php的属性怎么打开，用什么工具系统查看源代码比较好？
静态源代码安全检测工具比较
1. 概述
随着网络的飞速发展，各种网络应用不断成熟，各种开发技术层出不穷，上网已经成为人们日常生活中的一个重要组成部分。在享受互联网带来的各种方便之处的同时，安全问题也变得越来越重要。黑客、病毒、木马等不断攻击着各种网站，如何保证网站的安全成为一个非常热门的话题。
根据IT研究与顾问咨询公司Gartner统计数据显示，75%的黑客攻击发生在应用层。而由NIST的统计显示92%的漏洞属于应用层而非网络层。因此，应用软件的自身的安全问题是我们信息安全领域最为关心的问题，也是我们面临的一个新的领域，需要我们所有的在应用软件开发和管理的各个层面的成员共同的努力来完成。越来越多的安全产品厂商也已经在考虑关注软件开发的整个流程，将安全检测与监测融入需求分析、概要设计、详细设计、编码、测试等各个阶段以全面的保证应用安全。
对于应用安全性的检测目前大多数是通过测试的方式来实现。测试大体上分为黑盒测试和白盒测试两种。黑盒测试一般使用的是渗透的方法，这种方法仍然带有明显的黑盒测试本身的不足，需要大量的测试用例来进行覆盖，且测试完成后仍无法保证软件是否仍然存在风险。现在白盒测试中源代码扫描越来越成为一种流行的技术，使用源代码扫描产品对软件进行代码扫描，一方面可以找出潜在的风险，从内对软件进行检测，提高代码的安全性，另一方面也可以进一步提高代码的质量。黑盒的渗透测试和白盒的源代码扫描内外结合，可以使得软件的安全性得到很大程度的提高。
源代码分析技术由来已久，Colorado 大学的 Lloyd D. Fosdick 和 Leon J. Osterweil 1976 年的 9 月曾在 ACM Computing Surveys 上发表了著名的 Data Flow Analysis in Software Reliability，其中就提到了数据流分析、状态机系统、边界检测、数据类型验证、控制流分析等技术。随着计算机语言的不断演进，源代码分析的技术 也在日趋完善，在不同的细分领域，出现了很多不错的源代码分析产品，如 Klocwork Insight、Rational Software Analyzer 和 Coverity、Parasoft 等公司的产品。而在静态源代码安全分析方面，Fortify 公司和 Ounce Labs 公司的静态代码分析器都是非常不错的产品。对于源代码安全检测领域目前的供应商有很多，这里我们选择其中的三款具有代表性的进行对比，分别是 Fortify公司的Fortify SCA，Security Innovation公司的Checkmarx Suite和Armorize公司的CodeSecure。
2. 工具介绍
2.1. Fortify SCA(Source Code Analysis)
Fortify Software公司是一家总部位于美国硅谷，致力于提供应用软件安全开发工具和管理方案的厂商。Fortify为应用软件开发组织、安全审计人员和应用 安全管理人员提供工具并确立最佳的应用软件安全实践和策略，帮助他们在软件开发生命周期中花最少的时间和成本去识别和修复软件源代码中的安全隐患。 Fortify SCA是Fortify360产品套装中的一部分，它使用fortify公司特有的X-Tier Dataflow™ analysis技术去检测软件安全问题。
优点：目前全球最大静态源代码检测厂商、支持语言最多
缺点：价格昂贵、使用不方便
2.2. Checkmarx CxSuite
Checkmarx 是以色列的一家高科技软件公司。它的产品CheckmarxCxSuite专门设计为识别、跟踪和修复软件源代码上的技术和逻辑方面的安全风险。首创了以查询语言定位代码安全问题，其采用独特的词汇分析技术和CxQL专利查询技术来扫描和分析源代码中的安全漏洞和弱点。
优点：利用CxQL 查询语言自定义规则
缺点：输出报告不够美观、语言支持种类不全面
2.3. Armorize CodeSecure
