1、面向对象的特征有哪些方面
    （1）抽象：
    抽象就是忽略一个主题中与当前目标无关的那些方面，以便更充分地注意与当前目标有关的方面。抽象并不打算了解全部问题，而只是选择其中的一部分，暂时不用部分细节。抽象包括两个方面，一是过程抽象，二是数据抽象。
    （2）继承：
    继承是一种联结类的层次模型，并且允许和鼓励类的重用，它提供了一种明确表述共性的方法。对象的一个新类可以从现有的类中派生，这个过程称为类继承。新类继承了原始类的特性，新类称为原始类的派生类（子类），而原始类称为新类的基类（父类）。派生类可以从它的基类那里继承方法和实例变量，并且类可以修改或增加新的方法使之更适合特殊的需要。
    （3）封装：
    封装是把过程和数据包围起来，对数据的访问只能通过已定义的界面。面向对象计算始于这个基本概念，即现实世界可以被描绘成一系列完全自治、封装的对象，这些对象通过一个受保护的接口访问其他对象。
    （4） 多态性：
    多态性是指允许不同类的对象对同一消息作出响应。多态性包括参数化多态性和包含多态性。多态性语言具有灵活、抽象、行为共享、代码共享的优势，很好的解决了应用程序函数同名问题。
    2、String是最基本的数据类型吗？
    基本数据类型包括byte、int、char、long、float、double、boolean和short。
    java.lang.String类是final类型的，因此不可以继承这个类、不能修改这个类。为了提高效率节省空间，我们应该用StringBuffer类
    3、int 和 Integer 有什么区别
    Java 提供两种不同的类型：引用类型和原始类型（或内置类型）。Int是java的原始数据类型，Integer是java为int提供的封装类。Java为每个原始类型提供了封装类。
    原始类型封装类
    booleanBoolean
    charCharacter
    byteByte
    shortShort
    intInteger
    longLong
    floatFloat
    doubleDouble
    引用类型和原始类型的行为完全不同，并且它们具有不同的语义。引用类型和原始类型具有不同的特征和用法，它们包括：大小和速度问题，这种类型以哪种类型的数据结构存储，当引用类型和原始类型用作某个类的实例数据时所指定的缺省值。对象引用实例变量的缺省值为 null，而原始类型实例变量的缺省值与它们的类型有关。
    4、String 和StringBuffer的区别
    JAVA 平台提供了两个类：String和StringBuffer，它们可以储存和操作字符串，即包含多个字符的字符数据。这个String类提供了数值不可改变的字符串。而这个StringBuffer类提供的字符串进行修改。当你知道字符数据要改变的时候你就可以使用StringBuffer。典型地，你可以使用StringBuffers来动态构造字符数据。
    5、运行时异常与一般异常有何异同？
    异常表示程序运行过程中可能出现的非正常状态，运行时异常表示虚拟机的通常操作中可能遇到的异常，是一种常见运行错误。java编译器要求方法必须声明抛出可能发生的非运行时异常，但是并不要求必须声明抛出未被捕获的运行时异常。
    6、说出Servlet的生命周期，并说出Servlet和CGI的区别。
    Servlet被服务器实例化后，容器运行其init方法，请求到达时运行其service方法，service方法自动派遣运行与请求对应的doXXX方法（doGet，doPost）等，当服务器决定将实例销毁的时候调用其destroy方法。
    与cgi的区别在于servlet处于服务器进程中，它通过多线程方式运行其service方法，一个实例可以服务于多个请求，并且其实例一般不会销毁，而CGI对每个请求都产生新的进程，服务完成后就销毁，所以效率上低于servlet。
    7、说出ArrayList,Vector, LinkedList的存储性能和特性
    ArrayList 和Vector都是使用数组方式存储数据，此数组元素数大于实际存储的数据以便增加和插入元素，它们都允许直接按序号索引元素，但是插入元素要涉及数组元素移动等内存操作，所以索引数据快而插入数据慢，Vector由于使用了synchronized方法（线程安全），通常性能上较ArrayList差，而LinkedList使用双向链表实现存储，按序号索引数据需要进行前向或后向遍历，但是插入数据时只需要记录本项的前后项即可，所以插入速度较快。
    8、EJB是基于哪些技术实现的？并说出SessionBean和EntityBean的区别，StatefulBean和StatelessBean的区别。
    EJB包括Session Bean、Entity Bean、Message Driven Bean，基于JNDI、RMI、JAT等技术实现。
    SessionBean在J2EE应用程序中被用来完成一些服务器端的业务操作，例如访问数据库、调用其他EJB组件。EntityBean被用来代表应用系统中用到的数据。
    对于客户机，SessionBean是一种非持久性对象，它实现某些在服务器上运行的业务逻辑。
    对于客户机，EntityBean是一种持久性对象，它代表一个存储在持久性存储器中的实体的对象视图，或是一个由现有企业应用程序实现的实体。
    Session Bean 还可以再细分为 Stateful Session Bean 与 Stateless Session Bean ，这两种的 Session Bean都可以将系统逻辑放在 method之中执行，不同的是 Stateful Session Bean 可以记录呼叫者的状态，因此通常来说，一个使用者会有一个相对应的 Stateful Session Bean 的实体。Stateless Session Bean 虽然也是逻辑组件，但是他却不负责记录使用者状态，也就是说当使用者呼叫 Stateless Session Bean 的时候，EJB Container 并不会找寻特定的 Stateless Session Bean 的实体来执行这个 method。换言之，很可能数个使用者在执行某个 Stateless Session Bean 的 methods 时，会是同一个 Bean 的 Instance 在执行。从内存方面来看， Stateful Session Bean 与 Stateless Session Bean 比较， Stateful Session Bean 会消耗 J2EE Server 较多的内存，然而 Stateful Session Bean 的优势却在于他可以维持使用者的状态。
    9、Collection 和 Collections的区别。
    Collection是集合类的上级接口，继承与他的接口主要有Set 和List.
