shiro框架漏洞,java和网络安全沾边吗？

shiro框架漏洞,java和网络安全沾边吗？详细介绍

本文目录一览： 【CVE-2016-4437】Shiro反序列化漏洞复现

Apache Shiro是一款开源的java安全框架，执行身份验证、授权、密码和会话管理。 Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为rememberMe的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。
Apache Shiro <=1.2.4
使用vulhub搭建环境
尝试登录，登录的返回包中有 rememberMe=deleteMe 字段
或者不登录，发送一个GET请求登录页面的包，把cookie改成rememberMe=1，返回包中也存在 rememberMe=deleteMe 字段
则可判断使用了shiro框架，接下来使用工具ShiroExploit 检测是否存在shiro反序列化漏洞 https://github.com/feihong-cs/ShiroExploit-Deprecated/releases/tag/v2.51
当命令框可输入，代表存在漏洞
可以勾选便捷操作，反弹shell，输入攻击机的ip和端口号，并在攻击机监听端口，然后点fire，成功获取目标的shell

Shiro RememberMe 1.2.4 反序列化命令执行漏洞复现

Apache Shiro <= 1.2.4

shiro默认使用了 CookieRememberMeManager ，其处理cookie的流程是：得到 rememberMe的cookie值 --> Base64解码 --> AES解密 --> 反序列化 。
然而AES的密钥是硬编码的，就导致了攻击者可以构造恶意数据造成反序列化的RCE漏洞。

前16字节的密钥 -->后面 加入序列化参数 --> AES加密 --> base64编码 -->发送 cookie 。

使用大佬脚本生成 payload( ysoserial.jar 文件和运行目录处于同一目录)
图片.png 图片.png
这里依旧使用docker进行漏洞复现
图片.png 图片.png 图片.png 图片.png 图片.png 图片.png 图片.png 图片.png 图片.png 图片.png 图片.png 图片.png
参考链接：
https://blog.csdn.net/three_feng/article/details/52189559
http://www.db-sec.com/2019/06/apache-shiro%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E8%BF%9C%E7%A8%8B%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E%E5%A4%8D%E7%8E%B0/

shiro550和721的区别

Shiro-550，只需输入url，即可完成自动化检测和漏洞利用。Shiro-721，需输入url，提供一个有效的rememberMe Cookie，并指定目标操作系统类型。Shiro-550，Apache Shiro框架提供了记住密码的功能（RememberMe），用户登录成功后会生成经过加密并编码的cookie。在服务端对rememberMe的cookie值，先base64解码然后AES解密再反序列化，就导致了反序列化RCE漏洞。Shiro-721，由于Apache Shiro cookie中通过 AES-128-CBC 模式加密的rememberMe字段存在问题，用户可通过Padding Oracle 加密生成的攻击代码来构造恶意的rememberMe字段，并重新请求网站，进行反序列化攻击，最终导致任意代码执行。

java和网络安全沾边吗？

是的，Java与网络安全密切相关。Java本身已经有一些安全机制，例如类加载时的安全检查、安全管理器的限制、Sandbox（沙箱）环境等。Java还有许多用于网络编程的API，包括Socket，ServerSocket，URLConnection等，这些也涉及网络安全问题。此外，Java还有许多常用的框架和库，如Spring Security，Apache Shiro等，专门用于处理Web应用程序的安全性。网络安全通常是开发过程中非常重要的一环，因为安全性漏洞和攻击行为可以导致大量机密和敏感数据泄露，影响业务成功和声誉。因此，开发人员需要具备必要的网络安全意识和知识，使用安全框架和合理的网络编程技术来确保应用程序的安全性

使用JavaAPI的5个技巧

使用JavaAPI的5个技巧 不要自己去实现安全框架
几平每个人都知道避免去实现加密等算法。同样道理，你的应用的安全栈的其余部分也是一样，可能需要花费很大，得到的风险也很大。你很可能会犯一些错误。自1999年以来，已经有89373个CVE(公共漏洞和暴露)发布了。而其中公开的大部分的发现者都是那些非常聪明的人。
你可能认为处理一个简单的用例（例如验证用户的密码)是很简单的事情一你所做的一切只是比较一对字符串。这样想就错了。你需要验证密码的哈希值，审核尝试登录的次数，减少针对字典的攻击，这只是冰山一角。你最好的选择是使用现有的成熟的库或框架，例如Apache的Shiro或者SpringSecurity,让这些框架去处理各类复杂的安全问题。
2.Use TLS,Always!永远使用TLS!
能让你的应用需要TLS(HTTPS/SSL)只需要简单的一行代码，所有人都应该这样做！如果使用Apache Shiro框架，只需要设置属性：[urls]/**=ssl如果使用Spring Security.,只需要在设置HttpSecurity时，简单调用一个方法即可。http.requiresChannel()anyRequest().requiresSecure()，在Spring Boot中，仅需设置一些属性，如下：server.port=8443 server.ssl.key-store=classpath:keystore.jks server.ssl.key-store-password=secret server.ssl.key-password=another-secret。
3.使用Spring Booti创建Web Service
Spring Boot:是Spring平台的一个简化，能让编写Spring应用变得很简单，例如能用很少的代码，编写《app应用中考虑的12个因素》一文中提到的观点。如果你还在使用建War包的方式编码，那么Spring Boot值得你去学习。使用Spring Booti可以复杂的、不同类型的应用，例如可以使用简单的注解。
(@EnableResourceServer)）就搭建一个OAuth资源服务器，或者通过简单的属性改变其端口：server.port 8090如果不喜欢使用SpringBoot,.那么可以使用Dropwizard去搭建JAX-RS技术栈。
4,监视应用和性能指标
如果无任何数据的情况下是很难发现程序的错误的。Spring Booti通过使用Actuator,能让收集指标数据变得容易，只需要在应用中增加一个依赖，如下：
<dependency
org.springframework.boot。

spring-boot-starter-actuator
。

。

然后就可以通过浏览器中，在访问应用地址后输入/health或者/metrics去检查应用的健康情况或者指标。Dropwizard框架通过healthcheck和/metrics实现同样的功能。

