书申请成功后，下一步就可以下载并部署到APP服务器。
11. 点击下载后，可以根据阿里云提供的部署文档，进行相关的服务器部署工作。
12. 部署完成后，验证是否部署成功
第一步：使用https协议访问域名是否能正常访问，例如 https://test.magapp.cc
第二步：在线检测域名是否满足苹果审核要求，网址为：https://www.qcloud.com/product/ssl.html#userDefined10
填写自己申请https的域名
如果域名检测各项满足会显示如下图所示
部署注意事项：
1. https使用的是443端口而不是默认的80端口，需要在wdcp安全管理-iptables开启443端口。
2. https免费证书有效期为一年，请各位站长作好记录，提前重新申请。
3. 站点从http转到https完全过渡需要一段时间，建议在部署时站点同时支持http和https。
4. 部署过程遇到任何问题，可联系您的专属运维人员。
MAGAPP技术部