php怎么获得哈希值，php上传文件用什么mimetype？
1、判断上传文件的扩展名和mimetype，还可以扫描 <?php 、 eval 之类的特征串。但这只是被动防御的方法。
2、上传的文件不要保存为原名，要保存为对方猜不到的文件名（如文件加盐hash或随机字符串+文件hash，不带扩展名），和原名一起保存在数据库里。
3、上传的文件要保存在Web服务器的http不能访问到，但PHP可以读出来的路径，或者干脆保存在内网另一台服务器上，而下载/使用的时候单独用一个PHP来读，向浏览器返回真实文件名（这样要支持分块下载就有点麻烦了）。同时要保证这个PHP、机器上php版本没有可以利用文件操作来执行任意代码的漏洞。
如何学编程？
编程是编定程序的中文简称，就是让计算机代码解决某个问题，对某个计算体系规定一定的运算方式，使计算体系按照该计算方式运行，并最终得到相应结果的过程。编程能提高逻辑思维能力，加强计算能力。
编程语言
Python
Python是一种面向对象有着代码简洁、可读性强特点的解释型计算机程序设计语言。代码简洁是因为它把许多的复杂的操作封装起来，将C语言中麻烦的指针和内存管理对开发者隐藏起来，使得在开发过程中，无须在意这部分的细节。另外Python这门语言强制用户用缩进进行排版，若不好好排版，则代码编译无法通过，或者运行过程会出现错误。
C语言
C语言是一门面向过程的、抽象化的广泛应用于底层开发的通用程序设计语言，能以简易的方式编译和处理低级存储器。C语言既具有高级语言的特点，又具有汇编语言的特点，是仅产生少量机器语言以及不需要任何运行环境支持便能运行的高效率程序设计语言。
是有简洁的语言、具有结构化的控制语句、丰富的数据类型、丰富的运算符、可对物理地址进行直接操作、代码具有较好的可移植性、可生成高质量、目标代码执行效率高的程序。
Java
Java通过面向作为静态对象的编程语言的代表，可以充分的实现面向的对象理论的编程语言，有简单性、功能强大、分布式、健壮性、安全性、平台独立与可移植性、多线程及动态性的特点。
Java支持在网络上应用，Java既支持各种层次的网络连接，又以Socket类支持可靠的流（stream）网络连接，它是分布式语言。所以用户可以产生分布式的客户机和服务器。网络变成软件应用的分布运载工具。Java程序只要编写一次，就可到处运行。
PHP
PHP是一种被广泛应用的开放源代码的多用途脚本语言，它可嵌入到 HTML中，尤其适合 web 开发。
使用 PHP 的最大的好处是它对于初学者来说极其简单，同时也给专业的程序员提供了各种高级的特性，只需几个小时就可以自己写一些简单的脚本。尽管 PHP 的开发是以服务端脚本为目的，但事实上其功能远不局限于此。
GO
Go语言（又称 Golang）是一种静态强类型、编译型语言，是一个开源编程环境，可以轻松构建简单、可靠和高效的软件。Go 语言语法与 C 相近，但功能上有：内存安全，GC（垃圾回收），结构形态及 CSP-style 并发计算。Go 内嵌了关联数组（也称为哈希表（Hashes）或字典（Dictionaries）），就像字符串类型一样。
对比
python和c语言的区别主要体现在：语言类型、内存管理、速度、应用、运行、对象、声明、测试和调试难度、复杂度、学习程度。 测试和调试难度不同：Python相对其他语言而言是非常简单的语言，高度集成，代码量少。Python中的测试和调试更容易；C中测试和调试更难。 学习难度不同：Python：Python程序更易于学习，编写和阅读；C语言：C程序语法比Python更难。
python 跟 java 一样是强类型语言，也就是说它不会根据环境变化自动改变数据类型。python 是动态语言，而 java 是静态语言。也就是说 python 在编程时，永远不用给任何变量指定数据类型，而 java 写程序时必须声明所有变量的数据类型。
python 的模块类似于 java 的 class，不过python模块导入会执行 代码的内容，而 java 不会。python 与 java 的执行方式还是蛮像的，都是将源码编译成 byte code 然后交给相应的虚拟机去执行。