    Collections是针对集合类的一个帮助类，他提供一系列静态方法实现对各种集合的搜索、排序、线程安全化等操作。
    10、&和&&的区别。
    &是位运算符，表示按位与运算，&&是逻辑运算符，表示逻辑与（and）。
    11、HashMap和Hashtable的区别。
    HashMap是Hashtable的轻量级实现（非线程安全的实现），他们都完成了Map接口，主要区别在于HashMap允许空（null）键值（key），由于非线程安全，效率上可能高于Hashtable。
    HashMap允许将null作为一个entry的key或者value，而Hashtable不允许。
    HashMap把Hashtable的contains方法去掉了，改成containsvalue和containsKey。因为contains方法容易让人引起误解。
    Hashtable继承自Dictionary类，而HashMap是Java1.2引进的Map interface的一个实现。
    最大的不同是，Hashtable的方法是Synchronize的，而HashMap不是，在多个线程访问Hashtable时，不需要自己为它的方法实现同步，而HashMap 就必须为之提供外同步。
    Hashtable和HashMap采用的hash/rehash算法都大概一样，所以性能不会有很大的差异。
    12、final, finally, finalize的区别。
    final 用于声明属性，方法和类，分别表示属性不可变，方法不可覆盖，类不可继承。
    finally是异常处理语句结构的一部分，表示总是执行。
    finalize是Object类的一个方法，在垃圾收集器执行的时候会调用被回收对象的此方法，可以覆盖此方法提供垃圾收集时的其他资源回收，例如关闭文件等。
    13、sleep（） 和 wait（） 有什么区别？
    sleep是线程类（Thread）的方法，导致此线程暂停执行指定时间，把执行机会给其他线程，但是监控状态依然保持，到时后会自动恢复。调用sleep不会释放对象锁。
    wait是Object类的方法，对此对象调用wait方法导致本线程放弃对象锁，进入等待此对象的等待锁定池，只有针对此对象发出notify方法（或notifyAll）后本线程才进入对象锁定池准备获得对象锁进入运行状态。
    14、Overload和Override的区别。Overloaded的方法是否可以改变返回值的类型？
    方法的重写Overriding和重载Overloading是Java多态性的不同表现。重写Overriding是父类与子类之间多态性的一种表现，重载Overloading是一个类中多态性的一种表现。如果在子类中定义某方法与其父类有相同的名称和参数，我们说该方法被重写 （Overriding）。子类的对象使用这个方法时，将调用子类中的定义，对它而言，父类中的定义如同被"屏蔽"了。如果在一个类中定义了多个同名的方法，它们或有不同的参数个数或有不同的参数类型，则称为方法的重载（Overloading）。Overloaded的方法是可以改变返回值的类型。
    15、error和exception有什么区别？
    error 表示恢复不是不可能但很困难的情况下的一种严重问题。比如说内存溢出。不可能指望程序能处理这样的情况。
    exception 表示一种设计或实现问题。也就是说，它表示如果程序运行正常，从不会发生的情况。
    16、同步和异步有何异同，在什么情况下分别使用他们？举例说明。
    如果数据将在线程间共享。例如正在写的数据以后可能被另一个线程读到，或者正在读的数据可能已经被另一个线程写过了，那么这些数据就是共享数据，必须进行同步存取。
    当应用程序在对象上调用了一个需要花费很长时间来执行的方法，并且不希望让程序等待方法的返回时，就应该使用异步编程，在很多情况下采用异步途径往往更有效率。
    17、abstract class和interface有什么区别？
    声明方法的存在而不去实现它的类被叫做抽象类（abstract class），它用于要创建一个体现某些基本行为的类，并为该类声明方法，但不能在该类中实现该类的情况。不能创建abstract 类的实例。然而可以创建一个变量，其类型是一个抽象类，并让它指向具体子类的一个实例。不能有抽象构造函数或抽象静态方法。Abstract 类的子类为它们父类中的所有抽象方法提供实现，否则它们也是抽象类为。取而代之，在子类中实现该方法。知道其行为的其它类可以在类中实现这些方法。
    接口（interface）是抽象类的变体。在接口中，所有方法都是抽象的。多继承性可通过实现这样的接口而获得。接口中的所有方法都是抽象的，没有一个有程序体。接口只可以定义static final成员变量。接口的实现与子类相似，除了该实现类不能从接口定义中继承行为。当类实现特殊接口时，它定义（即将程序体给予）所有这种接口的方法。然后，它可以在实现了该接口的类的任何对象上调用接口的方法。由于有抽象类，它允许使用接口名作为引用变量的类型。通常的动态联编将生效。引用可以转换到接口类型或从接口类型转换，instanceof 运算符可以用来决定某对象的类是否实现了接口。
    18、heap和stack有什么区别。
    栈是一种线形集合，其添加和删除元素的操作应在同一段完成。栈按照后进先出的方式进行处理。
    堆是栈的一个组成元素
    19、forward 和redirect的区别
    forward是服务器请求资源，服务器直接访问目标地址的URL，把那个URL的响应内容读取过来，然后把这些内容再发给浏览器，浏览器根本不知道服务器发送的内容是从哪儿来的，所以它的地址栏中还是原来的地址。
    redirect就是服务端根据逻辑，发送一个状态码，告诉浏览器重新去请求那个地址，一般来说浏览器会用刚才请求的所有参数重新请求，所以session,request参数都可以获取。
    20、EJB与JAVA BEAN的区别？
    Java Bean 是可复用的组件，对Java Bean并没有严格的规范，理论上讲，任何一个Java类都可以是一个Bean。但通常情况下，由于Java Bean是被容器所创建（如Tomcat）的，所以Java Bean应具有一个无参的构造器，另外，通常Java Bean还要实现Serializable接口用于实现Bean的持久性。Java Bean实际上相当于微软COM模型中的本地进程内COM组件，它是不能被跨进程访问的。Enterprise Java Bean 相当于DCOM，即分布式组件。它是基于Java的远程方法调用（RMI）技术的，所以EJB可以被远程访问（跨进程、跨计算机）。但EJB必须被布署在诸如Webspere、WebLogic这样的容器中，EJB客户从不直接访问真正的EJB组件，而是通过其容器访问。EJB容器是EJB组件的代理， EJB组件由容器所创建和管理。客户通过容器来访问真正的EJB组件。
    21、Static Nested Class 和 Inner Class的不同。
    Static Nested Class是被声明为静态（static）的内部类，它可以不依赖于外部类实例被实例化。而通常的内部类需要在外部类实例化后才能实例化。
    22、JSP中动态INCLUDE与静态INCLUDE的区别？
    动态INCLUDE用jsp:include动作实现 <!--include file="included.htm"-->
    23、什么时候用assert。
    assertion （断言）在软件开发中是一种常用的调试方式，很多开发语言中都支持这种机制。在实现中，assertion就是在程序中的一条语句，它对一个 boolean表达式进行检查，一个正确程序必须保证这个boolean表达式的值为true；如果该值为false，说明程序已经处于不正确的状态下，系统将给出警告或退出。一般来说，assertion用于保证程序最基本、关键的正确性。assertion检查通常在开发和测试时开启。为了提高性能，在软件发布后，assertion检查通常是关闭的。
    24、GC是什么？ 为什么要有GC?
    GC是垃圾收集的意思（Gabage Collection），内存处理是编程人员容易出现问题的地方，忘记或者错误的内存回收会导致程序或系统的不稳定甚至崩溃，Java提供的GC功能可以自动监测对象是否超过作用域从而达到自动回收内存的目的，Java语言没有提供释放已分配内存的显示操作方法。
    25、short s1 = 1; s1 = s1 + 1;有什么错？ short s1 = 1; s1 += 1;有什么错？
    short s1 = 1; s1 = s1 + 1; （s1+1运算结果是int型，需要强制转换类型）
    short s1 = 1; s1 += 1;（可以正确编译）
    26、Math.round（11.5）等於多少？ Math.round（-11.5）等於多少？
    Math.round（11.5）==12
    Math.round（-11.5）==-11
    round方法返回与参数最接近的长整数，参数加1/2后求其floor.
    27、String s = new String（"xyz"）；创建了几个String Object?
    两个（一个是“xyx”，一个是指向“xyx”的引用对象s）
    28、设计4个线程，其中两个线程每次对j增加1，另外两个线程对j每次减少1。写出程序。
    以下程序使用内部类实现线程，对j增减的时候没有考虑顺序问题。
    public class ThreadTest1{
    private int j;
    public static void main（String args[]）{
    ThreadTest1 tt=new ThreadTest1（）；
    Inc inc=tt.new Inc（）；
    Dec dec=tt.new Dec（）；
    for（int i=0;i<2;i++）{
    Thread t=new Thread（inc）；
    t.start（）；
    t=new Thread（dec）；
    t.start（）；
    }
    }
    private synchronized void inc（）{
    j++;
    System.out.println（Thread.currentThread（）。getName（）+"-inc:"+j）；
    }
    private synchronized void dec（）{
    j--;
    System.out.println（Thread.currentThread（）。getName（）+"-dec:"+j）；
    }
    class Inc implements Runnable{
    public void run（）{
    for（int i=0;i<100;i++）{
    inc（）；
    }
    }
    }
    class Dec implements Runnable{
    public void run（）{
    for（int i=0;i<100;i++）{
    dec（）；
    }
    }
    }
    }
    29、Java有没有goto?
