SESSION与COOKIE到底哪个更安全?去年80sec公布关于NGINX+php的漏洞，跟今年的这次是同一个漏洞？有关系吗？http keep-alive超时时间过长，会带来安全问题吗？设置多少秒合适？腾讯QQ群文件包含漏洞又是怎么一回事呢？借用网友的一句话，作为程序员，尽量要做到“知其然，知其所以然”，多多关注web安全，不要给安全工程师添麻烦，不能丢了程序员的脸。
所谓技术
YSLOW法则中，为什么yahoo推荐用GET代替POST？
Yahoo的优化法则里，有这么一条“Use GET for AJAX Requests”，让我们尽量使用GET来代替POST发起AJAX请求，为什么呢？ 上上周五，公司前端工程师培训，提到前端优化的一些技巧，当然不能少了yahoo yslow的优化法则。其中有这么一条“Use GET for AJAX Requests”，这些法则从最开始的14条，到现在的35条，一直都时刻关注的。可这么一条的原因我却一点都不清楚。在提问的环节里，我对yahoo WEB前端优化法则推荐AJAX中，使用GET代替POST的原因有疑问，便请教前端工程师。我们的工程师说GET的话，浏览器发送一个包，POST会发两个等等。我对这个解释仍带有疑问，甚至怀疑。
编译xhprof时的一个小意外
当我查看[View Full Callgraph]的时候，却提示如下：Error: either we can not find profile data for run_id 4d7f0bd99a12f or the threshold 0.01 is too small or you do not have ‘dot’ image generation utility installed.，这TMD神马玩意？是什么错呢？
程序员的谦逊编程
其实每个程序员或多或少都会有个毛病，就是具有某种有强烈的“优越感”。而这种“优越感” 有可能成为激励自身不断发展的动力，同时也有可能成为其职场中的绊脚石。程序员的这种心态，源自自身掌握的技术、以及多年积累的经验。正如上面所言，这种心态 能使其一切都力求完美、同时准确按照自己的思路行事，能使其技术不断的提升。而另一方 面，如果将这种态度套用给身边其他的人（包括陌生人、同事、朋友甚至家庭），则会发现 他的生活将会如履薄冰 — 他们只会看见完美的一面而忽略了更多更需要关注的事物。
为什么使用ubuntu server的会被鄙视？
由于个人经历原因，我在06年经Dancefire推荐，才认识ubuntu的。时至今日，已有5、6年了。对着ubuntu有着莫名的喜爱。ubuntu桌面版的易用性，友好性，使得我这个菜鸟很容易的入门了。
如今，在公司的svn服务器系统选择上，我也选了ubuntu。
apache RewriteMap MapSource自定义规则使用手记
10.1期间，一位朋友问我一个apache的 Rewrite规则中一个高级语法RewriteMap的用法问题。其想要实现的是这个功能，有个多用户的blog，用户访问的时候，是用三级域名访问的。比如http://cfc4n1.blog.cnxct.com，http://cfc4n2.blog.cnxct.com这种三级域名。在服务器上，是对三级域名做泛解析。每个三级域名都生成了一个静态的html主页文件。由于用户数量较多，linux ext硬盘格式上同一目录文件太多，检索文件的速度会有折扣，遂将文件打散到不同的目录下。打散方式是以用户名【三级域名中的cfc4n1，cfc4n2等】的MD5值的每隔两位作为一个目录。
wordpress博客永久地址的二次重写
在很久很久以前，从前有座山，山上有个庙，庙里有个和尚在讲故事，讲什么呢？从前有座山，山上有个庙，庙里有个和尚在讲故事，讲什么呢……
言归正传，很久以前，博客的URL是这种形式http://www.cnxct.com/cnxct/612/ 这种形式，后来呢，听网上SEOer说，为了更好的SEO，URL中包含关键词，可提高权重等等等等。遂打算把老的URL形式重写成
如何精确查找PHP WEBSHELL木马？
上篇提到了关于网上流传查找PHP webshell的python脚本中，不严谨的代码并且给出了一个python的检测代码，同时，下文里也提到不能检测到反引号的命令执行的地方。今天，我想了下，现在把思路发出来。正则表达式该如何写？
分析：对于可移植性的部分共同点是什么？与其他正常的包含反引号的部分，区别是什么？
他们前面可以有空格，tab键等空白字符。也可以有程序代码，前提是如果有引号（单双）必须是闭合的。才是危险有隐患的。遂CFC4N给出的正则如下：【(?:(?:^(?:\s+)?)|(?:(?P<quote>[“‘])[^(?P=quote)]+?(?P=quote)[^`]*?))`(?P<shell>[^`]+)`】。
关于网上流传查找PHP webshell的python脚本中，不严谨的代码
不是闲着蛋疼，也不是批评谁，只是不忍心看到不严谨的代码在网上被疯传，误导初学者。以下引用的代码以及思路来自网络，只针对代码，不针对人。如有雷同，纯属巧合。
来自某大牛python版本的检测服务器上PHP代码中webshell的脚本代码片段如下：
findtype=[‘.php’，’.inc’] #要检查的文件后缀类型
keywords=[ [“eval\(\$\_POST”,”发现PHP一句话木马！”], [“(system|shell_exec|exec|popen)”,”发现PHP命令执行函数!”]]
然后，接着是python处理上面列表（数组），把每个列表的第一个元素作为正则表达式内容，然后进行匹配处理的。先看第一个检测“PHP一句话木马”的这个正则。【eval\(\$\_POST】这里转义了字符【_】，字符“_”不是元字符，不需要转义的，其实，转义也无妨，聪明的正则表达式引擎会识别修正的。来说下这个思路的遗漏之处。这里仅仅匹配字符串“eval(”后面的变量“$_POST”，如果是“$_GET”呢？如果是“$_REQUEST”呢？如果程序先把$_POST/$_GET/$REQUEST的key的变量先赋值给一个自定义的变量名，然后在用PHP的“eval”函数执行这个变量呢？是不是就查找不到了？其实，并不需要知道“eval”函数执行的变量名是什么，只要查找“eval(”即可，当然，还要注意“eval”函数后面可以有空格，tab键之类空白字符。上面的代码片段中，也没考虑到这一点。
snoopy.class.php中_striplink方法的正则分析
对于已经习惯8点左右起床上班的我来说，生物钟在早上8点左右，准时醒，有时候想赖床，但也无法再次入睡。起床洗漱，打开电脑，玩了两局web的三国杀，逛逛论坛，觉得饿了，才去煮点面条吃。回来继续，无意中打开PPC，看到一位网友“落叶人生”同学的帖子问一个正则问题，纠结了一下是否解释一下，以便给对方释疑解惑，也加固自己的知识。犹豫半天，觉得还是写下吧。