Python的框架数量较少，而PHP中成熟的框架比较多；PHP是面向web的语言，而Python是多用途语言，也可以用于web开发；Python使用非常严格的缩进强制执行，使它比PHP更具可读性。
学习思路
认识编程
编程语言（programming language）又称程序设计语言，是一组用特定语言编写的用于执行特定任务的指令。主要用于开发桌面应用、操作系统、网站、移动应用等。
低级编程语言
它基于二进制数 0 和 1 工作，处理器直接运行低级程序，不需要编译器或解释器，因此用低级语言编写的程序可以运行得非常快。
低级语言进一步分为两部分
机器语言
机器语言也称为机器代码或目标代码，更容易阅读，因为它通常以二进制或十六进制形式（基数 16）形式显示。
它不需要翻译器来转换程序，因为计算机直接理解机器语言程序。
汇编语言
汇编语言是为特定处理器设计的，它以象征性和人类可理解的形式表示一组指令。它使用汇编程序将汇编语言转换为机器语言。
中级编程语言
中级编程语言介于低级编程语言和高级编程语言之间。
它也被称为中间程序语言和伪语言。
中级编程语言的优点是支持高级编程的特性，是一种用户友好的语言，与机器语言和人类语言密切相关。
例如：C、C++
高级编程语言
高级编程语言 (HLL) 旨在开发用户友好的软件程序和网站。
这种编程语言需要编译器或解释器将程序翻译成机器语言（执行程序）。
示例：Python、Java、JavaScript、PHP、C#、C++ 等。
编程实践
学习编程语言的过程简单描述为：过、抄、仿、改、调、看、练、创、悟。
过
基础知识点不求深解，语言什么样的，适用场合、基本语法格式
抄代码
从书上抄、例子中抄、边抄边想边想边回忆语法
模仿改
仿照给出的代码写出自己的代码
勤调试
不断调试验证自己想法，继续思考，再次验证。熟悉调试工具调试方法
看n遍
出错或者遇到问题时，将代码从头到尾看n遍直到快记住，找出问题原因
练
2-5步三遍以上
创新
拿出一个没有写过的根据要求，一步一步写出来，写不出来参考6
悟
主动找到写代码的感觉和成就感，保持下去。
选择大于努力，只有切入一个适合自己的开发方向，才能持续进步。关于开发方向，我有以下两个选择标准。
兴趣
学习编程是一个非常枯燥的过程，内容多，时间长，成本高，即使报名了培训班也学不会，所以，我们首先要选择自己感兴趣的一个开发方向，这样不但能快速学习，以后还能持续进步。学习编程的过程是比较艰苦的，没有兴趣很难硬抗下来，此处的兴趣，是指别人无法撼动的热爱，是工作之余让你放松的事情。如果你只是有过某种想法，别人告诉你这个想法不靠谱，你就放弃了，这顶多是一时的鸡血。
学习方式
费曼学习法
在学完一个东西之后去给别人讲明白，注意是讲给别人听，当你写成文章发表在网上的时候，你自然会去用更通俗的语言，更清晰的逻辑去讲述这个事物背后的逻辑。这个过程是对自己学习的一个检验，也是加深映像整理思路的重要过程。
那么如果你是去记笔记的话，很有可能你会倾向于去照抄，或是不完全照抄，以“提纲”或是“知识点”的形式抄在本子上。说句实话，照抄的笔记真的没用，因为现在搜索引擎的能力已经可以让你把大多数东西快速找到，你为什么还要照抄到笔记本上呢？
从功利的角度考虑，技术文章的写作，别人可以直接访问，也可以逐渐累积你的影响力，一个好的个人技术博客，会给你的简历加分很多，而一个厚厚的笔记本，没有人会管你记了什么。
做好笔记
大多数人没有过目不忘的神技，学了也不一定马上掌握，需要过后花时间慢慢领悟，而且还有忘掉的风险，所以对于重要的知识点都要做好笔记。编程的过程中总会遇到各种各样的问题，比如编程环境的配置，常用的快捷键，编程过程中的错误、异常，软件更新问题等等。面对这些问题都是如何解决的，一定要记录下来，一是增加自己解决问题的经验，而是以防下次出现。
多看官方文档
外文资料互联网是一个更新迭代很快的行业，所有编程语言都会不断的更新新功能和修复旧Bug，网上查的资料很有可能是旧的解决方案，现在已经不适用了。所以最好最快的方法就是查看官方文档。
进入行业圈子
只有进入行业圈子与其他人交流，你才了解最新的行业动态，才知道自己需要更新哪些技能。
动手做项目