    java中的保留字，现在没有在java中使用。
    30、启动一个线程是用run（）还是start（）？
    启动一个线程是调用start（）方法，使线程所代表的虚拟处理机处于可运行状态，这意味着它可以由JVM调度并执行。这并不意味着线程就会立即运行。run（）方法可以产生必须退出的标志来停止一个线程。
    31、EJB包括（SessionBean,EntityBean）说出他们的生命周期，及如何管理事务的？
    SessionBean： Stateless Session Bean 的生命周期是由容器决定的，当客户机发出请求要建立一个Bean的实例时，EJB容器不一定要创建一个新的Bean的实例供客户机调用，而是随便找一个现有的实例提供给客户机。当客户机第一次调用一个Stateful Session Bean 时，容器必须立即在服务器中创建一个新的Bean实例，并关联到客户机上，以后此客户机调用Stateful Session Bean 的方法时容器会把调用分派到与此客户机相关联的Bean实例。
    EntityBean：Entity Beans能存活相对较长的时间，并且状态是持续的。只要数据库中的数据存在，Entity beans就一直存活。而不是按照应用程序或者服务进程来说的。即使EJB容器崩溃了，Entity beans也是存活的。Entity Beans生命周期能够被容器或者 Beans自己管理。
    EJB通过以下技术管理实务：对象管理组织（OMG）的对象实务服务（OTS），Sun Microsystems的Transaction Service（JTS）、Java Transaction API（JTA），开发组（X/Open）的XA接口。
    32、应用服务器有那些？
    BEA WebLogic Server，IBM WebSphere Application Server，Oracle9i Application Server，jBoss，Tomcat
    33、给我一个你最常见到的runtime exception。
    ArithmeticException, ArrayStoreException, BufferOverflowException, BufferUnderflowException, CannotRedoException, CannotUndoException, ClassCastException, CMMException, ConcurrentModificationException, DOMException, EmptyStackException, IllegalArgumentException, IllegalMonitorStateException, IllegalPathStateException, IllegalStateException, ImagingOpException, IndexOutOfBoundsException, MissingResourceException, NegativeArraySizeException, NoSuchElementException, NullPointerException, ProfileDataException, ProviderException, RasterFormatException, SecurityException, SystemException, UndeclaredThrowableException, UnmodifiableSetException, UnsupportedOperationException
    34、接口是否可继承接口？ 抽象类是否可实现（implements）接口？ 抽象类是否可继承实体类（concrete class）？
    接口可以继承接口。抽象类可以实现（implements）接口，抽象类是否可继承实体类，但前提是实体类必须有明确的构造函数。
    35、List, Set, Map是否继承自Collection接口？
    List，Set是，Map不是
    36、说出数据连接池的工作机制是什么？
    J2EE 服务器启动时会建立一定数量的池连接，并一直维持不少于此数目的池连接。客户端程序需要连接时，池驱动程序会返回一个未使用的池连接并将其表记为忙。如果当前没有空闲连接，池驱动程序就新建一定数量的连接，新建连接的数量由配置参数决定。当使用的池连接调用完成后，池驱动程序将此连接表记为空闲，其他调用就可以使用这个连接。
    37、abstract的method是否可同时是static,是否可同时是native，是否可同时是synchronized?
    都不能
    38、数组有没有length（）这个方法？ String有没有length（）这个方法？
    数组没有length（）这个方法，有length的属性。String有有length（）这个方法。
    39、Set里的元素是不能重复的，那么用什么方法来区分重复与否呢？ 是用==还是equals（）？ 它们有何区别？
    Set里的元素是不能重复的，那么用iterator（）方法来区分重复与否。equals（）是判读两个Set是否相等。
    equals（）和==方法决定引用值是否指向同一对象equals（）在类中被覆盖，为的是当两个分离的对象的内容和类型相配的话，返回真值。
    40、构造器Constructor是否可被override?
    构造器Constructor不能被继承，因此不能重写Overriding，但可以被重载Overloading。
    41、是否可以继承String类？
    String类是final类故不可以继承。
    42、swtich是否能作用在byte上，是否能作用在long上，是否能作用在String上？
    switch（expr1）中，expr1是一个整数表达式。因此传递给 switch 和 case 语句的参数应该是 int、 short、 char 或者 byte。long,string 都不能作用于swtich。
    43、try {}里有一个return语句，那么紧跟在这个try后的finally {}里的code会不会被执行，什么时候被执行，在return前还是后？
    会执行，在return前执行。
    44、编程题： 用最有效率的方法算出2乘以8等於几？
    2 《 3　（有C背景的程序员特别喜欢问这种问题）
    45、两个对象值相同（x.equals（y） == true），但却可有不同的hash code，这句话对不对？
    不对，有相同的hash code。
    46、当一个对象被当作参数传递到一个方法后，此方法可改变这个对象的属性，并可返回变化后的结果，那么这里到底是值传递还是引用传递？
    是值传递。Java 编程语言只有值传递参数。当一个对象实例作为一个参数被传递到方法中时，参数的值就是对该对象的引用。对象的内容可以在被调用的方法中改变，但对象的引用是永远不会改变的。
    47、当一个线程进入一个对象的一个synchronized方法后，其它线程是否可进入此对象的其它方法？
    不能，一个对象的一个synchronized方法只能由一个线程访问。
    48、编程题： 写一个Singleton出来。
    Singleton模式主要作用是保证在Java应用程序中，一个类Class只有一个实例存在。
    一般Singleton模式通常有几种种形式：
    第一种形式： 定义一个类，它的构造函数为private的，它有一个static的private的该类变量，在类初始化时实例话，通过一个public的getInstance方法获取对它的引用，继而调用其中的方法。
    public class Singleton {
    private Singleton（）{}
    //在自己内部定义自己一个实例，是不是很奇怪？
    //注意这是private 只供内部调用
    private static Singleton instance = new Singleton（）；
    //这里提供了一个供外部访问本class的静态方法，可以直接访问
