本文介绍 Token 认证和 HMAC 认证两种方式。

一、Token 接口认证方式

原理：

客户端使用账号密码等信息登录，服务器验证通过后生成一个 Token 发送给客户端。客户端在后续的请求中携带这个 Token，服务器通过验证 Token 来确认用户的身份和权限。

应用场景：移动应用、Web 应用（特别是 SPA）

优点：

无状态性，即服务器不需要存储用户的会话信息。

易于实现跨域认证。

缺点：

Token 可能被窃取，应使用 HTTPS、不暴露在 URL 中、使用 HttpOnly 的 Cookie、对 Session ID 进行验证、设置合理过期时间、对 Token 进行加密等措施加强防范。

二、HMAC 接口认证方式

原理：

客户端将消息M与密钥K连接起来，通过哈希函数计算得到 HMAC 值，发送给服务器。服务器收到请求后，使用相同的密钥和请求参数重新计算 HMAC 值，如果与客户端发送的签名一致，即是合法请求。

优点：

安全性较高，攻击者很难伪造 HMAC 值，截获并篡改数据也无法通过服务端验证。

计算效率较高，哈希函数（如 MD5、SHA-1、SHA-256 等）计算效率比较高。

缺点：

密钥的更新和管理比较麻烦。

扩展：

在消息体中添加时间戳以防止重放攻击。

加密隐私数据：可以使用对称加密算法（如 AES）或非对称加密算法（如 RSA、ECC 等）对部分隐私数据进行加密。非对称算法虽然更安全，但速度较慢，如需加密大量数据，可以考虑使用对称加密算法进行加密，然后使用非对称加密算法对对称密钥进行加密。

1. 登录 UCenter，添加应用

   

   选择 DiscuzX，并填写名称和密钥等信息

2. 正常的话，提交后会自动更新缓存文件 /uc_server/data/cache/apps.php，如果没有更新，检查添加这个文件的写入权限，并在后台更新缓存。

3. 在编辑应用界面底部可以看到“应用的 UCenter 配置信息”

   
   

4. 复制这段内容，粘贴到 /config/config_ucenter.php。

5. 在 Discuz! 控制面板 - 站长 - UCenter 设置 中可以看到这些配置信息。标签名为灰色的是从配置文件读取的，无法在此修改。

6. 返回 UCenter 中心的应用列表可以看到“通信成功”

   
   

“Web 部署”方式发布 ASP.NET Core 网站项目可解决发布到本地文件夹再通过 FTP 上传到 IIS 中会遇到的文件被锁定/占用的问题。相对于手动停止网站甚至结束进程来说，Web 部署更为方便。

1. 服务器管理器 - 添加角色和功能 - 服务器角色 - Web 服务器(IIS) - 管理工具 - 管理服务

   
   

2. 安装 Web Deploy

   下载 Web 部署，安装时选择“完整”
   

   

3. 在“服务”中设置“Web Management Service”和“Web 部署代理服务”自动启用。（若没有找到“Web 部署代理服务”，检查安装 Web Deploy 时是否勾选全部）

   

4. IIS 管理器 - 管理服务 - 启用远程连接

   

   这里我们不使用 Windows 凭据（本地用户），而使用 IIS 管理器用户。

   端口默认 8172，需要在防火墙中允许该端口。在阿里云 ECS 的安全组规则中添加该端口允许。

   

5. 创建 IIS 管理器用户

   

   打开后右侧添加用户，以“iisWebDeploy”为例

   
   

6. 配置 IIS 管理器权限

   选择单个网站

   

7. 给整个网站目录添加 LOCAL SERVICE 的完全控制权限 2023年在 Windows Server 2022 上未设置 LOCAL SERVICE 的权限也能部署成功，所以忽略此步骤！2024年同样在 Windows Server 2022 上未设置 LOCAL SERVICE 部署失败，设置后部署成功。

   
   

8. 发布

   

9. 【建议】设置用户 WDeployAdmin 与 WDeployConfigWriter 的密码永不过期，否则会遇到：在远程计算机上处理请求时出错。
   

   
   

一些已知错误的解决办法：

• 若遇到已下载的 Microsoft SQL Server 2012 Transact-SQL ScriptDom 签名验证失败，手动下载安装即可：Microsoft SQL Server 2012 SP4 功能包，选择 SqlDom.msi（有两个同名文件，感觉上尺寸较大的应该是 x64，我没有具体对比，安装大的成功了）。

• 若遇到 SQL Server 2012 SP1 Shared Management Object (x86 / x64) 下载失败，同样点击上面的链接，选择 SharedManagementObjects.msi 下载安装。

• Web Deploy 安装失败，如果 Web Deploy for Hosting Servers 下载失败，可以尝试安装 Web Deploy without bundled SQL support (last)。

