一，简单的权限模型有个访问权限列表如下：用户1 -- 查看文件
用户1 -- 编辑文件
用户2 -- 查看文件
用户2 -- 编辑文件
...
每个用户的每个权限，都保存在该表中，这种直接将权限绑定在用户上的方式就叫做基于用户的权限管理，ACL（Access Control List）。ACL的优点是简单易用、易于理解。缺点是系统逐渐复杂以后，用户和权限直接挂钩，授予权限时比较分散、不能集中管理，增加了复杂性。这时，人们就设计了基于角色的访问控制 RBAC（Role Based Access Control）。二，RBAC 基于角色的访问控制通过角色关联用户，角色关联权限的方式间接
1，实现在终端同一行输出不同内容import readline form 'readline';
console.clear();
setInterval(() = { //删除光标所在行
readline.clearLine(process.stdout, 0); //移动光标到行首
readline.cursorTo(process.stdout, 0, 0)
process.stdout.write(new Date().toLocaleString(), 'utf-8');
}, 1000);
2, 实现进度条import readline form 'readline
跨站请求伪造，也称为CSRF或XSRF，基本上永远存在。 它源于网站必须向另一个站点发出请求的简单功能。 假设我在 https://a.com 面中嵌入了以下表单。 form action="https://your-bank.com/transfer" method="POST" id="stealMoney"
input type="hidden"name="to"value="Scott Helme"
input type="hidden"name="account"value="14278935"
input type="hidden"name="amount"val
使用 url.parse() 函数转换'https://www.yuque.com!.evil.com'
'https://www.yuque.com%0a.evil.com'
会变成：'https://www.yuque.com/!.evil.com'
'https://www.yuque.com/%0a.evil.com'
可以看到 legacy API 并不认为 ! 字符属于域名的一部分，所以原始的 www.yuque.com!.evil.com 域名其实是非法的，而为了不抛异常，legacy API 尝试对它进行了一次转换，把它当成 www.yuque.com/!.evil.com 来
单元测试很重要，很多新兴的编程语言都是会内置对应的能力，但 Node.js 这块一直都是由社区来实现，前端同学耳熟能详的 Test Runner 有 Mocha、Jest。2022年04月19日正式发布的 Node.js 18.x ，终于，官方支持了 Test 能力。Fetch API 也被集成到这个版本中了。测试 API 接口在一定程度上代替 SuperTest 了。代码：import test from 'node:test';
import assert from 'assert/strict';
// 等价于 describe()
test('asynchronous passing
简介做爬虫解析 HTML，之前一直是用 cheerio，随着 jQuery 的渐行渐远，使用 cheerio 的类 jQuery API 已经成为一种负担， 我使用这个支持 Selectors API 的解析器 node-html-parser 来代替 cheerio。前后端的 HTML Selectors API 终于统一了。官方地址：https://www.npmjs.com/package/node-html-parser在 npmjs.com 的周下载量是：1,777,505。 cheerio 的周下载量是 6,696,323。执行速度上：cheerio :12.072
var assert = require("assert");
var request = require('supertest');
// describe('接口测试', async function () {
const http = require('http');
const app = require('../../app');
const PORT = process.env.PORT || 3003;
const SERVER = http.createServer(app.callback());
it('获取 API 版本信息', (done) = {
let
Jest 简介Jest 是一个越来越流行的测试框架，使用率渐渐超过了Mocha, 这些项目都在使用 Jest：Babel、 TypeScript、 Node、 React、 Angular、 Vue 等等！Jest 的目标是在大部分 JavaScript 项目上实现开箱即用， 无需配置。从 it 到 expect - Jest 将整个工具包放在同一个 地方。好书写、好维护、非常方便。快速上手npm install --save-dev jest
下面我们开始给一个假定的函数写测试，这个函数的功能是两数相加。首先创建 sum.js 文件：function sum(a, b) {
return
一，TypeScript 基本操作安装 TypeScript：npm install -g typescript
编写 test.ts 文件function greeter(person: string) {
return "Hello, " + person;
}
let user = [0, 1, 2];
document.body.innerHTML = greeter(user);
编译 ts 文件生成 js 文件：tsc test.ts
提示：greeter.ts(7,26): error TS2345: Argument of type 'number[]'
is no
一、N-API 开发方式介绍在 NAN 的开发方式下，一次编写好的代码在不同版本的 Node.js 下也需要重新编译，否则版本不符的话 Node.js 无法正常载入一个 C++ 扩展。即一次编写，到处编译。而 N-API 相较于 NAN 来说，它把 Node.js 的所有底层数据结构全部黑盒化，抽象成 N-API 当中的接口。不同版本的 Node.js 使用同样的接口，这些接口是稳定地 ABI 化的，即应用二进制接口（Application Binary Interface）。这使得在不同 Node.js 下，只要 ABI 的版本号一致，编译好的 C++ 扩展就可以直接使用，而不需要重新编译。
