1.【组件攻击链】一文看懂Spring全家桶各类RCE漏洞
2.一文看懂SpringCloud和Nacos入门
3.简洁明了看懂cron表达式
4.76 张图，源码剖析 Spring AOP 源码，看懂小白居然也能看懂，源码大神，看懂请收下我的源码膝盖！
5.外行人都能看懂的看懂源码乘法师SpringCloud，错过了血亏！源码

【组件攻击链】一文看懂Spring全家桶各类RCE漏洞

       Spring全家桶简介涉及核心组件包括spring framework、看懂springboot、源码spring cloud、看懂spring security、源码spring mvc。看懂spring framework是源码所有内容的基础，提供ioc、看懂aop等核心功能。源码spring mvc用于web开发，springboot简化了配置，内置了tomcat和默认xml配置。spring cloud集成了分布式服务治理能力，spring security负责权限管理。spring家族的四个基本概念是ioc、context、bean和aop，其中ioc是控制反转，便于代码解耦和维护。

       Spring Websocket是内置消息代理，用于处理客户端订阅请求并广播消息。Spring Data简化了数据库访问，并支持云服务，Spring Data Commons作为基础框架，Spring Data REST自动实现rest接口，并符合hal规范。Spring Web Flow支持基于流程的开发。

       使用量统计显示Spring在余万网站中广泛应用，其中美国最多，中国第二，香港、北京、上海、广东使用量最高。

       SpEL是spring的表达式语言，用于动态执行运算和指令，支持基本表达式、类操作、集合操作和其他表达式。基于注解、XML和代码块的使用方式，可初始化bean属性和执行类相关操作。apisix源码图解字符串操作包括转换、方法调用和类实例化等。集合操作可以将字符串转化为数组。

       高危漏洞主要集中在Spring Framework、Spring Data REST、Spring Data Commons等组件，利用SpEL注入恶意代码。如CVE--利用STOMP代理创建WebSocket，CVE--利用Spring Data Commons构造表达式实现远程代码执行。CNVD--利用springboot处理内部错误，导致代码执行。CVE--和CVE--则分别通过PATCH方法和web flow配置触发代码执行。

       补丁解决方案通常将StandardEvaluationContext替换为SimpleEvaluationContext，以避免恶意类加载。CNVD--漏洞通过环境变量加载恶意配置文件，官方在Spring Boot 1.5及以后版本中添加了授权验证，限制了敏感接口的调用。

       通过理解Spring全家桶的组件、使用方式以及高危漏洞的原理和利用链，开发者可以更安全地使用Spring进行开发，避免潜在的安全风险。建议定期更新组件版本，关注官方发布的安全公告，遵循最佳实践，以确保系统的安全性。

一文看懂SpringCloud和Nacos入门

       随着互联网行业的发展，微服务架构逐渐成为行业趋势。本文将介绍微服务架构的核心概念、SpringCloud和Nacos的基本用法，帮助您快速入门微服务领域。

       ### 微服务架构的概述与学习目标

       学习目标：理解微服务架构的优缺点，掌握微服务架构与单体架构、分布式架构的区别。

       #### 单体架构

       单体架构将所有业务功能集中在一个项目中开发并部署，优点是易于管理与维护，但缺点是服务耦合度高，更新时需考虑全局影响。

       #### 分布式架构

       分布式架构通过功能拆分，将系统划分为多个独立的服务，提高了系统的可扩展性和复用性。优点包括降低服务耦合、提升系统灵活性。缺点在于架构复杂性增加，需要解决服务间的协同问题。

       #### 微服务架构

       微服务架构在分布式架构基础上，强调服务的独立性、细粒度拆分、查处出售源码松耦合，提供高内聚、低耦合的特性。它通过标准化约束分布式架构，进一步降低服务间依赖，使得服务可以独立部署、扩展。