5.保护敏感信息

人们都认为API密钥是不安全的，这是事实。密钥通过电子邮件发送或源代码管理系统控制。也许这是它们看起来比密码更不安全的原因，但它们也一样敏感。如果需要将AP川密钥存储在文件中，请确保授予文件有限的访问权限。

例如，我们建议在私人目录中存放Okta的YAML文件并且赋予文件所有者只读权限。chmod u=r,go-rwx ~/.okta/okta.yaml如果你正为使用你的APP的用户创建API,记得提醒他们，如果无设置好权限的话，SSH的忽文件是放在你的~/.ssh目录下，如果无设置好权限的话。GitHub把它们放在“危险区域”，以提醒用户，这是十分有用的。
</dependency

java框架有哪些

java常用的框架：SpringMVC、Spring、Mybatis、Dubbo、Maven、RabbitMQ、Log4j、Ehcache、Redis、Shiro。
java框架实在是太多了，网上一抄一大段，根本就了解不到什么。我还是以我的经验来说一下j2ee的框架。
1.首先力推struts2框架，这是最经典的框架(可以说没有“之一”)。可以帮你快速搭建出一个MVC模型出来。(注：struts1已经很少用了，且问题也很多，强烈推荐使用struts2).
2.Spring框架，这是排行第二的框架(我个人排得，非权威)，这个框架出彩的地方就在于它的“依赖注入”和“控制反转”。简单的说，就是在程序运行的时候才将参数注入到容器里。
3.持久层框架选Hibernate和Ibatis。 Hibernate自动化能力强，开发大型应用可以节约开发时间，ibatis小巧简洁，灵活。
4.Jquery是继prototype之后又一个优秀的Javacript框架，封装了很多javascript方法，是开发jsp用的框架，目前很流行
一般开发，都是使用Struts2+Spring+Hibernate(ibatis)整合，前端用jquery或者其他类似框架。对于简单的系统，有时用Spring MVC一个框架即可。

java课程培训机构分享使用JavaAPI的5个技巧

本文介绍了一些关于JavaAPI安全和性能方面的简单易用的技巧，其中包括保证APIKey安全和开发WebService方面中，java课程培训机构认为在框架方面选择的一些建议。
程序员都喜欢使用API！例如为app应用构建API或作为微服务架构体系的一部分。当然，使用API的前提是能让你的工作变得更轻松。为了简化开发和提高工作效率所作出的努力，有时也意味着需要寻找新的类库或者过程（或者减少过程）。对于很多开发团队来说，对于其APP和API进行管理认证和访问控制要耗费很多的时间，因此我们需想分享一些技巧，它们能节约你的时间，减少代码编写量，并能让你的应用更加安全和易于维护。
先介绍下本文提及的背景知识：Okta是一个基于REST、JSONAPI构建的Java应用，使用Spring框架构建。我们公司的应用，是保存用户的身份凭证和其他公司的敏感数据，所以对我们来说，安全是最重要的。因此，我对这些技巧的第一个要求是，它们能帮助令到你的Java应用更安全。
这些建议应该是任何类型的Java应用都是通用的。它们会帮助你更快地编写代码，但代码量更少了，同时又更安全：这真的是三赢的结果！
1.不要自己去实现安全框架
说真的，不要尝试自己去实现安全方面的代码，这太难了。
几乎每个人都知道避免去实现加密等算法。同样道理，你的应用的安全栈的其余部分也是一样，可能需要花费很大，得到的风险也很大。你很可能会犯一些错误。自1999年以来，已经有89373个CVE(公共漏洞和暴露)发布了。而其中公开的大部分的发现者都是那些非常聪明的人。
你可能认为处理一个简单的用例（例如验证用户的密码）是很简单的事情——你所做的一切只是比较一对字符串。这样想就错了。你需要验证密码的哈希值，审核尝试登录的次数，减少针对字典的攻击，这只是冰山一角。你最好的选择是使用现有的成熟的库或框架，例如Apache的Shiro或者SpringSecurity,让这些框架去处理各类复杂的安全问题。
2.UseTLS,Always!永远使用TLS！
现在已经是2017年了，所有的网站都应该使用HTTPS了，甚至是公司的内网。Let’sencrypt让HTTPS变得轻松和简单，这意味着你能不再使用不安全的自签密钥了！你甚至可以在本地设置带证书认证的Tomcat或者Nginx实例。