• 如果是新项目，记得在 IIS 对应的网站中添加“IIS 管理器权限”中添加用户。

• 连接对话框中的“站点名称”或“网站名”必须与 IIS 中的网站名称一致。
  

• 还是无法连接？查看 IIS 管理服务中的 SSL 证书是否过期。

• Microsoft.WebTools.Shared.Exceptions.WebToolsException: 生成失败。检查输出窗口了解更多详细信息。尝试在“控制面板-卸载或更改程序”中修复 Microsoft Web Deploy 程序。
  

在网站开发过程中遇到上传图片等文件的功能，需要在服务器上设置该目录可写入，并且必须防止被上传 .php 等可执行的脚本文件。

根据文件所有者的不同，我们分两种情况讨论：

一、程序上传的用户与执行 PHP 的用户不同（例如程序代码通过 SSH 上传（root 用户），而 PHP 以 www 身份运行）

由于 Linux 上的文件默认权限是 644，目录默认权限是 755，所以在这种情况下，PHP 不能修改 root 上传的程序文件，也不能将客户端上传的图片文件保存到服务器上。

例如我们将客户端上传的文件指定到 /upload/ 目录，那么，

第 1 步，赋予它写入权限：

chmod 777 upload

递归所有子目录请加 -R 参数，但会将文件也更改为 777，赋予了执行权限，这是不建议的。文件若需写入权限请设为 666。

第 2 步，设置该目录下不允许执行 PHP：

我们无法保证客户端上传完全符合我们要求的文件，那么必须禁止任何文件的执行权限。（此处指 PHP 的执行权限，注意与 sh 执行权限的区别，后者由 chmod 命令修改）

nginx 的 .conf 文件配置示例：

location ~ /upload/.*\.(php|php5)?$
{
    deny all;
}

Apache 的 .htaccess 文件配置示例：

RewriteRule upload/(.*).(php)$ – [F]

特别注意：上面的代码必须加在 PHP 引用配置的上方才有效（如 nginx 的 PHP 引用配置 include enable-php-**.conf;）

默认 Linux 系统是大小写敏感的，所以规则中的正则表达式无须忽略大小写（但必须与实际的目录或文件名大小写一致），因为 MIME 类型中设置的是小写的 .php，那么类似大写的 .PHP 文件是不被 php-fpm 解释的，结果是被当作普通文本返回到客户端。

提问：有些目录需要设置为可写入，但里面还有正常的 php 文件，禁止执行会有问题吗？（例如 Discuz! 的 config 目录，ThinkPHP 的 Runtime 目录）

解答：以 Discuz! 为例，config 下面虽然有 config_*.php 等配置文件，但这些文件并非直接供客户端浏览，而是被其它 .php 文件引用（include 方式、IO 方式等），当 config 目录禁止执行 PHP 后并不会对它们造成影响。

我们在开发程序的过程中应避免在允许写入的目录下放置直接供客户端浏览的 .php 文件。

二、程序上传的用户与执行 PHP 的用户相同（例如程序代码通过 FTP 上传，且和 PHP 一样，都使用 www 用户）

常见于虚拟空间。这种情况下，通过 PHP 上传的文件可以保存到该网站下面的任何目录下（甚至是网站目录之外，即传说中的跨站），原因大家都懂，默认 755 中第一个是“7”，即所有者拥有写入权限。

因此，除了做到上述设置，我们必须严格控制客户端上传文件的保存路径，做到以下几点：

必须更改客户端上传的文件名，而非直接使用原文件名；

不得从客户端文件名获取扩展名，或者只控制允许的后缀名。

最可靠的文件类型判别方式是分析文件签名，参考：文件签名表，以防篡改后缀名欺骗。

举个早期的栗子：上传文件名为 abc.asp;.jpg，未改文件名保存到服务器，浏览器直接访问该文件，IIS 6 当作 abc.asp 来解析。

苹果宣布 2017 年 1 月 1 日开始所有上架的应用必须启用 ATS 安全传输功能。ATS 要求服务器必须支持传输层安全(TLS)协议 1.2 以上版本；证书必须使用 SHA256 或更高的哈希算法签名；必须使用 2048 位以上 RSA 密钥或 256 位以上 ECC 算法等等，不满足条件的证书，ATS 都会拒绝连接。查看具体要求

微信小程序进入开发公测阶段，同样要求提供 HTTPS 方式安全连接。

证书类型对比

		DV SSL 域名验证型	OV SSL 组织验证型	EV SSL 扩展验证型
申请条件	申请对象	个人 / 企业	企业	企业
	证明域名所有权	√	√	√
	价格	免费 / 低	中	高
提交审核	提交资料	邮箱、姓名、手机等	DV 所需资料以及： 组织机构资料（企业执照）等	OV 所需资料以及： 法律相关文件
	审核时间	自动审核 1小时内	人工审核 3~5工作日	人工审核 3~5工作日
可信标识	地址栏挂锁	√	√	√
	地址栏公司名称	×	×	√
	绿色地址栏（IE）	×	×	√
保护范围	单域名	√	√	√
	多域名	√	√	√
	通配符/泛域名	√	√	×
推荐用途		个人及小型网站	一般组织或中小型企业	金融、电商、大型企业或受信组织