    public static Singleton getInstance（） {
    return instance;
    }
    }
    第二种形式：
    public class Singleton {
    private static Singleton instance = null;
    public static synchronized Singleton getInstance（） {
    //这个方法比上面有所改进，不用每次都进行生成对象，只是第一次
    //使用时生成实例，提高了效率！
    if （instance==null）
    instance＝new Singleton（）；
    return instance; 　　}
    }
    其他形式：
    定义一个类，它的构造函数为private的，所有方法为static的。
    一般认为第一种形式要更加安全些
    49、Java的接口和C++的虚类的相同和不同处。
    由于Java不支持多继承，而有可能某个类或对象要使用分别在几个类或对象里面的方法或属性，现有的单继承机制就不能满足要求。与继承相比，接口有更高的灵活性，因为接口中没有任何实现代码。当一个类实现了接口以后，该类要实现接口里面所有的方法和属性，并且接口里面的属性在默认状态下面都是public static,所有方法默认情况下是public.一个类可以实现多个接口。
    50、Java中的异常处理机制的简单原理和应用。
    当JAVA 程序违反了JAVA的语义规则时，JAVA虚拟机就会将发生的错误表示为一个异常。违反语义规则包括2种情况。一种是JAVA类库内置的语义检查。例如数组下标越界，会引发IndexOutOfBoundsException;访问null的对象时会引发NullPointerException。另一种情况就是JAVA允许程序员扩展这种语义检查，程序员可以创建自己的异常，并自由选择在何时用throw关键字引发异常。所有的异常都是 java.lang.Thowable的子类。
    51、垃圾回收的优点和原理。并考虑2种回收机制。
    Java 语言中一个显著的特点就是引入了垃圾回收机制，使c++程序员最头疼的内存管理的问题迎刃而解，它使得Java程序员在编写程序的时候不再需要考虑内存管理。由于有个垃圾回收机制，Java中的对象不再有"作用域"的概念，只有对象的引用才有"作用域"。垃圾回收可以有效的防止内存泄露，有效的使用可以使用的内存。垃圾回收器通常是作为一个单独的低级别的线程运行，不可预知的情况下对内存堆中已经死亡的或者长时间没有使用的对象进行清楚和回收，程序员不能实时的调用垃圾回收器对某个对象或所有对象进行垃圾回收。回收机制有分代复制垃圾回收和标记垃圾回收，增量垃圾回收。
    52、请说出你所知道的线程同步的方法。
    wait（）：使一个线程处于等待状态，并且释放所持有的对象的lock。
    sleep（）：使一个正在运行的线程处于睡眠状态，是一个静态方法，调用此方法要捕捉InterruptedException异常。
    notify（）：唤醒一个处于等待状态的线程，注意的是在调用此方法的时候，并不能确切的唤醒某一个等待状态的线程，而是由JVM确定唤醒哪个线程，而且不是按优先级。
    Allnotity（）：唤醒所有处入等待状态的线程，注意并不是给所有唤醒线程一个对象的锁，而是让它们竞争。
    53、你所知道的集合类都有哪些？主要方法？
    最常用的集合类是 List 和 Map。 List 的具体实现包括 ArrayList 和 Vector，它们是可变大小的列表，比较适合构建、存储和操作任何类型对象的元素列表。 List 适用于按数值索引访问元素的情形。
    Map 提供了一个更通用的元素存储方法。 Map 集合类用于存储元素对（称作"键"和"值"），其中每个键映射到一个值。
    54、描述一下JVM加载class文件的原理机制？
    JVM中类的装载是由ClassLoader和它的子类来实现的，Java ClassLoader 是一个重要的Java运行时系统组件。它负责在运行时查找和装入类文件的类。
    55、char型变量中能不能存贮一个中文汉字？为什么？
    能够定义成为一个中文的，因为java中以unicode编码，一个char占16个字节，所以放一个中文是没问题的
    56、多线程有几种实现方法，都是什么？同步有几种实现方法，都是什么？
    多线程有两种实现方法，分别是继承Thread类与实现Runnable接口
    同步的实现方面有两种，分别是synchronized,wait与notify
    57、JSP的内置对象及方法。
    request表示HttpServletRequest对象。它包含了有关浏览器请求的信息，并且提供了几个用于获取cookie, header, 和session数据的有用的方法。
    response表示HttpServletResponse对象，并提供了几个用于设置送回浏览器的响应的方法（如cookies,头信息等）
    out对象是javax.jsp.JspWriter的一个实例，并提供了几个方法使你能用于向浏览器回送输出结果。
    pageContext表示一个javax.servlet.jsp.PageContext对象。它是用于方便存取各种范围的名字空间、servlet相关的对象的API，并且包装了通用的servlet相关功能的方法。
    session表示一个请求的javax.servlet.http.HttpSession对象。Session可以存贮用户的状态信息
    applicaton 表示一个javax.servle.ServletContext对象。这有助于查找有关servlet引擎和servlet环境的信息
    config表示一个javax.servlet.ServletConfig对象。该对象用于存取servlet实例的初始化参数。
    page表示从该页面产生的一个servlet实例
    58、线程的基本概念、线程的基本状态以及状态之间的关系
    线程指在程序执行过程中，能够执行程序代码的一个执行单位，每个程序至少都有一个线程，也就是程序本身。
    Java中的线程有四种状态分别是：运行、就绪、挂起、结束。
    59、JSP的常用指令
    isErrorPage（是否能使用Exception对象），isELIgnored（是否忽略表达式）
    " target="_blank">http://……"%>
    60、什么情况下调用doGet（）和doPost（）？
    Jsp页面中的form标签里的method属性为get时调用doGet（），为post时调用doPost（）。
    61、servlet的生命周期
    web容器加载servlet，生命周期开始。通过调用servlet的init（）方法进行servlet的初始化。通过调用service（）方法实现，根据请求的不同调用不同的do***（）方法。结束服务，web容器调用servlet的destroy（）方法。
    62、如何现实servlet的单线程模式
    63、页面间对象传递的方法
    request，session，application，cookie等
    64、JSP和Servlet有哪些相同点和不同点，他们之间的联系是什么？
    JSP 是Servlet技术的扩展，本质上是Servlet的简易方式，更强调应用的外表表达。JSP编译后是"类servlet"。Servlet和JSP最主要的不同点在于，Servlet的应用逻辑是在Java文件中，并且完全从表示层中的HTML里分离开来。而JSP的情况是Java和HTML可以组合成一个扩展名为。jsp的文件。JSP侧重于视图，Servlet主要用于控制逻辑。

工作中没涉及有关JAVA SOCKET编程的实际经历，但理论大概了解。想正明一下自已的对JAVA SOCKET理解写个通信TEST,通过TEST验证了基本与理论相近。下面是TEST SRC CODE 如果有牛人指点一二在下谢谢了，想写个类似QQ的局网通信程序，可没有太多时间如果您有JAVA SRC CODE 请与我联系。