学习编程的最终目的就是用所学的做出具有一定功能的项目，而做项目又是最好的学习和巩固知识的方式。如果前期能力不足就先做一些简单的功能模块，一步一步慢慢来，不要一开始就要实现各种酷炫炸天功能，遇到不会的就在网上查， 现在互联网这么发达，获取资源也及其方便。而且开发前也最好在网上查一下有没有已经成型的框架或模板，什么都自己做一是很耗费时间，二是自己技术能力不足还可能留下不少坑。
学习Python
安装编程环境
第一步：访问Python官网，获取最新安装程序。
第二步：运行下载的安装程序，注意勾选“Add Python3.7 to PATH”,然后选择个性化安装，即“Customize installation”。
第三步：确保“pip”被勾选上，之后安装各种库需要用到pip。
第四步：高级选项，需要的可以修改安装目录，通常没有需要修改的，直接点“Install”。
第五步：等待程序自动安装完成。
第六步：出现如下界面，说明安装已完成。
第七步：验证方法，Windows+R 键打开“运行”窗口，输入cmd运行，进入命令提示窗口，再输入python，进入Python的命令模式，输入 print("Hello")，结果输出了 Hello，如下图所示，确定开发环境已安装完成。
运行环境
Hello World!
命令行
在Linux命令行输入：$python
将直接进入python。然后在命令行提示符>>>后面输入：>>>print('Hello World!')
可以看到，随后在屏幕上输出:
Hello World!
print是一个常用函数，其功能就是输出括号中得字符串。
（在Python 2.x中，print还可以是一个关键字，可写成print 'Hello World!'，但这在3.x中行不通 ）
小程序
另一个使用Python的方法，是写一个Python程序。用文本编辑器写一个.py结尾的文件，比如说hello.py
在hello.py中写入如下，并保存：print('Hello World!')
退出文本编辑器，然后在命令行输入：$python hello.py
来运行hello.py。可以看到Python随后输出Hello World!
脚本
我们还可以把Python程序hello.py改成一个可执行的脚本，直接执行：#!/usr/bin/env python
print('Hello World!')
需要修改上面程序的权限为可执行：chmod 755 hello.py
然后再命令行中，输入./hello.py
就可以直接运行了。
基本数据类型
变量不声明
Python的变量不需要声明，你可以直接输入：>>>a = 10
那么你的内存里就有了一个变量a， 它的值是10，它的类型是integer (整数)。 在此之前你不需要做什么特别的声明，而数据类型是Python自动决定的。
>>>print(a)
>>>print(type(a))
那么会有如下输出：
10
这里，我们学到一个内置函数type()，用以查询变量的类型。
回收变量名
如果你想让a存储不同的数据，你不需要删除原有变量就可以直接赋值。
>>>a = 1.3
>>>print(a,type(a))
会有如下输出
1.3
序列
sequence（序列）是一组有顺序的元素的集合，（严格的说，是对象的集合，但鉴于我们还没有引入“对象”概念，暂时说元素）序列可以包含一个或多个元素，也可以没有任何元素。
我们之前所说的基本数据类型，都可以作为序列的元素。元素还可以是另一个序列，以及我们以后要介绍的其他对象。
序列有两种：tuple（定值表； 也有翻译为元组） 和 list (表)
>>>s1 = (2, 1.3, 'love', 5.6, 9, 12, False) # s1是一个tuple
>>>s2 = [True, 5, 'smile'] # s2是一个list
>>>print(s1,type(s1))
>>>print(s2,type(s2))
tuple和list的主要区别在于，一旦建立，tuple的各个元素不可再变更，而list的各个元素可以再变更。
一个序列作为另一个序列的元素
>>>s3 = [1,[3,4,5]]
空序列
>>>s4 = []