java 目前市面上比较火的框架有哪些？

现在这个微服务盛行的年代，Dubbo和SpringCloud的使用已经家喻户晓，尤其是Dubbo，由于背后有阿里巴巴的支持，在国内更是大行其道，很多创业型公司也使用SpringCloud，而且SpringCloud这货在国外很是流行。
其他框架吗，如果是基于MVC模式开发的小型应用，SpringMVC是个不错的选择。Struts框架由于爆出了几次漏洞，现在已经没有以前流行了，而且性能和SpringMVC相比也差那么一点点。
Dao层的框架，国内一般MyBatis为主，由于国内的业务情况和数据量，使用MyBatis框架是比较好的选择，对sql语句的定制化支持比较好，而Hibernate这种全自动框架在面对复杂业务场景时有点吃力。
另外，网上有很多java项目源码都用到了这些框架，可以下载下来参考，例如百度搜索“j2eeweb源代码”，就能找到很多这样的资源。
Java最火的框架就是Spring全家桶——Spring mvc, spring boot, spring cloud.
基础框架：ssm，
分布式框架：dubbo，
快速开发框架：springboot
整合功能较全面的解决框架：springCloud，
配置文件框架：apollo，
定时任务框架：xxl-job，elastic-job
java框架有很多，主流的有struts struts2 spring hibernate等等，随便你从什么框架开始学都行，但是再学之前先搞清楚jsp servlet jdbc这些东西，因为框架只不过是对这些东西的封装罢了。
Java 始终排在第一位，这使它成为有史以来最著名的软件编程语言之一。及时的更新和新版本发布使它成为一种充满活力的、有竞争力的编程语言。
2020年最常用的java框架
十大常用框架：
一、SpringMVC
二、Spring
三、Mybatis
四、Dubbo
五、Maven
六、RabbitMQ
七、Log4j
八、Ehcache
九、Redis
十、Shiro
一、SpringMVC
Spring Web MVC是一种基于Java的实现了Web MVC设计模式的请求驱动类型的轻量级Web框架，即使用了MVC架构模式的思想，将web层进行职责解耦，基于请求驱动指的就是使用请求-响应模型，框架的目的就是帮助我们简化开发，Spring Web MVC也是要简化我们日常Web开发的。
模型（Model ）封装了应用程序的数据和一般他们会组成的POJO。
视图（View）是负责呈现模型数据和一般它生成的HTML输出，客户端的浏览器能够解释。
控制器（Controller ）负责处理用户的请求，并建立适当的模型，并把它传递给视图渲染。
Spring的web模型 - 视图 - 控制器（MVC）框架是围绕着处理所有的HTTP请求和响应的DispatcherServlet的设计。
Spring Web MVC处理请求的流程
请点击输入图片描述
具体执行步骤如下：
1、 首先用户发送请求————>前端控制器，前端控制器根据请求信息（如URL）来决定选择哪一个页面控制器进行处理并把请求委托给它，即以前的控制器的控制逻辑部分；图2-1中的1、2步骤；
2、 页面控制器接收到请求后，进行功能处理，首先需要收集和绑定请求参数到一个对象，这个对象在Spring Web MVC中叫命令对象，并进行验证，然后将命令对象委托给业务对象进行处理；处理完毕后返回一个ModelAndView（模型数据和逻辑视图名）；图2-1中的3、4、5步骤；
3、 前端控制器收回控制权，然后根据返回的逻辑视图名，选择相应的视图进行渲染，并把模型数据传入以便视图渲染；图2-1中的步骤6、7；
4、 前端控制器再次收回控制权，将响应返回给用户，图2-1中的步骤8；至此整个结束。
二、Spring
2.1、IOC容器：
IOC容器就是具有依赖注入功能的容器，IOC容器负责实例化、定位、配置应用程序中的对象及建立这些对象间的依赖。应用程序无需直接在代码中new相关的对象，应用程序由IOC容器进行组装。在Spring中BeanFactory是IOC容器的实际代表者。
2.2、AOP：
简单地说，就是将那些与业务无关，却为业务模块所共同调用的逻辑或责任封装起来，便于减少系统的重复代码，降低模块间的耦合度，并有利于未来的可操作性和可维护性。AOP代表的是一个横向的关系
AOP用来封装横切关注点，具体可以在下面的场景中使用:
Authentication 权限
Caching 缓存
Context passing 内容传递
Error handling 错误处理
Lazy loading　懒加载
Debugging 调试
logging, tracing, profiling and monitoring　记录跟踪　优化　校准
Performance optimization　性能优化
Persistence 持久化
Resource pooling　资源池
Synchronization　同步
Transactions 事务
三、Mybatis
MyBatis 是支持普通 SQL查询，存储过程和高级映射的优秀持久层框架。MyBatis 消除了几乎所有的JDBC代码和参数的手工设置以及结果集的检索。MyBatis 使用简单的 XML或注解用于配置和原始映射，将接口和 Java 的POJOs（Plain Old Java Objects，普通的 Java对象）映射成数据库中的记录。
总体流程：
(1)加载配置并初始化
触发条件：加载配置文件
将SQL的配置信息加载成为一个个MappedStatement对象（包括了传入参数映射配置、执行的SQL语句、结果映射配置），存储在内存中。
(2)接收调用请求
触发条件：调用Mybatis提供的API
传入参数：为SQL的ID和传入参数对象
处理过程：将请求传递给下层的请求处理层进行处理。
(3)处理操作请求
触发条件：API接口层传递请求过来
传入参数：为SQL的ID和传入参数对象
处理过程：
(A)根据SQL的ID查找对应的MappedStatement对象。
(B)根据传入参数对象解析MappedStatement对象，得到最终要执行的SQL和执行传入参数。
?获取数据库连接，根据得到的最终SQL语句和执行传入参数到数据库执行，并得到执行结果。
(D)根据MappedStatement对象中的结果映射配置对得到的执行结果进行转换处理，并得到最终的处理结果。
(E)释放连接资源。
(4)返回处理结果将最终的处理结果返回
MyBatis 最强大的特性之一就是它的动态语句功能。如果您以前有使用JDBC或者类似框架的经历，您就会明白把SQL语句条件连接在一起是多么的痛苦，要确保不能忘记空格或者不要在columns列后面省略一个逗号等。动态语句能够完全解决掉这些痛苦。
四、Dubbo
Dubbo是一个分布式服务框架，致力于提供高性能和透明化的RPC（远程过程调用协议）远程服务调用方案，以及SOA服务治理方案。简单的说，dubbo就是个服务框架，如果没有分布式的需求，其实是不需要用的，只有在分布式的时候，才有dubbo这样的分布式服务框架的需求，并且本质上是个服务调用的东东，说白了就是个远程服务调用的分布式框架。
1、透明化的远程方法调用，就像调用本地方法一样调用远程方法，只需简单配置，没有任何API侵入。
2、软负载均衡及容错机制，可在内网替代F5等硬件负载均衡器，降低成本，减少单点。