阿码科技成立于2006年，总部设立于美国加州圣克拉拉市，研发中心位于台湾的南港软件工业园区。阿码科技提供全方位网络安全解决方案，捍卫企业免于受到黑客利用 Web 应用程序的漏洞所发动的攻击。阿码科技 CodeSecure可有效地协助企业与开发人员在软件开发过程及项目上线后找出 Web 应用程序风险，并清楚交代风险的来龙去脉 (如何进入程序，如何造成问题) 。CodeSecure内建语法剖析功能无需依赖编译环境，任何人员均可利用 Web操作与集成开发环境双接口，找出存在信息安全问题的源代码，并提供修补建议进行调整。CodeSecure依托于自行开发的主机进行远程源代码检 测，在保证速度稳定的同时方便用户进行Web远程操作。
优点：Web结合硬件，速度快、独具特色的深度分析
缺点：支持语言种类较少、价格不菲
3. 对比
Fortify SCA简写为SCA，Checkmarx CxSuite简写为CxSuite，Armonize CodeSecure简写为CodeSecure。
SCA CxSuite CodeSecure
厂商 Fortify Software Checkmarx 阿码科技
支持语言 Java,JSP,ASP.NET,C#,
VB.NET,C,C++,COBOL,
ColdFusion,Transact-SQL,
PL/SQL,JavaScript/Ajax,
Classic,ASP,VBScript,VB6,PHP JAVA、ASP.NET（C#、VB.NET）、JavaScript、Jscript、C/C++、APEX ASP.NET（C#、VB.NET）、ASP、JAVA、PHP
风险种类 400种 300种 参考CWE
风险类型参考来源 CWE、OWASP CWE、OWASP CWE、OWASP
漏报率 最低 低 低
误报率 稍高 低 低
是否支持SaaS 否 否 是
软硬件类型 纯软件 纯软件 Web结合硬件设备
运行平台 无限制 WindowsNET Framework 2.0 无限制
运行速度 取决于电脑配置速度不定 取决于电脑配置速度不定 由主机配置决定速度恒定
报告格式 PDF PDF、XML、CSV、HTML Web、PDF
报告内容 完整按照风险级别不同分为多个文件 核心内容完整扫描信息等缺失 非常完整但修改建议放于最后
报价 100万/软件 70万/软件 100万/软硬件
性价比 中 高 低
从软件支持的源代码语言上来说，Fortify SCA（下文简称SCA）支持多达17种语言，Checkmarx CxSuite（下文简称CxSuite）其次，而Armonize CodeSecure（下文简称CodeSecure）在三款软件中支持的最少，仅仅支持几种最常见语言，不过这几种基本涵盖了绝大多数应用中使用的编程语言，基本上可以支持现在大多数应用的源代码扫描。
从风险的分类来说，各个厂商都有其自己独特的分类方式和不同的种类数量，不过从实际应用中可以看出，总体上仍为OWASP公布的几类风险，如SQL注入、跨站脚本等，已经可以满足实际中开发人员和测试人员的需求，对于各个厂商不同的部分，一般来说主要的区别在于理解不同，看问题的角度不同，并无谁错谁对之原则性问题。
从运行平台 的角度，CodeSecure这个产品目前看来已经将SaaS的理念很好的融合进来，整个软件的操作界面为Web方式，用户可以通过网页进行操作，B/S 的方式可以将操作系统的影响降到最低，只要有一台可以上网的电脑和浏览器，无论什么操作系统都可以使用CodeSecure远程进行源代码扫描，CodeSecure依托的是一台Armonize自行研制的主机，使用硬件设备的好处在于可以适用于多种场合，不会因为测试人员或是开发人员的电脑配置影响扫描速度，扫描的速度完全取决于主机的性能。而SCA和CxSuite主要还是单机软件，但目前也在不断地向SaaS的方向进行过渡，并且提供了相当全面的贯彻整个软件开发流程（SDLC）的解决方案与服务给用户。其中CxSuite这个产品标明了使用该软件的硬件配置，为Windows操作系统 和.NET框架，这个产品目前应该为利用.NET框架进行开发，所以运行环境有一定的局限性。同时，SCA和CxSuite因为是单机软件，一方面在使用 前需要安装，另一方面其运行速度取决于运行软件的电脑性能，对于使用该软件的电脑配置有一定的要求。
