简单处理K->V缓存失效后高并...-获取用户Ip地址通用方法常见...-PHP不用第三变量交换2个变量的值

当前位置: 编程技术>php

本页文章导读:

▪简单处理K->V缓存失效后高并发访问导致数据库负载急剧上升的问题日常编程中，对于一些有一定并发量或数据量较高的数据库操作，我们都会在前端加一层缓存层，并设置失效时间，现在一般是mongoDB或memcached，简单流程如下：这个模式在并发量并.........

▪获取用户Ip地址通用方法常见安全隐患(HTTP_X_FORWARDED_FOR) 分析过程这个来自一些项目中，获取用户Ip，进行用户操作行为的记录，是常见并且经常使用的。一般朋友，都会看到如下通用获取IP地址方法。function getIP() { if (isset($_SERVER['HTTP_X_FORWARDED.........

▪PHP不用第三变量交换2个变量的值以前做过一道php面试题是这样的：不使用第三个变量实现交换两个变量的值。一般都是借助第三个中间变量来实现原来两个变量的值交换，但是这道题却要求不能使用中间变量.........

[1]简单处理K->V缓存失效后高并发访问导致数据库负载急剧上升的问题

来源: 发布时间: 2013-11-07

日常编程中，对于一些有一定并发量或数据量较高的数据库操作，我们都会在前端加一层缓存层，并设置失效时间，现在一般是mongoDB或memcached，简单流程如下：

这个模式在并发量并非太高或数据操作效率很高的情况下基本没有什么问题。
但是也许你已经看到了，if(缓存失效 && 恰好遇到并发量很高 && 数据库操作时间长) then？
1. 缓存失效
2. 第一个进程去数据库获取新数据，假如包括SQL+程序逻辑耗时5S
3. 这5S内，第二个、第三个...第N个都只是获取到已失效的缓存，于是也都连接数据库...
4. 结果显而易见，数据库锁表 -> 数据库累计大量进程 -> 直至数据库挂掉！

那么，如何去解决这个问题呢？其实最简单的方案就是：
添加一个标记，类似文件锁，用于判断此时程序是否正在更新缓存。
若是，则直接返回旧缓存（标记有设置失效时间，避免由于程序错误导致标记未删除而引起的缓存不更新问题）
若否，则设置一个标记，然后进行数据获取及缓存更新，最后删除标记。

PS. 第一次生成缓存的话可能会有些用户无法看到数据，不过这个几率很小，且可以通过其他方式如手动生成之类去解决。

流程如下：

本文链接

[2]获取用户Ip地址通用方法常见安全隐患(HTTP_X_FORWARDED_FOR)

来源: 发布时间: 2013-11-07

分析过程

这个来自一些项目中，获取用户Ip，进行用户操作行为的记录，是常见并且经常使用的。一般朋友，都会看到如下通用获取IP地址方法。

function getIP() { 
if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) { 
$realip = $_SERVER['HTTP_X_FORWARDED_FOR']; 
} elseif (isset($_SERVER['HTTP_CLIENT_IP'])) { 
$realip = $_SERVER['HTTP_CLIENT_IP']; 
} else { 
$realip = $_SERVER['REMOTE_ADDR']; 
} 
return $realip; 
}

这个是网上常见获取，ip函数，用这些值获取IP,我们首先要弄清楚，这些数据是从那个地方传过来的。

IP获取来源

1.’REMOTE_ADDR’ 是远端IP，默认来自tcp 连接是，客户端的Ip。可以说，它最准确，确定是，只会得到直接连服务器客户端IP。如果对方通过代理服务器上网，就发现。获取到的是代理服务器IP了。

如：a->b(proxy)->c ,如果c 通过’REMOTE_ADDR’ ，只能获取到b的IP,获取不到a的IP了。

另外:该IP想篡改将很难实现，在传递知道生成php server值，都是直接生成的。

2.’HTTP_X_FORWARDED_FOR’，’HTTP_CLIENT_IP’ 为了能在大型网络中，获取到最原始用户IP，或者代理IP地址。对HTTp协议进行扩展。定义了实体头。