3、 服务自动注册与发现，不再需要写死服务提供方地址，注册中心基于接口名查询服务提供者的IP地址，并且能够平滑添加或删除服务提供者。
节点角色说明：
Provider: 暴露服务的服务提供方。
Consumer: 调用远程服务的服务消费方。
Registry: 服务注册与发现的注册中心。
Monitor: 统计服务的调用次调和调用时间的监控中心。
Container: 服务运行容器。
五、Maven
Maven这个个项目管理和构建自动化工具，越来越多的开发人员使用它来管理项目中的jar包。但是对于我们程序员来说，我们最关心的是它的项目构建功能。
六、RabbitMQ
消息队列一般是在项目中，将一些无需即时返回且耗时的操作提取出来，进行了异步处理，而这种异步处理的方式大大的节省了服务器的请求响应时间，从而提高了系统的吞吐量。
RabbitMQ是用Erlang实现的一个高并发高可靠AMQP消息队列服务器。
Erlang是一门动态类型的函数式编程语言。对应到Erlang里，每个Actor对应着一个Erlang进程，进程之间通过消息传递进行通信。相比共享内存，进程间通过消息传递来通信带来的直接好处就是消除了直接的锁开销(不考虑Erlang虚拟机底层实现中的锁应用)。
AMQP(Advanced Message Queue Protocol)定义了一种消息系统规范。这个规范描述了在一个分布式的系统中各个子系统如何通过消息交互。
七、Log4j
日志记录的优先级，分为OFF、FATAL、ERROR、WARN、INFO、DEBUG、ALL或者您定义的级别。
八、Ehcache
EhCache 是一个纯Java的进程内缓存框架，具有快速、精干等特点，是Hibernate中默认的CacheProvider。Ehcache是一种广泛使用的开源Java分布式缓存。主要面向通用缓存,Java EE和轻量级容器。它具有内存和磁盘存储，缓存加载器,缓存扩展，缓存异常处理程序，一个gzip缓存servlet过滤器，支持REST和SOAP api等特点。
优点：
1、 快速
2、 简单
3、 多种缓存策略
4、缓存数据有两级：内存和磁盘，因此无需担心容量问题
5、 缓存数据会在虚拟机重启的过程中写入磁盘
6、可以通过RMI、可插入API等方式进行分布式缓存
7、 具有缓存和缓存管理器的侦听接口
8、支持多缓存管理器实例，以及一个实例的多个缓存区域
9、提供Hibernate的缓存实现
缺点：
1、使用磁盘Cache的时候非常占用磁盘空间：这是因为DiskCache的算法简单，该算法简单也导致Cache的效率非常高。它只是对元素直接追加存储。因此搜索元素的时候非常的快。如果使用DiskCache的，在很频繁的应用中，很快磁盘会满。
2、不能保证数据的安全：当突然kill掉java的时候，可能会产生冲突，EhCache的解决方法是如果文件冲突了，则重建cache。这对于Cache数据需要保存的时候可能不利。当然，Cache只是简单的加速，而不能保证数据的安全。如果想保证数据的存储安全，可以使用Bekeley DB Java Edition版本。这是个嵌入式数据库。可以确保存储安全和空间的利用率。
九、Redis
redis是一个key-value存储系统。和Memcached类似，它支持存储的value类型相对更多，包括string(字符串)、list(链表)、set(集合)、zset(sorted set –有序集合)和hash（哈希类型）。这些数据类型都支持push/pop、add/remove及取交集并集和差集及更丰富的操作，而且这些操作都是原子性的。在此基础上，redis支持各种不同方式的排序。与memcached一样，为了保证效率，数据都是缓存在内存中。区别的是redis会周期性的把更新的数据写入磁盘或者把修改操作写入追加的记录文件，并且在此基础上实现了master-slave(主从)同步。
Redis数据库完全在内存中，使用磁盘仅用于持久性。相比许多键值数据存储，Redis拥有一套较为丰富的数据类型。Redis可以将数据复制到任意数量的从服务器。
1.2、Redis优点：
（1）异常快速：Redis的速度非常快，每秒能执行约11万集合，每秒约81000+条记录。
（2）支持丰富的数据类型：Redis支持最大多数开发人员已经知道像列表，集合，有序集合，散列数据类型。这使得它非常容易解决各种各样的问题，因为我们知道哪些问题是可以处理通过它的数据类型更好。
（3）操作都是原子性：所有Redis操作是原子的，这保证了如果两个客户端同时访问的Redis服务器将获得更新后的值。
（4）多功能实用工具：Redis是一个多实用的工具，可以在多个用例如缓存，消息，队列使用(Redis原生支持发布/订阅)，任何短暂的数据，应用程序，如Web应用程序会话，网页命中计数等。
1.3、Redis缺点：
（1）单线程
（2）耗内存
十、Shiro
Apache Shiro是Java的一个安全框架，旨在简化身份验证和授权。Shiro在JavaSE和JavaEE项目中都可以使用。它主要用来处理身份认证，授权，企业会话管理和加密等。Shiro的具体功能点如下：
（1）身份认证/登录，验证用户是不是拥有相应的身份；
（2）授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限；
（3）会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通JavaSE环境的，也可以是如Web环境的；
（4）加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；
（5）Web支持，可以非常容易的集成到Web环境；
Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率；
（6）shiro支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去；
（7）提供测试支持；
（8）允许一个用户假装为另一个用户（如果他们允许）的身份进行访问；
（9）记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了。
文字描述可能并不能让猿友们完全理解具体功能的意思。下面我们以登录验证为例，向猿友们介绍Shiro的使用。至于其他功能点，猿友们用到的时候再去深究其用法也不迟。
十一、设计模式
这个算不上框架，可自行忽略，不过我认为设计模式的思想很有必要了解一下。
思想：
开闭原则：
开闭原则就是说对扩展开放，对修改关闭。在程序需要进行拓展的时候，不能去修改原有的代码。
针对接口编程，针对接口编程，依赖于抽象而不依赖于具体。
尽量使用合成/聚合的方式，而不是使用继承。
一个实体应当尽量少的与其他实体之间发生相互作用，使得系统功能模块相对独立。
使用多个隔离的接口，比使用单个接口要好。
里氏代换原则：
（1）子类的能力必须大于等于父类，即父类可以使用的方法，子类都可以使用。
（2）返回值也是同样的道理。假设一个父类方法返回一个List，子类返回一个ArrayList，这当然可以。如果父类方法返回一个ArrayList，子类返回一个List，就说不通了。这里子类返回值的能力是比父类小的。
（3）还有抛出异常的情况。任何子类方法可以声明抛出父类方法声明异常的子类。 而不能声明抛出父类没有声明的异常。

