首页 文章 精选 留言 我的

精选列表

搜索[Excel导题],共7196篇文章
优秀的个人博客,低调大师

我用一个小小的开放设计题,干掉了40%的面试候选人

背景 去年团队招聘需求比较大,本人参与了近百次的面试工作。今天来跟大家聊聊,面试候选人过程中,一个常见的开放类设计题目的解题思路,以及候选人的理解设计误区分析。 话不多说,咱们直接奔主题。 问题其实很简单,是一个手机绑定验证的场景。大概描述就是: 用户手机验证场景下,正常会给用户手机号码发验证短信,用户收到验证短信后填写验证码进行提交,完成验证。 第一个问题 正常短信发送逻辑没有问题,但由于短信资源宝贵,防止被恶意攻击,你有什么好的控制策略呢? 在面试交流过程中,收集到的答案无外乎这样几种,收集整理归类如下: 1. 发送时间间隔 设置同一个号码重复发送的时间间隔(前端置灰,后端设置间隔锁),一般设置为60-120秒。该手段可以在一定程度上防止短信接口被恶意攻击,且对用户体验没有什么伤害。但是不能防止更换手机号方式进行攻击,防护等级较低。 2. 获取次数限制 是指限制某个手机号在某个时间段内获取短信验证码次数的上限值。 采用这种策略时在产品设计过程中,有几点需要注意: 1)上限值的定义。需要根据业务真实的情况,甚至需要考虑到将来业务的发展定一个合适的上限值,避免因用户无法收到短信验证码而带来的投诉。 2)锁定时间段的定义。需要根据业务情况进行定义,可以是6小时,可以是12小时、24小时。 3. IP限制 设置单个IP地址某个时间段内最大的发送量。 该手段可很好的预防单一IP地址的攻击,但是也有很明显的缺点: 1)对于经常变更IP地址进行攻击的攻击者,该手段几乎没有很好的效果。 2)IP的限制经常会造成误伤。如在一些使用统一无线网的场所,很多用户连接着同一个无线网,这个IP地址就容易很快达到上限,从而造成连接该无线网的用户都无法正常的收到验证码。 4. 图形验证码 在发送短信验证码之前,必须通过通过图形验证码的校验。 这种手段相对来说可以防止某些攻击,因此也是目前非常普遍的短信防攻击机制。但是在使用过程中涉及到用户体验问题,不能简单粗暴地套用这一策略。 以下两个点值得仔细考虑: 1)是不是每次获取短信验证码之前都需要用户输入图形验证码,一般来说这样做会极大地影响用户体验,虽然是相对安全,但是用户用着不爽了。 2)可以给一个安全范围。 结合手机号限制、IP限制来考虑,比如同一个手机号当天第3次获取短信验证码的时候,出现图形验证码;比如同一个IP地址当天获取验证码次数超过100次后,出现图形验证码。 5. 加解密控制 通过对传向服务器各项参数进行加密,到了服务器再进行解密,同时用token作为唯一性识别验证,在后端对token进行验证,验证通过才能正常将短信发送。该手段可以在保证用户体验的情况下,可以有效防止某些攻击,因此也是目前比较常见的短信防攻击机制。 同时也有很明显的缺点: 1)使用的加解密算法可能会被识别,需要考虑使用识别难度较大的加解密算法。 2)在算法不被识别的情况下可以有效防止报文攻击,但是无法防止浏览器模拟机式攻击。 第二个问题 假如需要对用户请求发短信接口进行限制,具体策略针对同一用户手机号发送短信验证码,10分钟之内请求超3次则需要图形验证码(即先验证图形验证码通过后再发送短信),你会如何设计并实现呢? 好多同学听完题目后,就会就能很快给出一个解题思路,大概描述如下: 实现思路:利用Redis KV存储方式,用手机号作为Key,Value记录短信成功发送次数,同时设置过期时间10min。 假设发送时间如下所示: 到10.07时候申请发送,判断value的值已为3,发送失败,需要出现图形验证码进行补充验证。 上面的逻辑看似没有问题,其实它将时间自然切片处理了。 1)按照上面的逻辑,在10.00-10.10这个时间段周期内:10.01、10.07、10.08 分别发送三次短信,是OK的。 2)接着在10.10-10.20这个时间段周期内:10.11、10.13、10.15 也是可以成功发送短信的。 这样就出现了问题: 在10.07、10.08、10.11、10.13、10.15 这十分钟时间里,竟然发送了5条短信! 这样就绕过了发送短信超3次需要图形验证码验证的操作,这显然是不合理的。 其实好多候选人看到10min 和次数限制后,就陷入到了思维定势中去了。 那有什么好的解题思路么? 在此,针对此种问题,提供一种解题思路: 利用Redis List数据格式;Key:send_msg_phone Value:请求时间戳。 直接上实现代码吧: /** * Redis 单位时间内请求次数限制 * User: 架构精进之路 * Date: 2021/03/11 * Time: 10:23 */ $key = 'send_msg_xxx'; //xxx 指具体手机号$listLen = lLen($key);if($listLen < 3){ // 直接将当前时间戳插入List尾部 Lpush($key, now());} else { $index0Time = Lindex($key); if((当前时间 - $index0Time) < 10min){ // 触发10min内请求大于3次,提醒,“请求过多,请稍后再试。” echo "请求过多,请稍后再试。"; exit; } else { // 将当前时间戳插入List尾部 // 取出List头部首元素 Lpush($key, now()); Ltrim($key, 0, 9); }} 总结 随着目前安全问题造成的影响日趋严重,Web 安全控制对于研发人员来说是一个非常重要的课题。 通过上面的问题,想要了解到大家对安全防控的认知有哪些,有什么好的处理方案,以及对不同方案之间的优劣比较有怎样的认知。 有了好的方案之后,那如何设计实现呢?在具体落地过程中,还有什么需要补充和注意的事项呢? ...... 一系列连续的开放性问题走下来,你就能很好的判断候选人在这部分的能力水平了。 对于此类问题,此文抛砖引玉,相信大家还有其他解题思路,欢迎留言区一起探讨交流~ - END - 作者:架构精进之路,专注软件架构研究,技术学习与个人成长,关注并私信我回复“01”,送你一份程序员成长进阶大礼包,欢迎勾搭。 往期热文推荐: 服务端高并发分布式架构演进之路 2021年最新Redis面试题汇总,值得收藏 一场关于代码注释的争执,引发的三点思考 干货 | Redis 实现发布订阅原理与实践 「技术架构精进」专注架构研究,技术分享 Thanks for reading! 本文分享自微信公众号 - 架构精进之路(jiagou_jingjin)。 如有侵权,请联系 support@oschina.cn 删除。 本文参与“OSC源创计划”,欢迎正在阅读的你也加入,一起分享。