       ### SpringCloud入门

       SpringCloud是Java领域中用于构建微服务的框架，提供了一系列组件，如服务发现、配置中心、断路器等，通过自动装配简化了微服务开发。

       #### SpringCloud组件介绍

       SpringCloud组件包括但不限于服务发现、配置中心、断路器、服务网关等，它们协同工作，提供微服务所需的功能。

       #### SpringCloud版本关系

       学习SpringCloud时，通常会基于特定版本的SpringBoot（如Hoxton.SR对应2.3.x版本），以确保组件兼容性和稳定性。

       ### 服务拆分与远程调用

       分布式系统中，服务拆分是关键环节。通过合理拆分，可以实现服务的独立部署与高效管理。

       #### 服务拆分原则

       在微服务架构下，服务拆分应遵循业务逻辑、数据管理、技术实现等原则，确保拆分后的服务具有高内聚、低耦合的特性。

       #### 服务拆分示例

       以云课堂实例为例，通过导入SQL语句和相关组件，构建微服务环境。其中包括用户服务（cloud-user）和订单服务（cloud-order）的实例。

       #### 远程调用案例

       在服务间实现远程调用，如订单服务查询用户服务信息，通过REST模板实现HTTP请求，简化服务间的交互。

       ### 注册中心与服务发现

       注册中心是微服务架构中的关键组件，负责服务的注册与发现。以Eureka和Nacos为例，介绍服务注册、服务发现的实现。

       #### Eureka注册中心

       Eureka提供服务注册与发现功能，通过Eureka Server与Eureka Client协同工作。爱车安源码服务提供者将自身注册到Eureka Server，服务消费者从Eureka Server获取服务信息。

       #### Nacos注册中心

       Nacos作为SpringCloud Alibaba的一部分，提供更丰富的功能，包括服务注册、配置中心、服务发现等。与Eureka相比，Nacos支持服务分级存储模型，提供更灵活的集群管理和负载均衡策略。

       ### 负载均衡与策略

       Ribbon是Spring Cloud中实现负载均衡的组件。它通过LoadBalancerClient与LoadBalancerInterceptor实现服务的负载均衡，确保服务请求能高效分发至不同实例。

       #### IRule接口与自定义策略

       IRule接口定义了不同的负载均衡策略，如随机、轮询等，允许开发者自定义策略以适应不同场景需求。

       ### 总结

       微服务架构提供了一种高度灵活、易于扩展的服务部署方式。通过SpringCloud、Eureka或Nacos等工具，可以实现服务的快速开发与部署，同时确保服务间的高效交互与负载均衡。

简洁明了看懂cron表达式

       cron表达式是用于安排任务在特定时间或周期性执行的强大工具。在Spring的@Scheduled和Quartz框架中，皆支持此功能，操作简便。理解cron表达式虽需稍作学习，但其组成清晰，易于掌握。

       cron表达式由6至7个分隔的字段构成，前6个是必需的，第7个可选。各字段的含义如下：

       从左至右，逐字段输入相应的值，即可设定任务的执行时间点及周期。

       值可由数字与特定字符组合。在绝大多数场景中，仅需使用'-'、'*'、'/'、'?'等字符即可满足需求。

       常见字符应用如下：

       - 用于指定具体时间点，如 "0 * * *" 表示每天中午点执行。

       * 代表任意值，如 "0 * * * *" 意味着每分钟执行。

       / 表示间隔执行，西安西部源码如 "0/5 * * * *" 表示每5分钟执行一次。

用于通配符匹配，如 "*/5 ? * * *" 表示每5分钟执行一次，适用于不定时间。

       理解并掌握这些字符及其应用，即可灵活安排任务执行时间，实现高效、自动化管理。

张图，剖析 Spring AOP 源码，小白居然也能看懂，大神，请收下我的膝盖！

       本文将简要介绍AOP（面向切面编程）的基础知识与使用方法，并深入剖析Spring AOP源码。首先，我们需要理解AOP的基本概念。

       1. **基础知识

**

       1.1 **什么是AOP？

**

       AOP全称为Aspect Oriented Programming，即面向切面编程。AOP的思想中，周边功能（如性能统计、日志记录、事务管理等）被定义为切面，核心功能与切面功能独立开发，然后将两者“编织”在一起，这就是AOP的核心。

       AOP能够将与业务无关、却为业务模块共同调用的逻辑封装，减少系统重复代码，降低模块间的耦合度，有利于系统的可扩展性和可维护性。

       1.2 **AOP基础概念

**

       解释较为官方，以下用“方言”解释：AOP包括五种通知分类。

       1.3 **AOP简单示例

**

       创建`Louzai`类，添加`LouzaiAspect`切面，并在`applicationContext.xml`中配置。程序入口处添加`"睡觉"`方法并添加前置和后置通知。接下来，我们将探讨Spring内部如何实现这一过程。