java学习路线

JAVA学习路线图此乃是java攻城狮的学习路线图，由简到繁，由易到难，一步步的学习，最后成为JAVA攻城狮。希望对大家的学习有所帮助阶段1 1：学习HTML
2:学习CSS
3:Javascript
4:jquery
5:xml解析
6：Bootstrap
阶段2
7:JAVAse基础
8：mysql数据库
9：Powerdesigner
10:JDBC
11:JAVAWEB
阶段三
12:oracle
13:struts2
14:Hibernate
15:Spring
阶段四
16:Maven
17:SpringMVC
18:MyBatis
2020年最新的Java学习路线图整理分享给大家！
学习是一个枯燥且无聊的过程，希望我整理的资料能够帮助大家！
共同走向年薪百万；
Java编程语言占比：
据官方数据统计，在全球编程语言工程师的数量上，Java编程语言以1000万的程序员数量位居首位。 而且很多软件的开发都离不开Java编程，因此其程序员的数量最多。而在以Java编程为核心的开发领域中，企业级程序员的需求量10年来一直居于首位！
目前各个大厂的的招聘，Java也是稳居首位！
那么系统的学习Java线路图，展示分享给大家：
一、JavaSE基础阶段
面向对象编程(基础)
面向对象编程(进阶)
异常机制
Java常用类
数据结构和算法
集合(容器)
IO流
多线程
网络编程
集合提升训练
多线程提升训练

二、数据库阶段
MySQL基础
MySQL 查询语句
数据库对象
JDBC
反射和注解
数据库建模和UML建模
设计模式

三、WEB前端
JavaScript
jQuery
BootStrap
Vue

四、JavaEE阶段 （核心阶段）
HTTP/Tomcat
MVC 架构
Servlet
JSP
EL+JSTL+过滤器+监听器
Ajax和JSON
分页和文件上传/下载

五、JavaEE阶段（高级框架）
Spring 5.2.2
SpringMVC 5.2.2
RBAC
EasyUI 1.7.0
支付/短信验证

六、框架强化
Linux - CentOS 8
Maven
Logback
Quartz
Spring Boot 2.2.2
Shiro
Swagger
Git/GitEE
MyBatis

七、分布式架构
Zookeeper
RPC
Dubbo
Redis
Solr
RabbitMQ
FastDFS
Nginx
Spring Security
Spring Session
MyBatis Generator
Mycat

八、微服务阶段
ElasticSearch
MongoDB
Spring Cloud Netflix Eureka
Spring Cloud Netflix Ribbon
Spring Cloud OpenFeign
Spring Cloud Netflix Hystrix
Spring Cloud Config
Spring Cloud Gateway
Docker
K8S
LCN

2020最新java学习资料：网页链接
2019年的最新版本，结合一线大厂研发更新的，现在学到了Javaweb了，分享给你：
第一个：javase零基础（eclipse可以找动力节点的老师换成IDEA，这个看你个人习惯了）
第二个：数据库，MySQL，jdbc，sql，DB……都讲得特别好
第三个：web前端，我个人觉得JS这块讲的尤其出色
第四个：Javaweb，正在学这一块，刚看到Tomcat
第五个：javaweb项目，听给我教程的大神说，项目很有实操行，能好的帮助积累经验。
第六个：框架这一块需要好好学习一下
第七个：有很多一线大厂的技术
（这些都有配套的教程，去找他们老师要应该可以要到）
2020年最新的Java学习路线图整理分享给大家！
学习是一个枯燥且无聊的过程，希望我整理的资料能够帮助大家！
共同走向年薪百万；
Java编程语言占比：
据官方数据统计，在全球编程语言工程师的数量上，Java编程语言以1000万的程序员数量位居首位。 而且很多软件的开发都离不开Java编程，因此其程序员的数量最多。而在以Java编程为核心的开发领域中，企业级程序员的需求量10年来一直居于首位！
目前各个大厂的的招聘，Java也是稳居首位！
那么系统的学习Java线路图，展示分享给大家：
一、JavaSE基础阶段
面向对象编程(基础)
面向对象编程(进阶)
异常机制
Java常用类
数据结构和算法
集合(容器)
IO流
多线程
网络编程
集合提升训练
多线程提升训练