HTTP_X_FORWARDED_FOR = clientip,proxy1,proxy2 所有IP用”,”分割。 HTTP_CLIENT_IP 在高级匿名代理中，这个代表了代理服务器IP。既然是http协议扩展一个实体头，并且这个值对于传入端是信任的，信任传入方按照规则格式输入的。以下以x_forword_for例子加以说明，正常情况下，这个值变化过程。

分析Bug风险点：

通过刚刚分析我们发现，其实这些变量，来自http请求的：x-forword-for字段，以及client-ip字段。正常代理服务器，当然会按rfc规范来传入这些值。但是，当一个用户直接构造该x-forword-for值，发送给用户用户，那将会怎么样呢？

图（1）

第2步，修改x-forword-fox值，我们看看结果

第三步，我们再修改下看看会怎么样？

哈哈，看到上面结果没，x-forwarded-for不光可以自己设置值，而且可以设置任意格式值。这样一来，好比就直接有一个可以写入任意值的字段。并且服务器直接读取，或者写入数据库，或者做显示。它将带来危险性，跟一般对入输入没有做任何过滤检测，之间操作数据源结果一样。并且容易带来隐蔽性。

结论：

上面getip函数，除了客户端可以任意伪造IP，并且可以传入任意格式IP。这样结果会带来2大问题，其一，如果你设置某个页面，做IP限制。对方可以容易修改IP不断请求该页面。其二，这类数据你如果直接使用，将带来SQL注册，跨站攻击等漏洞。至于其一，可以在业务上面做限制，最好不采用IP限制。对于其二，这类可以带来巨大网络风险。我们必须加以纠正。

需要对getip 进行修改，得到安全的getip函数。

这类问题，其实很容易出现，以前我就利用这个骗取了大量伪装投票。有它的隐蔽性，其实只要我们搞清楚了，某些值来龙去脉的话。理解了它的原理，修复该类bug将是非常容易。

题外话，做技术，有三步，先要会做，会解决；后要思考为什么要这么做，原因原理是什么；最后是怎么样做，有没有其它方法。多问问自己，你发现距离技术真理越来越近。你做事会越来越得心应手的！

作者：chengmo QQ:8292669
原文网址：http://blog.chacuo.net/98.html
订阅保持关注：http://blog.chacuo.net/feed
本文版权归作者所有，欢迎转载，请务必添加原文链接。

本文链接

[3]PHP不用第三变量交换2个变量的值

来源: 发布时间: 2013-11-07

以前做过一道php面试题是这样的：不使用第三个变量实现交换两个变量的值。一般都是借助第三个中间变量来实现原来两个变量的值交换，但是这道题却要求不能使用中间变量，这对于初学者来说也算是一个难题了。网上找到的几种方法总结如下：

//字符串版本 结合使用substr，strlen两个方法实现
$a="a";
$b="b";
echo '交换前 $a:'.$a.',$b:'.$b.'<br />';
$a.=$b;
$b=substr($a,0,(strlen($a)-strlen($b)));
$a=substr($a, strlen($b));
echo '交换后$a:'.$a.',$b:'.$b.'<br />';
 
echo '-----------------------<br/>';
 
//字符串版本 使用str_replace方法实现
$a="a";
$b="b";
echo '交换前 $a:'.$a.',$b:'.$b.'<br />';
$a.=$b;
$b=str_replace($b, "", $a);
$a=str_replace($b, "", $a);
echo '交换后$a:'.$a.',$b:'.$b.'<br />';
 
echo '-----------------------<br/>';
 
//字符串版本 结合使用list方法和array实现
$a="a";
$b="b";
echo '交换前 $a:'.$a.',$b:'.$b.'<br />';
list($b,$a)=array($a,$b);
echo '交换后$a:'.$a.',$b:'.$b.'<br />';
 
echo '-----------------------<br/>';
 
//字符串和数字都适用 使用异或运算
$a='a';
$b='b';
echo '交换前 $a:'.$a.',$b:'.$b.'<br />';
$a=$a^$b;
$b=$b^$a;
$a=$a^$b;
echo '交换后$a:'.$a.',$b:'.$b.'<br />';
 
echo '-----------------------<br/>';
 
//只适用于数字
$a=3;
$b=5;
echo '交换前 $a:'.$a.',$b:'.$b.'<br />';
$a=$a+$b;
$b=$a-$b;
$a=$a-$b;
echo '交换后$a:'.$a.',$b:'.$b.'<br />';

本文链接