优秀的个人博客,低调大师

每日十题:五分钟备战金九银十,你也能轻松过关Spring

欢迎关注专栏:Java架构技术进阶。里面有大量batj面试题集锦,还有各种技术分享,如有好文章也欢迎投稿哦。 微信公众号:慕容千语的架构笔记。欢迎关注一起进步。 Spring高级面试专题锦集 什么是 Spring 框架?Spring 框架有哪些主要模块? 使用 Spring 框架能带来哪些好处? 什么是控制反转(IOC)?什么是依赖注入? 请解释下 Spring 框架中的 IoC? BeanFactory 和 ApplicationContext 有什么区别? Spring 有几种配置方式? 如何用基于 XML 配置的方式配置 Spring? 如何用基于 Java 配置的方式配置 Spring? 怎样用注解的方式配置 Spring? 请解释 Spring Bean 的生命周期? 1、什么是 Spring 框架?Spring 框架有哪些主要模块? Spring 框架是一个为 Java 应用程序的开发提供了综合、广泛的基础性支持的 Java 平台。Spring 帮助开发者解决了开发中基础性的问题,使得开发人员可以专注于应用程序的开发。Spring 框架本身亦是按照设计模式精心打造,这使得我们可以在开发环境中安心的集成Spring 框架,不必担心 Spring 是如何在后台进行工作的。Spring 框架至今已集成了 20 多个模块。这些模块主要被分如下图所示的核心容器、数据访问/集成,、Web、AOP(面向切面编程)、工具、消息和测试模块。 2、使用 Spring 框架能带来哪些好处? 下面列举了一些使用 Spring 框架带来的主要好处: Dependency Injection(DI) 方法使得构造器和 JavaBean properties 文件中的依赖关系一目了然。 与 EJB 容器相比较,IoC 容器更加趋向于轻量级。这样一来IoC 容器在有限的内存和 CPU 资源的情况下进行应用程序的开发和发布就变得十分有利。 Spring 并没有闭门造车,Spring 利用了已有的技术比如ORM 框架、logging 框架、J2EE、Quartz 和 JDK Timer,以及其他视图技术。 Spring 框架是按照模块的形式来组织的。由包和类的编号就可以看出其所属的模块,开发者仅仅需要选用他们需要的模块即可。 要测试一项用 Spring 开发的应用程序十分简单,因为测试相关的环境代码都已经囊括在框架中了。更加简单的是,利用JavaBean 形式的 POJO 类,可以很方便的利用依赖注入来写入测试数据。 Spring 的 Web 框架亦是一个精心设计的 Web MVC 框架,为开发者们在 web 框架的选择上提供了一个除了主流框架比如Struts、过度设计的、不流行 web 框架的以外的有力选项。 Spring 提供了一个便捷的事务管理接口,适用于小型的本地事物处理(比如在单 DB 的环境下)和复杂的共同事物处理(比如利用 JTA 的复杂 DB 环境)。 3、什么是控制反转(IOC)?什么是依赖注入? 控制反转是应用于软件工程领域中的,在运行时被装配器对象来绑定耦合对象的一种编程技巧,对象之间耦合关系在编译时通常是未知的。在传统的编程方式中,业务逻辑的流程是由应用程序中的早已被设定好关联关系的对象来决定的。在使用控制反转的情况下,业务逻辑的流程是由对象关系图来决定的,该对象关系图由装配器负责实例化,这种实现方式还可以将对象之间的关联关系的定义抽象化。而绑定的过程是通过“依赖注入”实现的。 控制反转是一种以给予应用程序中目标组件更多控制为目的设计范式,并在我们的实际工作中起到了有效的作用。 依赖注入是在编译阶段尚未知所需的功能是来自哪个的类的情况下,将其他对象所依赖的功能对象实例化的模式。这就需要一种机制用来激活相应的组件以提供特定的功能,所以依赖注入是控制反转的基础。否则如果在组件不受框架控制的情况下,框架又怎么知道要创建哪个组件? 在 Java 中依然注入有以下三种实现方式: 构造器注入 Setter 方法注入 接口注入 4、请解释下 Spring 框架中的 IoC? Spring 中的 org.spring framework.beans 包和org.spring framework.context 包构成了 Spring 框架 IoC 容器的基础。 Bean Factory 接口提供了一个先进的配置机制,使得任何类型的对象的配置成为可能。Application Context 接口对Bean Factory(是一个子接口)进行了扩展,在 Bean Factory 的基础上添加了其他功能,比如与 Spring 的 AOP 更容易集成,也提供了处理 message resource 的机制(用于国际化)、事件传播以及应用层的特别配置,比如针对 Web 应用的 Web Application Context。 