二、数据库阶段
MySQL基础
MySQL 查询语句
数据库对象
JDBC
反射和注解
数据库建模和UML建模
设计模式

三、WEB前端
JavaScript
jQuery
BootStrap
Vue

四、JavaEE阶段 （核心阶段）
HTTP/Tomcat
MVC 架构
Servlet
JSP
EL+JSTL+过滤器+监听器
Ajax和JSON
分页和文件上传/下载

五、JavaEE阶段（高级框架）
Spring 5.2.2
SpringMVC 5.2.2
RBAC
EasyUI 1.7.0
支付/短信验证

六、框架强化
Linux - CentOS 8
Maven
Logback
Quartz
Spring Boot 2.2.2
Shiro
Swagger
Git/GitEE
MyBatis

七、分布式架构
Zookeeper
RPC
Dubbo
Redis
Solr
RabbitMQ
FastDFS
Nginx
Spring Security
Spring Session
MyBatis Generator
Mycat

八、微服务阶段
ElasticSearch
MongoDB
Spring Cloud Netflix Eureka
Spring Cloud Netflix Ribbon
Spring Cloud OpenFeign
Spring Cloud Netflix Hystrix
Spring Cloud Config
Spring Cloud Gateway
Docker
K8S
LCN

根据个人实际的经历，结合多种书籍，特别整理出了下面的java学习路线：
一、Java SE部分
1、java基础：基础语法；面向对象（重点）；集合框架（重点）；常见类库API；
2、java界面编程：AWT；事件机制；Swing；
3、java高级知识：Annotation；IO和NIO、AIO；多线程、线程池；阻塞、非阻塞、异步网络通信；反射、动态代理；
二、JDBC编程
4、SQL基础：基础SQL语句；基本查询；多表查询；子查询；结果集的交、并、差运算；
5、JDBC基础：常见数据库用法；JDBC操作常见数据库；RowSet与离线结果集；数据库连接池；事务管理、批处理；
6、JDBC进阶：存储过程、函数；触发器；理解JCBC的不足；掌握ORM工具优势和设计；
三、DHTML编程
7、HTML基础：基本HTML标签；常见表单标签；DIV+CSS布局；
8、JavaScript知识：javascript基本语法；javascript基本对象特征；Json语法；深刻理解javascript的动态特征；
9、Dom和事件机制：DOM操作、编程；常见浏览器事件机制；掌握用户交互技巧；
四、XML编程
10、XML基础：XML基础规则；DTD和SCheme；XML和样式单；
11、XML进阶：DOM、SAX和JAXP；dom4j、JDOM等工具；XQuery和XQJ；基于XML的数据交换；
12、Web Service：JAX_WS2、SAAJ规范；WSDL和SOAP协议；CXF框架、拦截器；CXF整合Spring；
五、Java Web编程
13、Web编程基础：Tomcat服务器；Jsp语法、EL、内置对象；Servlet API；Servlet 3.0注解；Listener和Filter；
14、Web编程进阶：自定义标签库；MVC和DAO、Servlet、标签的作用；JSTL、DisplayTag等常见标签库用法；
15、Web编程原理：请求/响应、架构；Http协议；深刻理解Jsp运行原理；掌握Web容器底层的线程池、socket通信、调用Servlet的命令模式；
六、Ajax编程：
16、Ajax编程：XML HttpRequest和异步请求；发送请求和处理响应；常见Ajax库（Prototype、Jquery、ExtJs、DWR）用法；结合Http协议、异步请求深入研究ajax库的设计；
七、Android开发
17、Android基础：Android开发调试环境；Android应用结构；界面组件与界面编程；资源管理；四大组件；
18、Android中级：文件IO和SQLite；图形、图像与动画；音频、视频的录制与播放；传感器编程；GPS应用；
19、Android高级：网络编程与Web Service；OpenGL_ES 3D开发；整合Google服务；使用NDK开发；java和c相互调试；
八、轻量级Java EE
17、Struts2：MVC与struts体系；Action和Result；国际化和标签库；文件上传、下载；类型转换和输入检验；拦截器与插件开发；
18、Hibernate：ORM与持久化映射；关系映射、继承映射；延迟加载、性能调优；HQL查询、条件查询、SQL查询；二级缓存和查询缓存；
19、Spring：IoC与Bean配置、管理；Bean生命周期；SP、EL；AOP与事务权限控制；S2SH整合开发；Spring整合Jpa；
九、经典Java EE
20、JSF

：MVC与JSF设计理念；托管Bean与导航模型；JSF流程与事件机制；JSF标签库；类型转换与输入检验；

21、EJB及相关技术：JNPI与RMI；会话Bean及其生命周期；IoC与EJB拦截器；JMS与MDB；会话Bean与Web Service;

22、JPA:ORM框架与JPA规范；JPA注解与常用API；JTA事务与事务管理；JPQL查询；EJB、JPA整合；

十、Java 拓展、进阶：

23、Java EE实践与架构：Ant+Ivy或Maven；SVN、CVS；深刻理解10种以上设计模式；掌握各种Java EE架构及各自优势；

24、Workflow：Workflow规范及功能；JBPM等workflow框架；多次重构、反复思考；大型项目经验；

25、Java EE进阶：掌握各MVC框架运行原理、能开发类似框架；掌握Spring、HiveMind、AspectJ等框架原理、能开发类似工具；掌握Hibernate、iBatis等框架原理，能开发类似工具；深入研究EJB机制、大致了解应用服务器的实现；

希望对您有所帮助！~

目前在职Java开发，我给出的Java学习路线是：

JavaSE--数据库--jdbc----前端基础--Javaweb--Spring--Mybatis--Maven--Springboot---Reids--Springcloud--Linux--Git。

