本来是看到一篇文章，写研究的，想COPY过来就完事了。该来来自于cssRain，但是在看的过程中，发现内容和标准偏差很多，于是就贴上它的链接，然后自己谈谈理解吧。

CSSRAIN的链接为：http://www.cssrain.cn/article.asp?id=1176

在jQuery里面对于一些HTML的元素操作都是很简化的，这也是很多人选择使用jQuery的原因。

对于获取某一个元素的值，如input框，我们往往是用$('#test').val();

$('#test')这个我就不多说了，反正就是获取ID为test的这个元素。

$('#test').val()，也就是获取它的值，一般来说，凡是能够用在FORM里的元素，都可以用.val()来进行值的获取，如input,textarea,select等，都可以用.val()来获取它们的当前值

而.val('aa');则是设置该元素的值，$('#test').val('aa')，也就是相当于设置test元素的值为aa。

类似这样的用法还有两种：.html(),.text()，这两种用法往往用在div和span元素上，一般是为这两种元素进行赋值和取值。

.html()替代了以前的 .innerHTML , .html('test') ，则是替代了 .innerHTML = 'test';

这些类似的简化写法让我们在实际的操作中感觉得更加流畅。

这些方法都是直接在方法名里加参数来进行赋值和取值的。还有一些是通过第二个参数进行取值的（说的不太清楚。。。），比如$('#test').attr('name')，那么，返回的值就是它的attribute中的name了，如果$('#test').attr('id','test2'),则是相当于把这个test元素的name设为test2,再进行取值的时候，name就是test2了。

说的太乱了。。。。

懒得整理，权当笔记

回忆未来的张宴推荐了这本书，并且在他的博客上提供了下载的链接，链接是新浪的爱问：点此下载《High Performance MySQL Second Edition》PDF电子版，并且博客上还有详细介绍：

  XML/HTML代码

为此，张宴还提供了一张图片：

整篇博客我作了一下整理和排序，想看原文的，请到：http://blog.s135.com/read.php?381，因为在这个页面上张宴采用了划词翻译，如果有看不懂英文的话，选中一下就会自动翻译了。。我没有提供。也不想再插入一些代码。呵呵

为了方便大家，我也上传了这个文件，大家可以点击下载：high.performance.mysql_second.edition.zip

原文地址：http://www.phpv.net/html/1639.html，作者：手气不错

未删节版本

开门见山，考虑下面的代码（原文连接有详细的解释）

看似准确无误的代码，但是暗藏着危险。让我们将其保存为 foo.php ，然后放到 PHP 环境中使用

foo.php/%22%3E%3Cscript%3Ealert('xss')%3C/script%3E%3Cfoo

访问，会发现弹出个 Javascript 的 alert -- 这很明显又是个 XSS 的注入漏洞。究其原因，发现是在

echo $_SERVER['PHP_SELF'];

这条语句上直接输出了未过滤的值。追根数源，我们看下 PHP 手册的描述

'PHP_SELF'

The filename of the currently executing script, relative to the document root. 
For instance, $_SERVER['PHP_SELF'] in a script at the address 
http://example.com/test.php/foo.bar would be /test.php/foo.bar. The __FILE__ 
constant contains the full path and filename of the current (i.e. included) file.
If PHP is running as a command-line processor this variable contains the script 
name since PHP 4.3.0. Previously it was not available.

原因很明确了，原来是 $_SERVER['PHP_SELF'] 虽然“看起来”是服务器提供的环境变量，但这的确和 $_POST 与 $_GET 一样，是可以被用户更改的。

其它类似的变量有很多，比如 $_COOKIE 等（如果用户想“把玩”他们的 cookie，那我们也是没有办法）。解决方案很简单，使用 strip_tags、htmlentities 等此类函数过滤或者转义。

echo htmlentities($_SERVER['PHP_SELF']);

-- Split --

上述的例子让我们需要时刻保持谨慎 coding 的心态。Chris Shiflett 在他的 Blog 总结的相当直白，防止 XSS 的两个基本的安全思想就是

Filter input
Escape output

我将上面翻译成 “过滤输入，转义输出”。详细的内容，可以参考他 Blog 的这篇文章，此处略。

小道消息：Linux 操作系统下的 Firefox 用户，从现在开始也可以用支付宝了。参见支付宝官方网志的安装指导。最近微软黑屏事件闹得挺凶，但这个时候支付宝发布新的安全控件，应该和此事无关。

至于很多苹果用户期待的在 Mac 下使用支付宝的事情，请稍安勿躁，有望在 11 月中旬得到解决。届时也将在支付志第一时间发布。支付宝安全工程师一直在努力!

支持 Mac 操作系统，通用的数字证书，更为安全、开放的支付宝时代即将到来。

原文：http://www.dbanotes.net/opensource/alipay_linux_firefox.html

几年前写的东西了，翻出来重贴一下，呵呵

今天在群里面，有个叫lewis的在问call_user_func_array的用法，因为之前一直没有用过，也不能说什么，于是看一下手册，发现是这么写的：

call_user_func_array