org.spring framework.beans.factory.Bean Factory 是 Spring IOC 容器的具体实现,用来包装和管理前面提到的各种bean Bean Factory 接口是 Spring IoC 容器的核心接口。 5、Bean Factory 和 Application Context 有什么区别? Bean Factory 可以理解为含有 bean 集合的工厂类。Bean Factory 包含了种 bean 的定义,以便在接收到客户端请求时将对应的 bean 实例化。 Bean Factory 还能在实例化对象的时生成协作类之间的关系。此举将 bean 自身与 bean 客户端的配置中解放出来。Bean Factory 还包含了 bean 生命周期的控制,调用客户端的初始化方法(initialization methods)和销毁方法(destruction methods)。 从表面上看,application context 如同 bean factory 一样具有 bean 定义、bean 关联关系的设置,根据请求分发 bean 的功能。但 application context 在此基础上还提供了其他的功能。 1. 提供了支持国际化的文本消息 2. 统一的资源文件读取方式 3. 已在监听器中注册的 bean 的事件 以下是三种较常见的Application Context 实现方式: 1、Class PathXml Application Context:从 classpath 的 XML 配置文件中读取上下文,并生成上下文定义。应用程序上下文从程序环境变量中取得。 1\. ApplicationContext context = new ClassPathXmlApplicationContext(“bean.xml”); 2、File System XML Application Context :由文件系统中的XML 配置文件读取上下文。 1\. ApplicationContext context = new FileSystemXmlApplicationContext(“bean.xml”); 3、XML Web Application Context:由 Web 应用的 XML 文件读取上下文。 由于篇幅限制,剩下的将以图片形式展示,对文章中学习脑图感兴趣的可以 关注 转发后私信【笔记】获取资源地址。 Spring Bean 的作用域之间有什么区别? 什么是 Spring inner beans? Spring 框架中的单例 Beans 是线程安全的么? 请举例说明如何在Spring中注入一个JavaCollection? 如何向SpringBean中注入一个Java.util.Properties? 请解释SpringBean的自动装配? 请解释自动装配模式的区别? 如何开启基于注解的自动装配? 请举例解释@Required注解? 请举例解释@Autowired注解? 请举例说明@Qualifier注解? 构造方法注入和设值注入有什么区别? Spring框架中有哪些不同类型的事件? FileSystemResource和ClassPathResource有何区别? Spring框架中都用到了哪些设计模式? 对文章中学习脑图感兴趣的可以 关注 转发后私信【笔记】获取资源地址。还有更多面试题整理中,可以一并获取。 欢迎关注专栏:Java架构技术进阶。里面有大量batj面试题集锦,还有各种技术分享,如有好文章也欢迎投稿哦。 微信公众号:慕容千语的架构笔记。欢迎关注一起进步。

资源下载

更多资源
Nacos

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称,一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集,帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring

Spring框架(Spring Framework)是由Rod Johnson于2002年提出的开源Java企业级应用框架,旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念,提供核心容器、应用上下文、数据访问集成等模块,支持整合Hibernate、Struts等第三方框架,其适用范围不仅限于服务器端开发,绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能,例如代码缩略图,Python的插件,代码段等。还可自定义键绑定,菜单和工具栏。Sublime Text 的主要功能包括:拼写检查,书签,完整的 Python API , Goto 功能,即时项目切换,多选择,多窗口等等。Sublime Text 是一个跨平台的编辑器,同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源,继承了IntelliJ IDEA强大的JS部分的功能。

用户登录
用户注册