JavaSE：java基础，既然是基础，那肯定是最重要的，所以学习的时候也是需要重点学习的地方。

数据库：为什么要学数据库呢，因为我们的web数据需要持久化到磁盘上统一管理，而数据库无疑就是最好工具。目前主流的关系型数据库有mysql 和oracle。我建议先学mysql。为什么呢mysql相比Oracle难度要低，而在国内应用场景又是最多的。

学会了mysql可以开发出一个完整的产品了，再学oracle都可以的。

前端基础：既然是做一个网站，那肯定不能是后台的数据，这样用户也是没办法看的，所以需要学习前端知识，把数据展示到页面上，而对于后台人员来说，学习阶段只需要学习前端基础就可以了。Html 、js、css、jquery就可以了。当然到离开后期你也可以学学专门为后端人员定制的前端框架，比如，layui，easyui。如果还觉得不够可以学学前端专用框架。比如vue element ，但是大前提是把自己的后台学到位了再学其他的。

Javaweb：jsp、servlet。为什么用了html还要学jsp呢。因为jsp和Java是无缝连接的。学了javaweb以后就可以自己做一个项目出来了，比如你想做一个个人网站。你可以给你们学校做一个教务管理系统都是可以的。

Spring：后台框架。为什么要用框架呢，可以快速开发，并且降低了耦合。Spring的AOP支持允许将一些通用任务如安全、事务、日志等进行集中式管理，从而提供了更好的复用，Spring的ORM和DAO提供了与第三方持久层框架的良好整合，并简化了底层的数据库访问。

Mybatis：持久层框架，当然持久层还有一个框架应用也很广的，那就是hibernate，一个是半自动的一个是全自动，而在国内应用最多的是mybatis，在国外用得最多的是hibernate，具体原因，大家可以百度查查。持久层框架有什么好处呢？如果你用原始的jdbc做开发，那你得自己来管理每一个连接，连接的打开和关闭，都是有开发人员来操作的，而且jdbc也没有实体的映射，需要我们写代码把值set进去，而用了框架这些都交给框架去做了。

Maven：mavne是一个工具，他的核心是pom.xml，这个配置文件，pom的全英文是project object model，意思是对象管理模型，也就是把项目也看成一个对象来操作了。给我们带来最直观的好处就是依赖问题，以前我们需要自己下载jar包，在构建到项目中，但是有了maven只需要写jar的依赖就可以自动给我们下载了。

Springboot：springboot是基于maven的，springboot最明显的特点就是开箱即用，也就是构建了一个springboot项目 直接就可以做开发了，而不需要像我们自己配一个springmvc的框架一样的需要去配置大量的xml文件。让我们开发人员更着重于业务上的开发。

Redis：前面的mysql，oracle是关系型数据库，什么是关系型呢，就是一对一 一对多 多对多。有表与表之间有这些关系在，所以就叫关系型数据库，而redis就是非关系型数据库，也就是他存储数据之间是没有这些关系，他是以键值对 list set方式存储的。

对了，顺便在这里说一下，我目前是在职Java开发，如果你现在也在学习Java，了解Java，渴望成为一名合格的Java开发工程师，在入门学习Java的过程当中缺乏基础入门的视频教程，你都可以申请加入我的Java新手学习交流qun：前面输入是：前面输入是：七九八，中间输入是：八四四，最后输入是：六二零。里面聚集了很多正在学习Java技术的初学者，qun文件里面还有我做Java技术这段时间整理的一些学习手册，面试题，开发工具，PDF文档书籍教程，需要的话都可以来获取下载。

Springcloud：微服务框架，什么是微服务呢，就是把我们传统的单体服务拆分开了，就是将一个单体架构的应用按业务划分为一个个的独立运行的程序即服务，微服务架构其实就是一个分布式架构，具体的就不详细的讲了，因为这里面牵涉到的解决方案是灵活的。

Linux：linux的应用通常都是在底层，那我们上层开发人员为什么也要学它呢，其实我们的主要应用是在服务器上，也就是服务器的系统。当然系统也有Windows的，而Windows的和Linux的区别就是Windows服务器有问题是微软来解决，很方便：别人替你做，但也不方便：你遇到问题都得让他官方来解决漏洞，但是Linux就不一样，他是完全开源的，有问题自己马上就可以解决，只要开发人员能力够硬去改内核都是可以的。

Git：版本管理工具，与之对应的还有svn，最大的区别在于git是分布式系统，而svn不是分布式的，因为你们进企业以后都是协同开发 也就是一个项目小组里面几个小伙伴一起开发一个项目，所以就要有一个代码的管理工具来保证你们做的不同模块可以整合，所以说git也是需要学的。