       1.4 **Spring AOP工作流程

**

       为了便于理解后面的源码，我们将整体介绍源码执行流程。整个Spring AOP源码分为三块，结合示例进行讲解。

       第一块是前置处理，创建`Louzai`Bean前，遍历所有切面信息并存储在缓存中。第二块是后置处理，创建`Louzai`Bean时，主要处理两件事。第三块是执行切面，通过“责任链+递归”执行切面。

       2. **源码解读

**

       注意：Spring版本为5.2..RELEASE，否则代码可能不同！这里，我们将从原理部分开始，逐步深入源码。

       2.1 **代码入口

**

       从`getBean()`函数开始，进入创建Bean的逻辑。

       2.2 **前置处理

**

       主要任务是遍历切面信息并存储。

       这是重点！请务必注意！获取切面信息流程结束，后续操作都从缓存`advisorsCache`获取。

       2.2.1 **判断是否为切面

**

       执行逻辑为：判断是否包含切面信息。

       2.2.2 **获取切面列表

**

       进入`getAdvice()`，生成切面信息。

       2.3 **后置处理

**

       主要从缓存拿切面，与`Louzai`方法匹配，创建AOP代理对象。

       进入`doCreateBean()`，执行后续逻辑。

       2.3.1 **获取切面

**

       首先，查看如何获取`Louzai`的切面列表。

       进入`buildAspectJAdvisors()`，方法用于存储切面信息至缓存`advisorsCache`。随后回到`findEligibleAdvisors()`，从缓存获取所有切面信息。

       2.3.2 **创建代理对象

**

       有了`Louzai`的切面列表，开始创建AOP代理对象。

       这是重点！请仔细阅读！这里有两种创建AOP代理对象方式，我们选择使用Cglib。

       2.4 **切面执行

**

       通过“责任链+递归”执行切面与方法。

       这部分逻辑非常复杂！接下来是“执行切面”最核心的逻辑，简述设计思路。

       2.4.1 **第一次递归

**

       数组第一个对象执行`invoke()`，参数为`CglibMethodInvocation`。

       执行完毕后，继续执行`CglibMethodInvocation`的`process()`。

       2.4.2 **第二次递归

**

       数组第二个对象执行`invoke()`。

       2.4.3 **第三次递归

**

       数组第三个对象执行`invoke()`。

       执行完毕，退出递归，查看`invokeJoinpoint()`执行逻辑，即执行主方法。回到第三次递归入口，继续执行后续切面。

       切面执行逻辑已演示，直接查看执行方法。

       流程结束时，依次退出递归。

       2.4.4 **设计思路

**

       这部分代码研究了大半天，因为这里不是纯粹的责任链模式。

       纯粹的责任链模式中，对象内部有一个自身的`next`对象，执行当前对象方法后，启动`next`对象执行，直至最后一个`next`对象执行完毕，或中途因条件中断执行，责任链退出。

       这里`CglibMethodInvocation`对象内部无`next`对象，通过`interceptorsAndDynamicMethodMatchers`数组控制执行顺序，依次执行数组中的对象，直至最后一个对象执行完毕，责任链退出。

       这属于责任链，实现方式不同，后续会详细剖析。下面讨论类之间的关系。

       主对象为`CglibMethodInvocation`，继承于`ReflectiveMethodInvocation`，`process()`的核心逻辑在`ReflectiveMethodInvocation`中。

       `ReflectiveMethodInvocation`的`process()`控制整个责任链的执行。

       `ReflectiveMethodInvocation`的`process()`方法中，包含一个长度为3的数组`interceptorsAndDynamicMethodMatchers`，存储了3个对象，分别为`ExposeInvocationInterceptor`、`MethodBeforeAdviceInterceptor`、`AfterReturningAdviceInterceptor`。

       注意！这3个对象都继承了`MethodInterceptor`接口。

       每次`invoke()`调用时，都会执行`CglibMethodInvocation`的`process()`。

       是否有些困惑？别着急，我将再次帮你梳理。

       对象与方法的关系：

       可能有同学疑惑，`invoke()`的参数为`MethodInvocation`，没错！但`CglibMethodInvocation`也继承了`MethodInvocation`，可自行查看。

       执行逻辑：

       设计巧妙之处在于，纯粹的责任链模式中，`next`对象需要保证类型一致。但这里3个对象内部没有`next`成员，不能直接使用责任链模式。怎么办呢？就单独设计了`CglibMethodInvocation.process()`，通过无限递归`process()`实现责任链逻辑。