三种产品都使用了各自的技术对于威胁进行检测，SCA使用的是已获得专利的X-Tier™数据流分析器，这三种产品中只有CxSuite声称可以达到零误报率，因为 其对于风险的理解是风险必须在外形上呈现出来才被考虑为实际的风险，这种理解方式可以说是别出心裁，从代码安全的角度来说，检测的目的是为了发现问题并及时改正，同时要针对于最关键的问题进行改正，这也是这三款软件都包含TOP X的统计的目的，从这一点上讲，CxSuite的风险报告是非常谨慎的。SCA在以前的使用中发现有一定的误报率，不过换个角度想，误报相比漏报是可以容 忍的，规则越严格，误报率就会相应的上升而漏报率就会相应的下降，源代码检测工具目前均为静态的进行代码的扫描，即所有的检测均是按照“规则”来进行，任 何一款产品都不可能达到真正的零误报、零漏报。所以可以说SCA的规则检查稍显简单，CxSuite和CodeSecure的检查比较谨慎。
而从漏报率上来看，谨慎的查找势必会导致漏报率的提升，这一点上SCA和CodeSecure只说明了低漏报率，而CxSuite内部包含了一种类似于C#称为 CxQL的查询语言，支持使用这种语言进行查询，方便用户进行特定的查找。另两款软件使用的都是规则的方式，其本质上应该是相类似的，这一点上规则似乎更 容易被用户接收，但是CxQL的方式确实增强了用户的操作性。
从结果输出 上来说，三款软件都支持多种输出方式，而作为报告PDF格式可以说是最书面的一种格式。在这一点上，三款软件输出格式略有不同。
SCA报告构成如下：扫描概述、按风险的分类进行详细描述，包括每个风险的发现位置，代码上下文，风险源和风险输出，以及改进方法，各类风险描述之后是按照风险类别 的所有风险的统计和按照风险等级的统计图表。SCA的每种类型的文件生成一个PDF文件，便于用户对于风险严重程度的不同采取不同的策略。
CxSuite 报告构成如下：风险按照不同分类方式的统计图、风险的数据统计情况、风险最高的文件TOP 10、按照类别进行风险详述，包括风险的名称、描述、常见危害、在软件开发各阶段的相应处理方式、详细示例，列举每一个风险的传输路径和相应位置代码。
CodeSecure 报告构成如下：目录、重点精华，包括检测信息、弱点密度规范分布趋势、弱点最多的文件TOP 5，弱点索引，弱点的详细信息，包括弱点的全程跟踪，最后是弱点信息及修改建议、所有的进入点。
三款软件的 报告中以SCA的最有特色，将不同级别的风险分文件显示对于程序员进行修改是极为方便的；CodeSecure的报告最为规范，整个文档包括目录，结构完 整，唯一的不足是将风险的修改建议放在了最后，查阅有些不便；CxSuite的内容可以说是最概要的，只包含了风险的最关键内容，对于程序员来说应该是最 简洁的。
4.
这三款静态源代码扫描工具都有其各自特色，SCA支持的语言多达17种，基本上涵盖了绝大多数的应用，具有相 当广泛的适用性，但同时也使得其价格非常昂贵；CxSuite支持的语言包括常见Web应用的语言，适用范围基本上包括了大部分的应用，其使用独创的语言来自定义规则非常有特色，价格较之SCA有一定的优势；CodeSecure支持的语言较少，不过基本上可以适用于当前大多数的B/S结构应用，它是唯一 的软硬件结合的产品，在免除用户安装步骤的同时将扫描运行于特定设备之上，有助于提高运行速度，也因为包括硬件的缘故，其价格不菲。
SCA极广的适用性使其适用于横跨多种语言的开发和测试人员，CxSuite的较高性价比使其适于基于Web 的开发人员和测试人员，CodeSecure稳定的速度和B/S的独特结构使得Web开发或测试的多人同时使用变得极为方便。
随着应用的安全性越来越受到人们的重视，静态源代码扫描和动态扫描将逐渐融合，未来将会有更多更优秀的源代码扫描工具诞生，让我们拭目以待吧。
附录A 其他静态源代码检测产品
公司 产品 支持语言
art of defence Hypersource JAVA
Coverity Prevent JAVA .NET C/C++
开源 Flawfinder C/C++
Grammatech CodeSonar C/C++
HP DevInspect JAVA