java代码如何把代码生成的系统弄成网址

如果想要将Java代码生成的系统变成网址，可以按照以下步骤进行操作：
1. 获取域名：首先需要获取一个域名，可以通过注册域名服务商来获取自己的域名。域名是一个系统在互联网上的唯一标识符，可以将其与系统进行绑定，从而实现通过域名访问系统的功能。
2. 部署系统：将Java代码生成的系统部署到服务器上，可以使用Tomcat、Apache等Web服务器进行部署，确保系统可以在服务器上正常运行。
3. 网络配置：在服务器上进行网络配置，确保域名与系统的IP地址进行绑定，并配置相关的DNS解析等信息。
4. 配置虚拟主机：根据自己的需求，可以配置虚拟主机来实现多个域名指向同一个IP地址的功能，从而实现对多个系统的访问。
5. 测试访问：完成上述步骤后，可以通过输入域名或者IP地址来访问系统，进行测试访问，确保系统可以正常访问和运行。
需要注意的是，将Java代码生成的系统变成网址需要一定的技术和网络知识，如果不熟悉相关技术，建议寻求专业的技术支持或者咨询。此外，系统的网络安全也非常重要，需要进行相关的安全配置和防护措施，以确保系统的安全性和可靠性。
将 Java 代码生成的系统部署到网址上需要经过以下步骤：
1. 获得一个域名并购买主机
首先你需要在域名注册商处购买一个自己喜欢的域名，并且购买一台 VPS 主机或者云服务器，用来托管你的 Java 代码生成的系统。
2. 配置主机环境
在主机上需要安装一些必要的软件和环境才能正常运行 Java 代码生成的系统，比如 JDK、Tomcat 和 MySQL 等。你需要按照相应的版本下载并安装这些软件，并进行正确的配置，以确保它们可以相互协作，且符合 Java 应用程序的运行要求。
3. 将 Java 代码生成的系统复制到主机
将生成的系统打包成 war 包，然后将其上传到部署的主机上。你需要将 war 包放置在 Tomcat 安装目录下的 webapp 目录中，然后启动 Tomcat 服务器。
4. 在域名服务商处添加解析
在对应域名服务商提供的控制面板上添加 DNS 解析将域名与主机 IP 地址相对应。这样，当用户访问你的域名时，就会被导向到指定的主机 IP 地址，从而访问到已经部署好的 Java 系统。
以上是将 Java 代码生成的系统部署到网址上的基本步骤，每个步骤都需要进行详细的配置和调试才能确保系统正常运行。如果你不太熟悉这方面的知识，建议先了解相关的技术文档，或者请专业的技术人员进行部署配置。
要将Java代码生成的系统转换成网址，需要使用Web框架进行开发，比如Spring、Struts2等。这些Web框架可以将Java代码生成的系统转换成Web应用程序，从而可以通过浏览器访问。具体步骤如下：
1. 选择一个Web框架，例如Spring。
2. 使用该框架进行开发，将Java代码生成的系统转换成Web应用程序。
3. 将Web应用程序部署到服务器上。
4. 配置服务器，将应用程序映射到一个域名或者IP地址上。
5. 在浏览器中输入该域名或者IP地址，就可以访问到Java代码生成的系统。
原因是Java是一种面向对象的程序设计语言，它可以生成各种类型的应用程序，包括控制台应用程序、桌面应用程序和Web应用程序等。而Web应用程序可以通过浏览器访问，可以实现全球范围内的访问和共享，因此将Java代码生成的系统转换成Web应用程序，可以更好地满足用户需求。同时，使用Web框架进行开发可以提高开发效率和代码质量，从而更好地满足软件开发的要求。
要把Java代码生成的系统转换成网址，需要进行以下几个步骤：
1.选择一个合适的服务器，可以使用云服务器、虚拟主机等，购买或租用服务器空间。
2.将Java代码部署到服务器上，在服务器上安装Java环境和Web应用服务器，如Tomcat、Jetty等。
3.配置Web应用服务器，将Java代码转换成Web应用，可以使用Spring MVC、Struts2等Web框架进行开发。
4.编写Web应用的入口页面，即首页，设置好网址。
5.将Web应用部署到Web应用服务器上，并启动Web应用服务器。
6.在域名服务商处，购买或注册一个域名，并将域名解析到服务器IP地址。
7.在Web应用服务器上配置虚拟主机，将域名指向Web应用。
8.测试网址是否可用。
以上就是将Java代码生成的系统转换成网址的基本步骤，需要具备Java开发和Web开发的知识。
将 Java 代码生成的系统转换为网址，需要使用一种 Web 框架，如 Spring、Struts 等。这些框架提供了创建 Web 应用程序所需的基础架构和工具。
在使用 Web 框架的情况下，需要在代码中编写相应的控制器和视图来实现系统转换为网址的功能。控制器将处理请求并向视图发送响应，视图将生成 HTML 页面并将其发送回客户端浏览器。要将系统转换为网址，需要将控制器与视图结合起来，并在视图中包含相应的超链接，以便用户能够访问不同的系统功能。
此外，为了将系统转换为网址，需要将生成的 Java 代码打包成 WAR 包，并将其部署到 Web 服务器中。Web 服务器将充当系统的中间层，接收客户端请求并将其转发到相应的控制器以及视图。
最后，需要确保 Web 服务器和数据库服务器之间的连接是稳定的，并且系统的性能和安全性得到了恰当的保障，以便为用户提供高效、可靠和安全的服务。
需要注意的是，将 Java 代码生成的系统转换为网址不是一项简单的任务，需要进行大量的编程和测试工作。因此，在进行此类操作时，建议借助专业的开发工具和技术，以确保系统的稳定性和可靠性。
将Java代码生成的系统搭建成可访问的网址，通常需要进行以下几个步骤：
1.申请域名：首先需要在互联网上申请一个域名，例如www.example.com。您可以通过各大域名注册商进行域名购买和注册，选择适合自己的域名并按照要求填写相关信息。
2.选择服务器：为了将Java代码生成的系统发布到互联网上，您需要选择一台适合的服务器，并将其与您的域名进行绑定。通常可选用云服务器等虚拟主机，也可以选择自己购买服务器。
3.上传代码：将Java代码生成的系统上传到所选择的服务器上，通常使用FTP或SCP等协议进行文件上传。如果您使用的是Java Web应用程序，还需要在服务器上安装并配置Tomcat等Web容器。
4.绑定域名：将申请得到的域名与服务器进行指向，在域名管理界面进行域名解析设置，指向所选择的服务器IP地址即可。
5.测试访问：完成上述步骤后，您就可以尝试通过浏览器访问您的系统，输入绑定的域名或服务器的IP地址，即可访问到您的Java代码生成的系统。
需要注意的是，实际操作过程可能会涉及到更多技术和步骤，您可以根据自己的需求和实际情况进行调整和扩展。同时，为了确保系统的安全性和稳定性，建议定期进行维护和更新配置。