       这就是我们为什么要研究源码，学习优秀的设计思路！

       3. **总结

**

       本文首先介绍了AOP的基本概念与原理，通过示例展示了AOP的应用。之后深入剖析了Spring AOP源码，分为三部分。

       本文是Spring源码解析的第三篇，感觉是难度较大的一篇。图解代码花费了6个小时，整个过程都沉浸在代码的解析中。

       难度不在于抠图，而是“切面执行”的设计思路，即使流程能走通，将设计思想总结并清晰表达给读者，需要极大的耐心与理解能力。

       今天的源码解析到此结束，有关Spring源码的学习，大家还想了解哪些内容，欢迎留言给楼仔。

外行人都能看懂的SpringCloud，错过了血亏！

       在技术领域，面对高深名词如集群、分布式、微服务、SOA等，初学者往往会感到望而生畏。但正如面对编程的挑战，深入理解这些概念并不像乍看之下那般遥不可及。本文将通过浅显易懂的方式，逐步解析SpringCloud的基本知识，让每个技术小白也能轻松上手。

       在开始之前，先抛出一句玩笑：“只有光头才能变强”，旨在轻描淡写地强调技术学习过程中的耐心与坚持。接下来，我们将从一个熟悉的故事开始，讲述SpringCloud在实践中的应用。

       想象你正在为一家名为“便利网”构建在线服务，随着用户量的增长，访问速度逐渐成为瓶颈。面对挑战，你的选择可能是增加硬件资源，比如CPU和内存，以提升性能。然而，随着用户量继续增加，单一服务器已无法满足需求，此时，引入SpringCloud的概念，比如集群，便显得尤为重要。

       集群，简单来说，就是将服务部署在多台服务器上，共同协作完成任务。这不仅提高了系统的处理能力，还能在一台服务器出现故障时，通过其他服务器的支撑，保证服务的连续性。以“便利网”为例，通过在多台服务器上部署相同的代码，可以有效分散访问压力，提升整体性能。

       再进一步，分布式系统则是在集群概念的基础上，将一个复杂服务拆分成多个独立的部分，每个部分部署在不同的服务器上，从而实现功能的分散化和负载的均衡。想象一个电商网站，其购物车、订单、用户管理等功能，分别部署在不同服务器上，不仅实现了资源的高效利用，还提升了系统的可扩展性和维护性。

       在实际应用中，SpringCloud提供了一整套解决方案，帮助开发者轻松实现集群、分布式系统的设计与部署。从基础概念到高级功能，SpringCloud覆盖了分布式系统设计的方方面面，使得开发者能够专注于业务逻辑，而无需深陷底层技术的复杂性。

       在探索SpringCloud的过程中，我们首先会接触到Eureka，一个用于服务注册与发现的工具。通过Eureka，服务间可以相互发现对方，无需硬编码IP地址，提高了系统的灵活性和可维护性。

       接着，借助SpringCloud的RestTemplate和Ribbon组件，开发者可以轻松实现服务间的远程调用和负载均衡。Ribbon组件支持多种负载均衡策略，确保在多台服务器间合理分配请求，提升服务的稳定性与响应速度。

       面对高并发场景，SpringCloud Hystrix提供了断路器机制，有效防止服务雪崩，确保系统在部分服务异常时仍能保持稳定运行。同时，Hystrix仪表盘提供了实时监控与故障诊断工具，帮助开发者快速定位问题，及时修复。

       为了简化开发过程，SpringCloud Feign组件应运而生，它基于Ribbon和Hystrix构建，提供声明式的服务调用接口，使得远程调用如同本地调用一样直观与便捷。

       为了解决API网关的难题，SpringCloud Zuul应运而生。它不仅支持客户端负载均衡和断路器保护，还能统一处理请求转发、身份验证等复杂逻辑，简化API的访问与管理。

       随着业务的不断扩展，配置管理成为了一个重要问题。SpringCloud Config项目提供了集中化的配置管理方案，使得配置文件的修改与同步更加高效，减少了维护成本。

       本文旨在通过具体案例与实例，将SpringCloud的基础知识以直观、易懂的方式呈现给读者。希望每一位技术爱好者都能通过本文的学习，找到进入SpringCloud世界的大门，开启技术进阶的新旅程。