* 表格中，单域名指单个子域名（如：123.abc.com），多域名指多个子域名（可以不属于同一个顶级域名，如：123.abc.com / 456.abc.com / 456.def.com），通配符指单个顶级域名的所有子域名（如：*.abc.com）。
* 若 https 的网页中包含 http 资源，则地址栏的锁可能会消失。
* 浏览器上点击地址栏的锁可以查看具体的证书详情。

证书颁发机构（CA）

机构	简介	谁在用
Let's Encrypt	公益组织，免费，每 90 天续约	越来越多的中小网站
Symantec	赛门铁克	百度、支付宝、阿里云、Apple（EV）、微软
GlobalSign	公众信任服务行业的领头羊	淘宝、天猫（OV）、阿里云、京东（OV）
GeoTrust	全球第二大？	微信
Comodo	价格实惠
GoDaddy	全球互联网域名注册商
DigiCert	不颁发 DV，在非 DV 市场份额中是老大	Facebook、Twitter（EV）、Mozilla（EV）、GitHub（EV）等
沃通 WoSign	国产	360搜索（EV）
Other

* 赛门铁克收购了 VeriSign，VeriSign 又收购了 GeoTrust，所以 Symantec 和 GeoTrust 在 SSL 认证服务上就不知道是什么关系了，请自行百度。

* 代理商也可以购买，或许价格优惠，或许申请方便，如：阿里云、腾讯云等，甚至上淘宝购买。

* 查看：Netcraft 统计的市场份额

* 网上说使用 Let's Encrypt 的 SSL 在遇到国内第三方 DNS 解析服务时会超时，我认为只是在申请证书时偶尔超时（DNS query timed out），重试即可，证书部署后访问网站时应该没有问题，请知情者告知实情。

* 各版本 Windows 对 SSL/TLS 协议的支持

下一步

购买和部署阿里云的免费型 DV SSL 证书服务

在 IIS 中部署 SSL

在 nginx 中部署 SSL

最理想的部署方式是 ClickOnce，但是证书问题会导致安装时提示：

 

Windows 已保护你的电脑

Windows SmartScreen 筛选器已阻止启动一个未识别的应用。运行此应用可能会导致你的电脑存在安全风险。

 

 

这需要一个从 CA 获取的数字证书（http://www.doc88.com/p-785388554071.html）

 

 

百科：                                 http://baike.baidu.com/view/1390498.htm

ClickOnce 部署教程：            http://www.cnblogs.com/weixing/p/3358740.html

Makecert.exe（证书创建工具）： https://msdn.microsoft.com/zh-cn/library/bfsktky3.aspx

如何：为 ClickOnce 应用程序向客户端计算机添加一个受信任的发行者：https://msdn.microsoft.com/zh-cn/library/ms172241.aspx

 

执行命令：makecert -r -n "CN=嗨秒网" -sv himiao.pvk himiao.cer

 

Password: LRQelk0l****************FTtJvufI

 

-r                创建自我签名证书。

-n  name         指定主题的证书名称。 此名称必须符合 X.500 标准。 最简单的方法是在双引号中指定此名称，并加上前缀 CN=；例如，-n "CN=myName"。

-sv  pvkFile     指定主题的 .pvk 私钥文件。 如果该文件不存在，系统将创建一个。

 

 

执行命令：Cert2spc himiao.cer himiao.spc

 

执行命令：pvk2pfx -pvk himiao.pvk -spc himiao.spc -pfx himiao.pfx -pi LRQelk0l****************FTtJvufI –po LRQelk0l****************FTtJvufI –f

 

本文是一个初学者对苹果开发证书的理解，有一定局限性，不适合所有苹果开发者参考，欢迎批评指正。

 

发布 iOS 应用主要有三块内容：Certificates, Identifiers & Profiles

Certificates（证书）：是用来给应用程序签名的

Identifiers（标识符）：一个应用对应一个 ID，相当于应用程序的身份证

Provisioning Profiles（描述文件）：它将证书、标识符、设备结合起来，形成一个描述文件，让 Xcode 知道需要打一个怎么样的 .ipa 包

 