1.开发工具：eclips3.2
2.工程基本结构：
2.1 工程名：SocketTest
2.2 包test1.service含类功能说明：
2.2.1 KKMultiServerThread 服务端多线程处理类.
2.2.2 KnockKnockProtocol 双方通信协义处理类。
2.2.3 KnockKnockProtocolFace 双方通信协义处理接口。
2.2.4 MyService 服务端监听处理主方法类。
2.2.5 MyClient 客户端主方法类。
2.3 包test1.error含类功能说明：
2.3.1 ResponseError 服务端处理客户端响应异常类。
3.工程基本结构具体说明及原码。
2.1 工程名：SocketTest
2.2 包test1.service含类功能说明：
2.2.1 KKMultiServerThread 服务端多线程处理类.
package test1.service;
import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStreamReader;
import java.io.PrintWriter;
import java.net.InetAddress;
import java.net.Socket;
import test1.error.ResponseError;
/**
* @作者：刘家鸽
* @功能：服务端处理客户端请求返回响应（多线程）
*/
public class KKMultiServerThread extends Thread {
private Socket clentSocket = null;
private KnockKnockProtocol kkpf = null;
private PrintWriter pw = null;
private BufferedReader bir = null;
public KKMultiServerThread() {
super("KKMultiServerThread");
}
public KKMultiServerThread(Socket clentSocket) {
super("KKMultiServerThread");
this.clentSocket = clentSocket;
}
public KKMultiServerThread(Socket clentSocket, KnockKnockProtocolFace kkpf) {
super("KKMultiServerThread");
this.clentSocket = clentSocket;
this.kkpf = (KnockKnockProtocol) kkpf;
}
public Socket getClentSocket() {
return clentSocket;
}
public void setClentSocket(Socket clentSocket) {
this.clentSocket = clentSocket;
}
public KnockKnockProtocol getKkpf() {
return kkpf;
}
public void setKkpf(KnockKnockProtocol kkpf) {
this.kkpf = kkpf;
}
// 运行线程
public void run() {
try {
pw = new PrintWriter(clentSocket.getOutputStream());
bir = new BufferedReader(new InputStreamReader(clentSocket
.getInputStream()));
String request = bir.readLine();
System.out.println("客户端请求： " + request);
InetAddress ia = clentSocket.getInetAddress();
System.out.println("客户端ip:"+ia.getHostAddress());
String response = kkpf.processInput(request);
// 向客户端发送
System.out.println("返回客户端响应：" + response);
kkpf.sendResponse(pw, response);
} catch (IOException e) {
// TODO Auto-generated catch block
e.printStackTrace();
} catch (ResponseError e) {
// TODO Auto-generated catch block
e.printStackTrace();
} finally {
try {
System.out.println("关闭客户与服务端的连接");
this.pw.close();
this.bir.close();
this.clentSocket.close();
} catch (Exception e) {
e.printStackTrace();
}
}
}
}
2.2.2 KnockKnockProtocol 双方通信协义处理类。
package test1.service;
import java.io.PrintWriter;
import test1.error.ResponseError;
/**
* @作者：刘家鸽
* @功能：协义处理类
*/
public class KnockKnockProtocol implements KnockKnockProtocolFace {
private String response = null;
//获得客户端协义
public String processInput(String request) throws ResponseError {
if (request.equalsIgnoreCase(KnockKnockProtocolFace.QUERY_USER)) {
response = this.processQUERY_USER(request);
} else {
response = KnockKnockProtocolFace.NOT_EXIST_REQUEST_PROTOCOL_ERROR;
}
return this.response;
}
//处理QUERY_USER协义
public String processQUERY_USER(String request) throws ResponseError {
this.response = this.QUERY_USER_SUCCEED_INFO;
return this.response;
}
// 发送服务端请求
public void sendResponse(PrintWriter pw, String response) throws ResponseError {
pw.println(response);
pw.flush();
}
}
2.2.3 KnockKnockProtocolFace 双方通信协义处理接口。
package test1.service;
import java.io.PrintWriter;
import test1.error.ResponseError;
/**
* @作者：刘家鸽
* @功能：协义处理类接口
*/
public interface KnockKnockProtocolFace {牋牋牋牋牋牋 //此属性没有从数据库或属性文件中读取。
public static final String EXIT = "EXIT";
public static final String QUERY_USER = "QUERY_USER";
public static final String ERROR = "ERROR";
public static final String QUERY_USER_ERROR_INFO = "QUERY_USER_ERROR";
public static final String QUERY_USER_SUCCEED_INFO = "QUERY_USER_SUCCEED";
public static final String NOT_EXIST_REQUEST_PROTOCOL_ERROR = "NOT_EXIST_REQUEST_PROTOCOL_ERROR";
public String processInput(String request) throws ResponseError;
public String processQUERY_USER(String request) throws ResponseError;
public void sendResponse(PrintWriter pw,String response) throws ResponseError;
}
2.2.4 MyService 服务端监听处理主方法类。
package test1.service;
import java.io.BufferedInputStream;
import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStreamReader;
import java.io.PrintWriter;
import java.net.ServerSocket;
import java.net.Socket;
/**
* @作者：刘家鸽
* @功能：服务监听
*/
public class MyService {
private ServerSocket ss = null;
private KKMultiServerThread kkst = null;
private int PORT = 65534;
private long MILLIS = 0l;
private Socket s = null;
// 服务
public static void main(String[] args) {
new MyService().startMainService();
}
// 开启服务
private void startMainService() {
try {
// 设置服务端提供服端口
ss = new ServerSocket(this.PORT);
KnockKnockProtocol kkpl = new KnockKnockProtocol();
kkst = new KKMultiServerThread();
// /s = ss.accept();
int count = 0;
// 读取客户端信息
while (true) {
System.out.println("等待读取客户端信息");
//s = ss.accept();
KKMultiServerThread st = new KKMultiServerThread(ss.accept(),
new KnockKnockProtocol());
st.start();
st.sleep(0);
}
// 关闭客户端连接
} catch (IOException e) {
// TODO Auto-generated catch block
e.printStackTrace();
} catch (InterruptedException e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
try {
System.out.println("服务端关闭客户端连接");
if (s != null)
s.close();
if (ss != null)
ss.close();
} catch (IOException e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
}
}
2.2.5 MyClient 客户端主方法类。
package test1.service;
import java.io.IOException;
import java.net.*;
import java.io.*;
/**
* @作者：刘家鸽
* @功能：客户监听
*/
public class MyClient {
private Socket s = null;
private BufferedReader br = null;
private BufferedReader brClent = null;
private PrintWriter pw = null;
// 客户端实实读取
public static void main(String[] args) {
// TODO Auto-generated method stub
for (int i = 0; i < args.length; i++) {
new MyClient().startClientService(args[i]);
}
}
// 开启客户端
private void startClientService(String command) {
try {
// for (int i = 0; i < 10; i++) {
s = new Socket(InetAddress.getLocalHost(), 65534);
System.out.println("建立与服务端的连接1" + s);
br = new BufferedReader(new InputStreamReader(s.getInputStream()));
pw = new PrintWriter(s.getOutputStream());
// pw.println("QUERY_USER");
pw.println(command);
pw.flush();
// 如果得到服务端响应 新关闭与服务端的连接
boolean flag = true;
while (flag) {
if (br.ready()) {
System.out.println("res: " + br.readLine());
break;
}
}
} catch (UnknownHostException e) {
// TODO Auto-generated catch block
e.printStackTrace();
} catch (IOException e) {
// TODO Auto-generated catch block
e.printStackTrace();
} finally {
// 关闭与服务端的连接
System.out.println("关闭与服务端的连接");
try {
if (br != null)
br.close();
if (pw != null)
pw.close();
if (s != null)
s.close();
} catch (IOException e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
}
}
}
2.3 包test1.error含类功能说明：
2.3.1 ResponseError 服务端处理客户端响应异常类。
package test1.error;
/**
* @作者：刘家鸽
* @功能：异常处理类
*/
public class ResponseError extends Exception {
public ResponseError(String msg) {
super(msg);
}
}
总结：
1.使用JAVA SOCKET 能够实现强健的网络程序。JAVA SOCKET 帮我们实现了许多网络通信底层技术。
2.以上代码并不作为实际应用，很多地方没有实现开闭原则，但是就测试程序而言足够。

您的JAVA代码安全吗?

核心提示：虽然客户仍然很关心您为他们构建的应用程序的可伸缩性和可用性，但他们可能变得也很关心安全性，而且要求特别严格。
虽然客户仍然很关心您为他们构建的应用程序的可伸缩性和可用性，但他们可能变得也很关心安全性，而且要求特别严格。应用程序可能容易受到两类安全性威胁的攻击：静态和动态。虽然开发人员不能完全控制动态威胁，但在开发应用程序时，您可以采取一些预防措施来消除静态威胁。本文概括并解释了 13 种类型的静态暴露 ― 它们是系统中的缺陷，它使系统暴露在想要篡夺该系统的特权的攻击者面前。您将学会如何处理这些暴露，以及如何发现（如果不处理这些暴露）这些暴露可能造成的影响。
在开发?Java燱eb 应用程序时，您需要确保应用程序拥有完善的安全性特征补充。这里在谈到?Java?安全性时，我们并不谈及 Java 语言提供的安全性 API，也不涉及使用 Java 代码来保护应用程序。本文将着重讨论可能潜伏在您的 Java 应用程序中的 安全性暴露。安全性暴露是系统中的缺陷，它使系统无法 ― 即使系统被正常使用 ― 防止攻击者篡夺对系统的特权、控制系统的运行、危及系统上的数据安全或者假冒未经授权的信任。相对于安全性暴露，许多开发人员更加关心网站的感官效果。
毫无疑问，客户现在既严格地关注性能、可伸缩性和可用性也严格地关注安全性。应用程序可能容易受到两类安全性威胁的攻击： 动态和 静态。动态威胁是那些同未经授权进入系统有关的威胁，或那些同跨越网络传输的数据的完整性、隐私和机密性有关的威胁。这些威胁同应用程序的功能代码没有多大关系；使用加密、加密术和认证技术来消除这些威胁。相比之下，静态威胁却同应用程序的功能代码 有关；它们同进入系统的授权用户所做的事情有关。未知用户闯入系统是动态威胁的一个示例；授权用户以未授权方式操作系统内的代码或数据是静态威胁的示例。应用程序开发人员并不能完全控制动态威胁；但开发人员在构建应用程序时却可以采取预防措施来消除静态威胁。
在本文中，我们讨论了对付 13 种不同静态暴露的技巧。对于每种暴露，我们解释了不处理这些安全性问题所造成的影响。我们还为您推荐了一些准则，要开发不受这些静态安全性暴露威胁的、健壮且安全的 Java 应用程序，您应该遵循这些准则。一有合适的时机，我们就提供代码样本（既有暴露的代码也有无暴露的代码）。
对付高严重性暴露的技巧
请遵循下列建议以避免高严重性静态安全性暴露：
·限制对变量的访问
·让每个类和方法都成为 final，除非有足够的理由不这样做
·不要依赖包作用域
·使类不可克隆
·使类不可序列化
·使类不可逆序列化
·避免硬编码敏感数据
·查找恶意代码
限制对变量的访问
如果将变量声明为 public，那么外部代码就可以操作该变量。这可能会导致安全性暴露。
影响
如果实例变量为 public ，那么就可以在类实例上直接访问和操作该实例变量。将实例变量声明为 protected 并不一定能解决这一问题：虽然不可能直接在类实例基础上访问这样的变量，但仍然可以从派生类访问这个变量。
清单 1 演示了带有 public 变量的代码，因为变量为 public 的，所以它暴露了。
清单 1. 带有 public 变量的代码
Java代码
class Test {
public int id;
protected String name;
Test(){
id = 1;
name = "hello world";
}
//code
}
public class MyClass extends Test{
public void methodIllegalSet(String name){
this.name = name;?// this should not be allowed
}
public static void main(String[] args){
Test obj = new Test();
obj.id = 123; // this should not be allowed
MyClass mc = new MyClass();
mc.methodIllegalSet("Illegal Set Value");
}
}
?