自学
网站
菜鸟网站
这个python教程很适合小白学习，没有高深的原理，照着教程学就完事了。
菜鸟教程是一个提供免费编程学习的网站，里面不但能学到编程知识，还能运用在线编程工具，使你在学习的过程中得到发挥，实践得真理，边学边做中让基础打得更稳，让自己的知识更加稳固。在自己有不明白不理解的地方可以在网站的用户笔记中寻找大佬们的笔记，把自己所学和技术大佬的经验所融合，使自己更好地提升自己的能力。
菜鸟教程内容丰富，例如前端热门语言HTML5、CSS3、JavaScript、Vue等它该有的都有，都会从最基础的开始教，让刚学编程的小白由浅及深，一看就懂。每个知识点都有实例可以动手，直接在页面内做你想要的效果真的非常棒。菜鸟的排版简洁清晰有序，内容一针见血，让你一看就能明白其知识点的含义。
菜鸟教程不仅前端教程语言丰富，后端的Java、PHP、Python更是一应俱全，当然数据库、移动端、XML、ASP.NET、Web Service、开发工具和网站建设也是应有尽有，菜鸟教程有学到的知识如此之多，奋斗吧少年。
廖雪峰的官方网站
廖雪峰的官方网站比较推荐新手程序员学习前端，这个网站的教学视频的讲解相对来说会比较生动，没有其他教程那么死板，看起来也不至于那么犯困，也更便于新手去理解。总的来说，廖雪峰的官方网站作为一款启蒙类的前端学习网站还是相当不错的。
Python官方教程
这是Python官方出品的教程，可搭配Python标准库一起学。
书籍
《Python编程从入门到实践（第2版）》
作者：埃里克·马瑟斯 （EricMatthes）袁国忠 译
ISBN：9787115546081
出版：人民邮电出版社
本书是针对所有层次Python读者而作的Python门书。全书分两部分：部分介绍用Python编程所必须了解的基本概念，包括强大的Python库和工具，以及列表、字典、if语句、类、文件与异常、代码测试等内容；第二部分将理论付诸实践，讲解如何发三个项目，包括简单的2D游戏、利用数据生成交互式的信息图以及创建和定制简单的Web应用，并帮助读者解决常见编程问题和困惑。
《像计算机科学家一样学Python》
ISBN：9787115425515
作者：艾伦 B. 唐尼（Allen B. Downey）
出版：人民邮电出版社
本书以培养读者以计算机科学家一样的思维方式来理解Python语言编程。贯穿全书的主体是如何思考、设计、发的方法，而具体的编程语言，只是提供了一个具体场景方便介绍的媒介。全书共21章，详细介绍Python语言编程的方方面面。本书从基本的编程概念始讲起，包括语言的语法和语义，而且每个编程概念都有清晰的定义，引领读者循序渐地学习变量、表达式、语句、函数和数据结构。书中还探讨了如何处理文件和数据库，如何理解对象、方法和面向对象编程，如何使用调试技巧来修正语法错误、运行时错误和语义错误。
《计算机科学丛书：Java编程思想》
ISBN：9787111213826
作者：[美] Bruce Eckel
出版：机械工业出版社
本书的作者拥有多年教学经验，对C、C++以及Java语言都有独到、深入的见解，以通俗易懂及小而直接的示例解释了一个个晦涩抽象的概念。本书共22章，包括操作符、控制执行流程、访问权限控制、复用类、多态、接口、通过异常处理错误、字符串、泛型、数组、容器深入研究、JavaI/O系统、枚举类型、并发以及图形化用户界面等内容。这些丰富的内容，包含了Java语言基础语法以及高级特性，适合各个层次的Java程序员阅读，同时也是高等院校讲授面向对象程序设计语言以及Java语言的好教材和参考书。
《疯狂Java讲义》
ISBN：9787121361586
作者：李刚
出版：电子工业出版社
《疯狂Java讲义（第4版）》深入介绍了Java编程的相关方面，《疯狂Java讲义（第4版）》内容覆盖了Java的基本语法结构、Java的面向对象特征、Java集合框架体系、Java泛型、异常处理、Java GUI编程、JDBC数据库编程、Java注释、Java的IO流体系、Java多线程编程、Java网络通信编程和Java反射机制。覆盖了java.lang、java.util、java.text、java.io和java.nio、java.sql、java.awt、javax.swing包下绝大部分类和接口。本书重点介绍了Java 9的模块化系统，还详细介绍了Java 9的jshell工具、多版本JAR包、匿名内部类的菱形语法、增强的try语句、私有接口方法，以及Java 9新增的各种API功能。