如何创建证书

创建 App ID 就不详说了，不要使用带通配符的名称。值得一提的是，如果要使用推送，必须勾选“Push Notifications”，其它功能按需勾选。

创建证书，需要用到 Mac 电脑上的“钥匙串访问”来生成一个“本地证书”（CSR 文件）：

打开“钥匙串访问” - 证书助理 - 从证书颁发机构请求证书 - 保存到磁盘

然后就可以拿这个本地证书去 Apple Developer 里生成“开发证书”或“发布证书”（CER 文件）。打包证书和推送证书生成过程类似，区别是选择“App Store and Ad Hoc”还是“Apple Push Notification service SSL”。下载后添加到钥匙串就完成了。

添加测试设备就不提了。

然后就是描述文件，同样有开发和发布两种。开发主要是用于 Xcode 环境中；发布中还分两种：App Store 是用于正式上线的，Ad Hoc 是用于测试设备的。下一步选择 App ID，下一步选择证书，然后给 Profile 取个能够分辨的名字，生成的是一个 mobileprovision 文件。

 

提供证书文件给第三方打包平台

一般需要提供“iOS Distribution 证书”、“推送证书”、“Ad Hoc”和“App Store”类型的 Profiles、App ID 以及 iTunes Connect 中的 Apple ID（不是指登录的邮箱，是指在 iTunes Connect 中创建的 App 在商店中的 ID）。

证书其实跟 App ID 不是一一对应的关系，多个 App 是可以使用同一个证书的。可以单独创建，到期互不影响。Download 后是 .cer 格式，用“钥匙串”工具可以导出 .p12 证书并设置密码。

如果由于命名无序或创建错误导致无法分辨上架中的 App 用的是哪个证书，哪个描述文件，那么，首先要知道这个 App ID 是多少（就是 iTunes Connect 中所谓的“套装 ID”），然后在 Provisioning Profiles 中挨个查看对应的 App ID，点击“Edit”还能看到使用的证书。

有些平台需要 .pem 文件，是由 .p12 文件通过一个命令转化而来的，具体可以百度。

 

证书过期怎么办

创建一个呗，然后描述文件 Edit，选择新的证书。

 

推送证书过期怎么办

在 App ID 里 Edit 就能查看 Push Notifications 项的 SSL Certificate 是否过期。如果过期需要重新创建证书，可以直接在 App ID 的 Edit 里快捷创建（需要“钥匙串”配合）。

不用重新提交 App Store 审核

 

换一台电脑，证书要怎么导过去

这个问题适用于自己使用 Xcode 开发应用的情况，暂时问一下百度吧。

 

注：本文部分总结来自百度，未经证实。

Apple Push Services 和 APNs Production iOS 这两种类型有什么区别？

Android 系统要求每一个安装进系统的应用程序都是经过数字证书签名的，数字证书的私钥则保存在程序开发者的手中。Android 系统将数字证书用于在应用程序的作者和应用程序之间建立信任关系，但并不用于决定最终用户可以安装哪些应用程序。这个数字证书并不需要权威的数字证书签名机构认证，它只是用于应用程序包自我认证的。

Android 数字证书包含以下几个要点：

（1）所有的应用程序都必须有数字证书，Android 系统不会安装一个没有数字证书的应用程序

（2）Android 程序包使用的数字证书可以是自签名的，不需要一个权威的数字证书机构签名认证

（3）如果要正式发布一个 Android 应用程序安装包，必须使用一个合适的私钥生成的数字证书来给程序签名，而不能使用如 ant 工具等生成的调试证书来发布。

（4）数字证书包含应用程序所有者姓名，所在组织，国家，证书创建时间，证书有效期等信息。

（5）Android 使用标准的 Java 工具 Keytool and Jarsigner 来生成数字证书，并给应用程序包签名。

（6）Android 数字证书跟包名无关，多个不同包名的应用程序安装包可使用同一个数字证书对其进行签名。

（7）Android 系统不会覆盖安装运行包名相同，签名证书不同的两个安装包。

注意：如果您的 App 已经上线 Android 市场，或者已经正式发布，有用户已经正式使用了，切勿再更换签名证书，否则，App 在自动更新覆盖安装升级时，Android 系统将会认为新签名证书的 App 安装包是“非法签名”的 App，而不予安装，导致更新失败，流失用户。

方法：
    write,向HTML动态写入内容
    writeln，多加一个换行
    open,与window.open类似，不建议用
    close,当向新打开的文档对象中写完所有的内容后，一定要调用该方法关闭文档流
    clear,用于清除文档中的所有内容，建议用document.write("");document.close();这两条语句来实现同样的功能。
    getElementById,返回id的对象
    getElementByName,返回name的对象组（注意是数组）
    getElementByTagName,返回标签名的对象组
    createElement,产生一个代表某个HTML元素的对象，随后再其它方法将这个对象插入到文档中。
    createStyleSheet,为当前HTML产生一个样式表或增加一条样式规则。
属性：
    document.cookie