KlocWork Insight JAVA .NET C/C++，C#
Ounce Labs Ounce 6 JAVA .NET
Parasoft JTEST等 JAVA .NET C/C++
SofCheck Inspector for JAVA JAVA
University of Maryland FindBugs JAVA
Veracode SecurityReview JAVA .NET
FindBug PMD／Lint4
php怎么根据多个属性进行查找？
select * from table where field in ('path/','path2/') 用in
大型平台的后台都是用什么语言开发的？
大型互联网平台的后端实现往往是一个比较复杂的过程，很多平台会综合使用多种不同的编程语言，以便于为用户提供速度更快，安全程度和稳定程度更高的使用体验。
从技术实现的层面来看，目前的互联网平台更多是基于三大块技术打造的，其一是分布式计算；其二是分布式存储；其三是资源调度管理，这三块技术其实也是目前大数据和云计算技术的基础。
如果从技术方案的稳定性和扩展性两方面来考虑，更多的互联网平台会选择采用Java语言来实现，一方面原因是Java语言的自身性能比较稳定，另一方面原因是Java的生态体系比较健全，而且Java语言目前的成功案例也比较多，开发风险会大大降低。相对于具体应用层的实现来说，在平台（容器）搭建的过程中，更看重性能和扩展性，而不会特别注重开发周期的长短和调整的便利性，因此Java语言无疑是比较适合的选择。当然，平台搭建的过程中也会调用由C语言或C++语言构建的资源管理模块。
除了Java语言之外，PHP和Python也是比较常见的选择。采用PHP进行平台开发往往会有更快的开发速度，但是后期的拓展，尤其是性能的提升要更多依赖于云计算平台的支撑，但是由于PHP具有天然热部署的属性，所以PHP在后端开发领域广受欢迎。另外，Python也是后端开发比较常见的编程语言，虽然在性能上相比Java会有一定的差距，但是Python语言自身的资源管理能力和扩展能力还是比较强的。
我从事互联网行业多年，目前也在带计算机专业的研究生，主要的研究方向集中在大数据和人工智能领域，我会陆续写一些关于互联网技术方面的文章，感兴趣的朋友可以关注我，相信一定会有所收获。
如果有互联网、大数据、人工智能等方面的问题，或者是考研方面的问题，都可以在评论区留言！
PHP该怎么学？
关于学习PHP，我想讲讲我的心路历程：前端：
但凡是一个网站都必须得让人能看得见，使用得起来。任何一个网站可以没有数据库，可以没有后端程序，但是必须得有前端页面，而这也是最早期的网站形态—一 一个只能展示文字和图片等信息的静态页面。
掌握静态网页的制作技术是学习开发网站的先决条件。这里面的学习包括 HTML，css，javascript，它们可以直接使用浏览器运行。
HTML负责网页的结构，用它来规定网页排版中哪部分是文字，哪部分可以放图片，音频文件，视频文件放在网页中什么位置显示等。
CSS可以把这些文字，图片，视频等信息拥有一定的合理好看的样式，可以定义文字的大小，颜色，图片的大小等等。
javascript可以让网页与人产生交互，就像你登录网站，点击登录按钮就会跳转，把鼠标放到菜单，菜单就会自动展示下拉，逛淘宝时，把鼠标放在产品图片上，图片就会放大等等。
我的学习技巧和心得：我算是零基础学习开发的吧，连大学都没上，没系统的学过计算机专业，初次开始学习html时，我是以w3c手册为学习教材，但是越往后看越觉得里面写的东西琐碎繁多，手册里介绍了很多标签，标签又有很多属性，它们各自又代表的什么含义。
就像下面的这个表示表格的一些标签，这是手册给出的概念，看了之后似乎也明白又不太明白，看完又没记住，回想起来，还是一头雾水，像是什么也没学到。
那时我开始心急了，我无法想象我居然连基础的东西都都学不会，思量了一两天，我觉得我还是太浮躁了，我决定重新开始，动手敲敲试试，以前只是光看。就这样开始后，仿照别人家写的，运行一下看看浏览器显示的是什么效果，去掉某个属性之后看看是什么反应。我就这样笨拙的进行着，把每一个标签，每一个属性都敲了一遍，一个个的看到效果之后，我才理解手册里描述的概念是怎么回事了。