建议
一般来说，应该使用取值方法而不是 public 变量。按照具体问题具体对待的原则，在确定哪些变量特别重要因而应该声明为 private 时，请将编码的方便程度及成本同安全性需要加以比较。清单 2 演示了以下列方式来使之安全的代码：
清单 2. 不带有 public 变量的代码
Java代码
class Test {
private int id;
private String name;
Test(){
id = 1;
name = "hello world";
}
public void setId(int id){
this.id = id;
}
public void setName(String name){
this.name = name;
}
public int getId(){
return id;
}
public String getName(){
return name;
}
}
让每个类和方法都为 final
不允许扩展的类和方法应该声明为 final 。这样做防止了系统外的代码扩展类并修改类的行为。
影响
仅仅将类声明为非 public 并不能防止攻击者扩展类，因为仍然可以从它自己的包内访问该类。
建议
让每个类和方法都成为 final，除非有足够的理由不这样做。按此建议，我们要求您放弃可扩展性，虽然它是使用诸如 Java 语言之类的面向对象语言的主要优点之一。在试图提供安全性时，可扩展性却成了您的敌人；可扩展性只会为攻击者提供更多给您带来麻烦的方法。
不要依赖包作用域
没有显式地标注为 public 、 private 或 protected 的类、方法和变量在它们自己的包内是可访问的。
影响
如果 Java 包不是封闭的，那么攻击者就可以向包内引入新类并使用该新类来访问您想保护的内容。诸如 java.lang 之类的一些包缺省是封闭的，一些 JVM 也让您封闭自己的包。然而，您最好假定包是不封闭的。
建议
从软件工程观点来看，包作用域具有重要意义，因为它可以阻止对您想隐藏的内容进行偶然的、无意中的访问。但不要依靠它来获取安全性。应该将类、方法和变量显式标注为 public 、 private 或 protected 中适合您特定需求的那种。
使类不可克隆
克隆允许绕过构造器而轻易地复制类实例。
影响
即使您没有有意使类可克隆，外部源仍然可以定义您的类的子类，并使该子类实现 java.lang.Cloneable 。这就让攻击者创建了您的类的新实例。拷贝现有对象的内存映象生成了新的实例；虽然这样做有时候是生成新对象的可接受方法，但是大多数时候是不可接受的。清单 3 说明了因为可克隆而暴露的代码：
清单 3. 可克隆代码
Java代码
class MyClass{
private int id;
private String name;
public MyClass(){
id=1;
name="HaryPorter";
}
public MyClass(int id,String name){
this.id=id;
this.name=name;
}
public void display(){
System.out.println("Id ="+id+"\n"+"Name="+name);
}
}
// hackers code to clone the user class
public class Hacker extends MyClass implements Cloneable {
public static void main(String[] args){
Hacker hack=new Hacker();
try{
MyClass o=(MyClass)hack.clone();
o.display();
}
catch(CloneNotSupportedException e){
e.printStackTrace();
}
}
}
建议
要防止类被克隆，可以将清单 4 中所示的方法添加到您的类中：
清单 4. 使您的代码不可克隆
Java代码
public final Object clone()
throws java.lang.CloneNotSupportedException{
throw new java.lang.CloneNotSupportedException();
}
如果想让您的类可克隆并且您已经考虑了这一选择的后果，那么您仍然可以保护您的类。要做到这一点，请在您的类中定义一个为 final 的克隆方法，并让它依赖于您的一个超类中的一个非 final 克隆方法，如清单 5 中所示：
清单 5. 以安全的方式使您的代码可克隆
Java代码
public final Object clone()
throws java.lang.CloneNotSupportedException {
super.clone();
}
类中出现 clone() 方法防止攻击者重新定义您的 clone 方法。
使类不可序列化
序列化允许将类实例中的数据保存在外部文件中。闯入代码可以克隆或复制实例，然后对它进行序列化。
影响
序列化是令人担忧的，因为它允许外部源获取对您的对象的内部状态的控制。这一外部源可以将您的对象之一序列化成攻击者随后可以读取的字节数组，这使得攻击者可以完全审查您的对象的内部状态，包括您标记为 private 的任何字段。它也允许攻击者访问您引用的任何对象的内部状态。
建议
要防止类中的对象被序列化，请在类中定义清单 6 中的 writeObject() 方法：
清单 6. 防止对象序列化
Java代码
private final void writeObject(ObjectOutputStream out)
throws java.io.NotSerializableException {
throw new java.io.NotSerializableException("This object cannot be serialized");
}
通过将 writeObject() 方法声明为 final，防止了攻击者覆盖该方法。
使类不可逆序列化
通过使用逆序列化，攻击者可以用外部数据或字节流来实例化类。
影响
不管类是否可以序列化，都可以对它进行逆序列化。外部源可以创建逆序列化成类实例的字节序列。这种可能为您带来了大量风险，因为您不能控制逆序列化对象的状态。请将逆序列化作为您的对象的另一种公共构造器 ― 一种您无法控制的构造器。
建议
要防止对对象的逆序列化，应该在您的类中定义清单 7 中的 readObject() 方法：
清单 7. 防止对象逆序列化
Java代码
private final void readObject(ObjectInputStream in)
throws java.io.NotSerializableException {
throw new java.io.NotSerializableException("This object cannot be deserialized");
}
通过将该方法声明为 final ，防止了攻击者覆盖该方法。
避免硬编码敏感数据
您可能会尝试将诸如加密密钥之类的秘密存放在您的应用程序或库的代码。对于你们开发人员来说，这样做通常会把事情变得更简单。
影响
任何运行您的代码的人都可以完全访问以这种方法存储的秘密。没有什么东西可以防止心怀叵测的程序员或虚拟机窥探您的代码并了解其秘密。
建议
可以以一种只可被您解密的方式将秘密存储在您代码中。在这种情形下，秘密只在于您的代码所使用的算法。这样做没有多大坏处，但不要洋洋得意，认为这样做提供了牢固的保护。您可以 遮掩您的源代码或字节码 ― 也就是，以一种为了解密必须知道加密格式的方法对源代码或字节码进行加密 ― 但攻击者极有可能能够推断出加密格式，对遮掩的代码进行逆向工程从而揭露其秘密。
这一问题的一种可能解决方案是：将敏感数据保存在属性文件中，无论什么时候需要这些数据，都可以从该文件读取。如果数据极其敏感，那么在访问属性文件时，您的应用程序应该使用一些加密／解密技术。
查找恶意代码
从事某个项目的某个心怀叵测的开发人员可能故意引入易受攻击的代码，打算日后利用它。这样的代码在初始化时可能会启动一个后台进程，该进程可以为闯入者开后门。它也可以更改一些敏感数据。
这样的恶意代码有三类：
·类中的 main 方法
·定义过且未使用的方法
·注释中的死代码
影响
入口点程序可能很危险而且有恶意。通常，Java 开发人员往往在其类中编写 main() 方法，这有助于测试单个类的功能。当类从测试转移到生产环境时，带有 main() 方法的类就成为了对应用程序的潜在威胁，因为闯入者将它们用作入口点。
请检查代码中是否有未使用的方法出现。这些方法在测试期间将会通过所有的安全检查，因为在代码中不调用它们 ― 但它们可能含有硬编码在它们内部的敏感数据（虽然是测试数据）。引入一小段代码的攻击者随后可能调用这样的方法。
避免最终应用程序中的死代码（注释内的代码）。如果闯入者去掉了对这样的代码的注释，那么代码可能会影响系统的功能性。
可以在清单 8 中看到所有三种类型的恶意代码的示例：
清单 8. 潜在恶意的 Java 代码
Java代码
public void unusedMethod(){
// code written to harm爐he system
}
public void usedMethod(){
//unusedMethod(); //code in comment put with bad intentions,