什么是代码审计？
加密钱包安全审计你的钱包是否安全？
近年来，数字钱包安全事件频发。
2019年11月19日，Ars Technica报道称两个加密货币钱包数据遭泄露，220万账户信息被盗。安全研究员Troy Hunt证实，被盗数据来自加密货币钱包GateHub和RuneScape机器人提供商EpicBot的账户。
这已经不是Gatehub第一次遭遇数据泄露了。据报道，去年6月，黑客入侵了大约100 个XRP Ledger钱包，导致近1000万美元的资金被盗。
2019年3月29日，Bithumb失窃事件闹得沸沸扬扬。据猜测，这次事件起因为Bithumb拥有的g4ydomrxhege帐户的私钥被黑客盗取。
随即，黑客将窃取的资金分散到各个交易所，包括火币，HitBTC，WB和EXmo。根据非官方数据和用户估计，Bithumb遭受的损失高达300万个EOS币（约1300万美元）和2000万个XRP币（约600万美元）以上。
由于数字货币的匿名性及去中心化，导致被盗资产在一定程度上难以追回。因此，钱包的安全性至关重要。
2020年8月9日，CertiK的安全工程师在DEF CON区块链安全大会上发表了演讲主题为：Exploit Insecure Crypto Wallet（加密钱包漏洞利用与分析）的主题报告，分享了对于加密钱包安全的见解。
加密钱包是一种帮助用户管理帐户和简化交易过程的应用程序。
有些区块链项目发布加密钱包应用程序来支持本链的发展——比如用于CertiK Chain的Deepwallet。
此外，还有像Shapeshift这样的公司，其构建了支持不同区块链协议的钱包。
从安全的角度来看，加密钱包最需重视的问题是防止攻击者窃取用户钱包的助记词和私钥等信息。
近一年来，CertiK技术团队对多个加密钱包进行了测试和研究，并在此分享针对基于软件不同类型的加密钱包进行安全评估的方法及流程。
加密钱包基础审计清单
要对一个应用程序进行评估，首先需要了解其工作原理→代码实现是否遵循最佳安全标准→如何对安全性不足的部分进行修正及提高。
CertiK技术团队针对加密钱包制作了一个基础审计清单，这份清单反映了所有形式的加密钱包应用（手机、web、扩展、桌面），尤其是手机和web钱包是如何生产和储存用户私钥的。
应用程序如何生成私钥？
应用程序如何以及在何处存储原始信息和私钥？
钱包连接到的是否是值得信任的区块链节点？
应用程序允许用户配置自定义区块链节点吗？如果允许，恶意区块链节点会对应用程序造成什么影响？
应用程序是否连接了中心化服务器？如果是，客户端应用会向服务器发送哪些信息？
应用程序是否要求用户设置一个安全性高的密码？
当用户试图访问敏感信息或转账时，应用程序是否要求二次验证？
应用程序是否使用了存在漏洞且可被攻击的第三方库？
有没有秘密（比如：API密钥，AWS凭证）在源代码存储库中泄漏？
有没有明显的不良代码实现（例如对密码学的错误理解）在程序源代码中出现？
应用服务器是否强制TLS连接？
手机钱包
相比于笔记本电脑，手机等移动设备更容易丢失或被盗。
在分析针对移动设备的威胁时，必须考虑攻击者可以直接访问用户设备的情况。
在评估过程中，如果攻击者获得访问用户设备的权限，或者用户设备感染恶意软件，我们需要设法识别导致账户和密码资产受损的潜在问题。
除了基础清单以外，以下是在评估手机钱包时要增加检查的审计类目：
应用程序是否警告用户不要对敏感数据进行截屏——在显示敏感数据时，安卓应用是否会阻止用户截屏？iOS应用是否警告用户不要对敏感数据进行截屏？
应用程序是否在后台截图中泄漏敏感信息？
应用程序是否检测设备是否越狱/root？
应用程序是否锁定后台服务器的证书？
应用程序是否在程序的log中记录了敏感信息？
应用程序是否包含配置错误的deeplink和intent，它们可被利用吗?