前端的知识比较锁碎，没有太多逻辑性可言。其中html和css的任何元素标记都要亲自动手实践，大部分新手之所以觉得难学，看不懂手册概念，主要是学习方法不对，“懒”是首要原因，因为不动手实践，光看概念是没什么用的。
所以克服掉懒的习惯，动起手来写一个HTML标记，运行之后看看效果吧，这样你才能真正掌握住。
不过，我建议初学的同学还是先看视频为好，因为操作效果都能看的到，手册这东西作为工具使用。
关于html和css中的标签和属性你没必要完全一个不差的记住，因为这没有太大的意义，等你做了一个小项目之后，你只需要记住常用的就行，其他的做到有印象，用的时候能想到，然后查手册即可。
当你学完之后一定要做一个简单的小项目，你学习时针对的都是散乱的知识点，最后要把这些东西整体的用一遍。
电影片段怎么截取和剪辑？
如果想截取视频片段并剪辑，可以使用电脑端的爱剪辑来实现，步骤如下：
一、添加视频在软件主界面顶部点击“视频”选项卡，在视频列表下方点击“添加视频”按钮，在弹出的文件选择框添加视频。图1：添加视频二、自由剪辑视频片段，精准逐帧踩点在主界面右上角预览框的时间进度条上，点击向下凸起的向下箭头（快捷键Ctrl+E），打开“创新式时间轴”面板，并结合“音频波形图”、“超级剪刀手”（快捷键Ctrl+Q或Ctrl+K）和上下左右方向键逐帧精准踩点。关于时间轴的使用技巧，见步骤三。图2：善用创新式时间轴精准逐帧踩点三、创新式时间轴的使用技巧爱剪辑的时间轴又称“创新的所见即所得式时间轴”，它与传统时间轴的明显区别在于，兼具易用性与专业性。除了包含时间轴本身功能外，还包含音频波形图、时间轴的缩放与逐帧、播放/暂停、裁剪视频、众多快捷键等功能。下面，就来讲讲它的一些使用技巧：1、在任何可以看见视频预览框的界面，我们都可以通过快捷键“Ctrl+E”来打开和关闭 “创新式时间轴”面板，进行精准逐帧踩点。同时，在主界面时间轴面板的“请选择已添加的音频”下拉框中，还能选择打开已添加音频的波形图，直观查看音量高低或鼓点，进行音频踩点。
图3：打开关闭创新式时间轴2、在时间轴面板中，拖动面板右下角的滑杆上的小三角方块，可以将时间轴进行放大和缩小（快捷方式为滑动鼠标滚轮或键盘上的加减号——“+/-”），帮助我们快速定位时间点及精准逐帧踩点。
图4：放大和缩小时间轴和逐帧剪辑3、左右方向键可以前后飞梭5秒；上下方向键可以前后逐帧。
图5：上下左右方向键精准逐帧踩点4、我们可通过Ctrl+C/Ctrl+V/Ctrl+X/Del等复制粘贴剪切删除的快捷键，配合“Ctrl+T”/“Ctrl+G”，在当前画面切换选择可见的字幕或贴图，对字幕或贴图的时间快速进行修改。而不需要反复关闭或打开时间轴面板，大大提升操作效率！
图6：在当前画面切换选择字幕图7：在当前画面切换选择贴图图8：巧用快捷键应用时间轴5、在时间轴上，按定“Alt”键并用鼠标左右拖曳波形图可拖动时间轴与波形图，按“空格键”可进行播放和暂停，按“Enter”键可跳至当前时间点。进一步方便我们剪辑，处处体现人性化！
图9：复制、剪切、粘贴快捷键快速复制字幕属性或修改字幕时间四、对关键帧等视频逐帧剪辑和踩点由于许多视频采用了关键帧技术，就会导致无法做到逐帧截取，但不用担心，爱剪辑同样有解决方案。如果你对逐帧的要求非常高，可以在片段缩略图点击右键，在弹出的右键菜单选择“生成逐帧副本”，这样即可生成一个新的、高清的非关键帧的视频，这也是大多数视频剪辑软件采取的方法。同时，此功能同样可用于修复制作存在问题的文件。当然，如果你不需要非常精细的逐帧（不转换一般只有一两帧的差别），无需转换亦可。
图10：生成逐帧视频五、对截取的视频片段进行修改如果需要对截取的视频片段进行修改，那有如下三种方法修改截取的视频片段：方法1、在“已添加片段”栏目双击要修改的视频片段缩略图。图11：双击要修改的视频片段缩略图方法2、在“裁剪原片”栏目，在“开始时间”和“结束时间”处手工输入需要截取的视频时间点。方法3、点击“预览/截取原片”按钮，进入“预览/截取”对话框，对视频片段进行重新截取即可。
图12：通过“裁剪原片”功能修改截取视频时间段以上就是截取视频片段的方法啦，希望能帮到您~