//might affect the system if uncommented
// int x = 100;
// x=x+10;牋牋牋?//Code in comment, might affect the
//functionality of the system if uncommented
}
建议
应该将（除启动应用程序的 main() 方法之外的） main() 方法、未使用的方法以及死代码从应用程序代码中除去。在软件交付使用之前，主要开发人员应该对敏感应用程序进行一次全面的代码评审。应该使用“Stub”或“dummy”类代替 main() 方法以测试应用程序的功能。
对付中等严重性暴露的技巧
请遵循下列建议以避免中等严重性静态安全性暴露：
·不要依赖初始化
·不要通过名称来比较类
·不要使用内部类
不要依赖初始化
您可以不运行构造器而分配对象。这些对象使用起来不安全，因为它们不是通过构造器初始化的。
影响
在初始化时验证对象确保了数据的完整性。
例如，请想象为客户创建新帐户的 Account 对象。只有在 Account 期初余额大于 0 时，才可以开设新帐户。可以在构造器里执行这样的验证。有些人未执行构造器而创建 Account 对象，他可能创建了一个具有一些负值的新帐户，这样会使系统不一致，容易受到进一步的干预。
建议
在使用对象之前，请检查对象的初始化过程。要做到这一点，每个类都应该有一个在构造器中设置的私有布尔标志，如清单 9 中的类所示。在每个非 static 方法中，代码在任何进一步执行之前都应该检查该标志的值。如果该标志的值为 true ，那么控制应该进一步继续；否则，控制应该抛出一个例外并停止执行。那些从构造器调用的方法将不会检查初始化的变量，因为在调用方法时没有设置标志。因为这些方法并不检查标志，所以应该将它们声明为 private 以防止用户直接访问它们。
清单 9. 使用布尔标志以检查初始化过程
Java代码
public class MyClass{
private boolean initialized = false;
//Other variables
public MyClass (){
//variable initialization
method1();
initialized = true;
}
private void method1(){ //no need to check for initialization variable
//code
}
public void method2(){
try{
if(initialized==true){
//proceed with the business logic
}
else{
throw new Exception("Illegal State Of the object");
}
}catch(Exception e){
e.printStackTrace();
}
}
}
如果对象由逆序列化进行初始化，那么上面讨论的验证机制将难以奏效，因为在该过程中并不调用构造器。在这种情况下，类应该实现 ObjectInputValidation 接口：
清单 10. 实现 ObjectInputValidation
Java代码
interface java.io.ObjectInputValidation {
public void validateObject() throws InvalidObjectException;
}
所有验证都应该在 validateObject() 方法中执行。对象还必须调用 ObjectInputStream.RegisterValidation() 方法以为逆序列化对象之后的验证进行注册。 RegisterValidation() 的第一个参数是实现 validateObject() 的对象，通常是对对象自身的引用。注：任何实现 validateObject() 的对象都可能充当对象验证器，但对象通常验证它自己对其它对象的引用。 RegisterValidation() 的第二个参数是一个确定回调顺序的整数优先级，优先级数字大的比优先级数字小的先回调。同一优先级内的回调顺序则不确定。
当对象已逆序列化时， ObjectInputStream 按照从高到低的优先级顺序调用每个已注册对象上的 validateObject() 。
不要通过名称来比较类
有时候，您可能需要比较两个对象的类，以确定它们是否相同；或者，您可能想看看某个对象是否是某个特定类的实例。因为 JVM 可能包括多个具有相同名称的类（具有相同名称但却在不同包内的类），所以您不应该根据名称来比较类。
影响
如果根据名称来比较类，您可能无意中将您不希望授予别人的权利授予了闯入者的类，因为闯入者可以定义与您的类同名的类。
例如，请假设您想确定某个对象是否是类 com.bar.Foo 的实例。清单 11 演示了完成这一任务的错误方法：
清单 11. 比较类的错误方法
Java代码
if(obj.getClass().getName().equals("Foo"))牋 // Wrong!
// objects class is named Foo
}else{
// object‘s class has some other name
}
建议
在那些非得根据名称来比较类的情况下，您必须格外小心，必须确保使用了当前类的 ClassLoader 的当前名称空间，如清单 12 中所示：
清单 12. 比较类的更好方法
Java代码
if(obj.getClass() == this.getClassLoader().loadClass("com.bar.Foo")){
// object‘s class is equal to
//the class that this class calls "com.bar.Foo"
}else{
// object‘s class is not equal to the class that
// this class calls "com.bar.Foo"
}
然而，比较类的更好方法是直接比较类对象看它们是否相等。例如，如果您想确定两个对象 a 和 b 是否属同一个类，那么您就应该使用清单 13 中的代码：
清单 13. 直接比较对象来看它们是否相等
Java代码
if(a.getClass() == b.getClass()){
// objects have the same class
}else{
// objects have different classes
}
尽可能少用直接名称比较。
不要使用内部类
Java 字节码没有内部类的概念，因为编译器将内部类转换成了普通类，而如果没有将内部类声明为 private ，则同一个包内的任何代码恰好能访问该普通类。
影响
因为有这一特性，所以包内的恶意代码可以访问这些内部类。如果内部类能够访问括起外部类的字段，那么情况会变得更糟。可能已经将这些字段声明为 private ，这样内部类就被转换成了独立类，但当内部类访问外部类的字段时，编译器就将这些字段从专用（private）的变为在包（package）的作用域内有效的。内部类暴露了已经够糟糕的了，但更糟糕的是编译器使您将某些字段成为 private 的举动成为徒劳。
建议
如果能够不使用内部类就不要使用内部类。
对付低严重性暴露的技巧
请遵循下列建议以避免低严重性静态安全性暴露：
·避免返回可变对象
·检查本机方法
避免返回可变对象
Java 方法返回对象引用的副本。如果实际对象是可改变的，那么使用这样一个引用调用程序可能会改变它的内容，通常这是我们所不希望见到的。
影响
请考虑这个示例：某个方法返回一个对敏感对象的内部数组的引用，假定该方法的调用程序不改变这些对象。即使数组对象本身是不可改变的，也可以在数组对象以外操作数组的 内容，这种操作将反映在返回该数组的对象中。如果该方法返回可改变的对象，那么事情会变得更糟；外部实体可以改变在那个类中声明的 public 变量，这种改变将反映在实际对象中。
清单 14 演示了脆弱性。 getExposedObj() 方法返回了 Exposed 对象的 引用副本，该对象是可变的：
清单 14. 返回可变对象的引用副本
Java代码
class Exposed{
private int id;
private String name;
public Exposed(){
}
public Exposed(int id, String name){
this.id = id;
this.name = name;
}
public int getId(){
return id;
}
public String getName(){
return name;
}
public void setId(int id){
this.id=id;
}
public void setName(String name){
this.name = name;
}
public void display(){
System.out.println("Id = "+ id + " Name = "+ name);
}
}
public class Exp12{
private Exposed exposedObj = new Exposed(1,"Harry Porter");
public Exposed getExposedObj(){
return exposedObj;牋?//returns a reference to the object.