项目地址：https://www.npmjs.com/package/koa-csrf安装：npm install koa-csrf
需要配合session使用：// CSRF 防御
const CSRF = require('koa-csrf');
const csrfMD = new CSRF({
invalidSessionSecretMessage: 'Invalid session secret',
invalidTokenMessage: 'Invalid CSRF token',
invalidTokenStatusCode: 403,
});
router.post
XSS：Cross Site Scrit 跨站脚本攻击（为与 CSS 区别，所以在安全领域叫 XSS），通常是指黑客通过“HTML注入”，篡改了网页，插入了恶意脚本，从而在用户浏览网页时，控制用户浏览器的一种方法。跨站已经不重要，现在叫做“HTML注入”可能更加合适，单因为历史原因XSS这个名字一直保留下来。一，输入检查1.1 格式检查比如用户注册时检查账户、电话号码、邮件和生日等信息，都有一定格式规范。比如 "lordwang" 是一个合法的用户名，而字符串 "lordwang';select..." 不是一个合法的用户名。某种意义上，这些都属于白名单，可以让大部分攻击无效。Node.js
一，进程和线程简介进程是资源分配的最小单位，线程是CPU调度的最小单位 进程：进程是一个有独立功能的程序在一个数据集上的一次动态执行的过程，是操作系统进行资源分配和调度的一个独立单位，是应用程序运行的载体。进程是一种抽象的概念，一般定义是：进程由程序，数据集合和进程控制块三部分组成。（进程是资源分配的最小单位）。 线程：在早期的操作系统中并没有线程的概念，随着计算机的发展，为了应对进程之间的切换带来的巨大开销，就发明了线程，线程是程序执行中一个单一的顺序控制流程，一个进程可以有一个或多个线程，各个线程之间共享代码和数据空间，每个线程有独立的运行栈和程序计数器(PC)，线程切换开销小。（线程是c
实现websocket主要是两点，一个是协议的升级，再者就是数据包的解析与封装。目前比较火的websocket框架有socket.io 和 wssocket.io http://socket.io：43.5k star实际上不是一个 WebSocket 库，而是一个实时 pub/sub 框架。简单地说，Socket.io 是包含 WebSocket 功能的一个框架，如果要使用该库作为 server 端的服务，则 client 也必须使用该库，因为它不是标准的 WebSocket 协议，而是基于 WebSocket 再包装的消息通信协议。websockets/ws：9k star强大易用的 we
格式：\033[背景色编号;字色编号m
颜色属性：字色编号：30黑，31红，32绿，33黄，34蓝，35紫，36深绿，37白色背景编号：40黑，41红，42绿，43黄，44蓝，45紫，46深绿，47白色例子：console.log('\033[42;30m Error \033[40;32m 出错了 \033[0m');
用绿底（42）黑字（30）显示“Error”，然后使用黑底（40）绿字（32）显示余下的信息，最后关闭所有属性（\033[0m）其他标记：\033[0m 关闭所有属性
\033[1m 设置高亮度
\033[4m 下划线
\033[5m 闪烁
\033[7m 反显
Node.js 要求 ES6 模块采用.mjs 作为后缀。只有.mjs后缀的文件可以使用import或者export命令。如果不希望将后缀名改成.mjs，可以在项目的package.json文件中，指定type字段为module。{
"type": "module"
}
这时还要使用 CommonJS 模块，那么需要将 CommonJS 脚本的后缀名都改成.cjs。ES6 模块与 CommonJS 模块尽量不要混用。require()命令不能直接加载 ES6 模块，因为它是同步加载。ES6 模块的import命令可以加载 CommonJS 模块，但是只能整体加载，不能只加载单一的输
介绍一个 Koa.js 的 SESSION 的中间件安装npm install koa-session
例子const session = require('koa-session');
const Koa = require('koa');
const app = new Koa();
app.keys = ['some secret hurr'];
const CONFIG = {
key: 'koa:sess', //cookie key (default is koa:sess)
maxAge: 86400000, // cookie的过期时间 maxA
介绍koa-body 是一个可以帮助解析 http 中 body 的部分的中间件，包括 json、表单、文本、文件等。还有一个常用的类似扩展 koa-bodyparser对比其中，koa-bodyparser 不可以直接处理文件，需要上传文件的时候，还需要引用另外一个中间件 koa-multer，项目地址和使用数量如下：koa-body Used by 31.6khttps://github.com/dlau/koa-bodykoa-bodyparser Used by 73.1k https://github.com/koajs/bodyparser代码示例// 初始化
const koa
简介Node.js 的 JSON Web Token 模块有很多，我选择使用 jsonwebtoken。项目地址： https://www.npmjs.com/package/jsonwebtoken安装npm install jsonwebtoken --save
用法const jwt = require("jsonwebtoken")
const secret = "some word";
let payload = {};
payload.data = data || {}; //token 中包含的数据
payload.ctime = (new Date()
简介Nodemailer 是一个简单易用的 Node.JS 邮件发送模块（通过 SMTP，sendmail，或者 Amazon SES），支持 unicode，你可以使用任何你喜欢的字符集。安装npm install nodemailer --save
代码示例：const nodemailer = require('nodemailer');
const config = {
smtp: {
host: "smtp.163.com",
username: "123123123@163.com",
password: "123123123"
}
};
fu