}
public static void main(String[] args){
Exp12 exp12 = new Exp12();
exp12.getExposedObj().display();
Exposed exposed = exp12.getExposedObj();
exposed.setId(10);
exposed.setName("Hacker");
exp12.getExposedObj().display();
}
}
建议
如果方法返回可改变的对象，但又不希望调用程序改变该对象，请修改该方法使之不返回实际对象而是返回它的副本或克隆。要改正清单 14 中的代码，请让它返回 Exposed 对象的 副本,如清单 15 中所示：
清单 15. 返回可变对象的副本
Java代码
public Exposed getExposedObj(){
return new Exposed(exposedObj.getId(),exposedObj.getName());
}
或者，您的代码也可以返回 Exposed 对象的克隆。
检查本机方法
本机方法是一种 Java 方法，其实现是用另一种编程语言编写的，如 C 或?C++。有些开发人员实现本机方法，这是因为 Java 语言即使使用即时（just-in-time）编译器也比许多编译过的语言要慢。其它人需要使用本机代码是为了在 JVM 以外实现特定于平台的功能。
影响
使用本机代码时，请小心，因为对这些代码进行验证是不可能的，而且本机代码可能潜在地允许 applet 绕过通常的安全性管理器（Security Manager）和 Java 对设备访问的控制。
建议
如果非得使用本机方法，那么请检查这些方法以确定：
·它们返回什么
·它们获取什么作为参数
·它们是否绕过安全性检查
·它们是否是 public 、 private 等等
·它们是否含有绕过包边界从而绕过包保护的方法调用
结束语
编写安全 Java 代码是十分困难的，但本文描述了一些可行的实践来帮您编写安全 Java 代码。这些建议并不能解决您的所有安全性问题，但它们将减少暴露数目。最佳软件安全性实践可以帮助确保软件正常运行。安全至关重要和高可靠系统设计者总是花费大量精力来分析和跟踪软件行为。只有通过将安全性作为至关紧要的系统特性来对待 ― 并且从一开始就将它构建到应用程序中，我们才可以避免亡羊补牢似的、修修补补的安全性方法。

关于Java权限控制算法
2011-01-27 13:49牋 来源：华军资讯整理牋 RSS复制链接打印
核心提示：向大家介绍一种很不错，也是Linux中的权限管理算法。定义a^b为：a的b次方假如，我们为每一个操作设定一个唯一的整数值，比如：
向大家介绍一种很不错，也是Linux中的权限管理算法。
定义a^b为：a的b次方
假如，我们为每一个操作设定一个唯一的整数值，比如：
删除Ａ－－－0
修改Ａ－－－1
添加Ａ－－－2
删除Ｂ－－－3
修改Ｂ－－－4
添加Ｂ－－－5
。。。
理论上可以有Ｎ个操作，这取决于你用于储存用户权限值的数据类型了。
这样，如果用户有权限：添加Ａ－－－2；删除Ｂ－－－3；修改Ｂ－－－4
那用户的权限值 purview =2^2+2^3+2^4＝28，也就是2的权的和了
化成二进制可以表示为11100
如果要验证用户是否有删除Ｂ的权限，就可以通过位与运算来实现。
在Ｊａｖａ里，位与运算运算符号为＆
即是：int value = http://www.mamicode.com/purview &((int)Math.pow(2,3));
你会发现，当用户有操作权限时，运算出来的结果都会等于这个操作需要的权限值！
原理：
位与运算，顾名思义就是对位进行与运算：
以上面的式子为例：purview & 2^3 也就是　28&8
将它们化成二进制有
11100
＆ 01000
-------------------
01000 == 8(十进制)　＝＝　2^3
同理，如果要验证是否有删除Ａ－－－0的权限
可以用：purview &((int)Math.pow(2,0));
即：
11100
＆ 00001
------------------------
00000 == 0(十进制)　　！＝　2^0
这种算法的一个优点是速度快。可以同时处理Ｎ个权限，设置Ｎ种角色．
如果想验证是否同时有删除Ａ－－－0和删除Ｂ－－－3的权限
可以用purview&(2^0+2^3)==(2^0+2^3)?true:false;
设置多角色用户。根据权限值判断用户的角色。。。
下面提供一个java的单操作权限判断的代码：
//userPurview是用户具有的总权限
//optPurview是一个操作要求的权限为一个整数（没有经过权的！）
public static boolean checkPower(int userPurview, int optPurview){
int purviewValue = http://www.mamicode.com/(int)Math.pow(2, optPurview);
return (userPurview & purviewValue) == purviewValue;
}
当然，多权限的验证只要扩展一下就可以了。
几点注意事项：首先，一个系统可能有很多的操作，因此，请建立数据字典，以便查阅，修改时使用。其次，如果用数据库储存用户权限，请注意数值的有效范围。操作权限值请用唯一的整数！Java的int类型最多可以储存11个权限和．如果超过，可以选择其它数据类型，而且建议不同模块，使用多个权限变量．

Java80端口占用异常解决方法
2011-01-27 14:08牋 来源：华军资讯整理牋 RSS复制链接打印
核心提示：Java80端口占用异常解决方法
1：Tomcat（或其他Web容器）启动时控制台报错如下示：
2007-8-2 15:20:43 org.apache.coyote.http11.Http11Protocol init
严重: Error initializing endpoint
java.net.BindException: Address already in use: JVM_Bind:8080
2007-8-2 15:20:43 org.apache.catalina.startup.Catalina load
严重: Catalina.start
LifecycleException: Protocol handler initialization failed: java.net.BindException: Address already in use: JVM_Bind:80
2007-8-2 15:20:46 org.apache.coyote.http11.Http11Protocol start
严重: Error starting endpointjava.net.BindException: Address already in use: JVM_Bind:80
2007-8-2 15:20:46 org.apache.catalina.startup.Catalina start
严重: Catalina.start:
LifecycleException: Protocol handler start failed: java.net.BindException: Address already in use: JVM_Bind:8080
2007-8-2 15:20:46 org.apache.catalina.startup.Catalina start
信息: Server startup in 2922 ms
这说明80端口(该端口是Tomcat的监听端口)已经被其他程序占用,先用命令提示符 " netstat -ano " 命令显示端口状态，再在结果中找到端口，然后根据其 PID 在输入 “ tasklist ” 命令显示中查找其对应程序，就可知道其程序名，进而查明程序的来源，采取适当的措施。
方法可以采用如下：
用netstat -ano 命令结果：

用tasklist 命令
我用这种方法查得是一个python.exe的进程占用了端口继而查到原来是plone程序占用了8080端口。于是关闭即可。

java面试