应用程序包是否混淆代码？
应用程序是否实现了反调试功能?
应用程序是否检查应用程序重新打包?
(iOS)储存在iOS Keychain中的数据是否具有足够安全的属性？
应用程序是否受到密钥链数据持久性的影响?
当用户输入敏感信息时，应用程序是否禁用自定义键盘?
应用程序是否安全使用“webview”来加载外部网站？
Web钱包
对于一个完全去中心化的钱包来说，Web应用程序逐渐成为不太受欢迎的选择。MyCrypto不允许用户在web应用程序中使用密钥库/助记词/私钥访问钱包，MyEtherWallet也同样建议用户不要这样做。
与在其他三种平台上运行的钱包相比，以web应用程序的形式对钱包进行钓鱼攻击相对来说更容易；如果攻击者入侵了web服务器，他可以通过向web页面注入恶意的JavaScript，轻松窃取用户的钱包信息。
然而，一个安全构建并经过彻底测试的web钱包依旧是用户管理其加密资产的不二之选。
除了上面常规的基础审计类目之外，我们在评估客户端web钱包时，还列出了以下需要审计的类目列表：
应用程序存在跨站点脚本XSS漏洞吗？
应用程序存在点击劫持漏洞吗？
应用程序有没有有效的Content Security Policy？
应用程序存在开放式重定向漏洞吗？
应用程序存在HTML注入漏洞吗？
现在网页钱包使用cookie的情况很少见，但如果有的话，应检查：
Cookie属性
跨站请求伪造（CSRF）
跨域资源共享（CORS）配置错误
该应用程序是否包含除基本钱包功能之外的其他功能? 这些功能存在可被利用的漏洞吗？
OWASP Top 10中未在上文提到的漏洞。
扩展钱包
Metamask是最有名和最常用的加密钱包之一，它以浏览器扩展的形式出现。
扩展钱包在内部的工作方式与web应用程序非常相似。
不同之处在于它包含被称为content script和background script的独特组件。
网站通过content script和background script传递事件或消息来与扩展页面进行交流。
在扩展钱包评估期间，最重要的事情之一就是测试一个恶意网站是否可以在未经用户同意的情况下读取或写入属于扩展钱包的数据。
除了基础清单以外，以下是在评估扩展钱包时要增加检查的审计类目：
扩展要求了哪些权限？
扩展应用如何决定哪个网站允许与扩展钱包进行交流？
扩展钱包如何与web页面交互？
恶意网站是否可以通过扩展中的漏洞来攻击扩展本身或浏览器中其他的页面？
恶意网站是否可以在未经用户同意的情况下读取或修改属于扩展的数据？
扩展钱包存在点击劫持漏洞吗？
扩展钱包（通常是background script）在处理消息之前是否已检查消息来源？
应用程序是否实现了有效的内容安全策略?
Electron桌面钱包
在编写了web应用程序的代码之后，为什么不用这些代码来建造一个Electron中桌面应用程序呢？
在以往测试过的桌面钱包中，大约80%的桌面钱包是基于Electron框架的。在测试基于Electron的桌面应用程序时，不仅要寻找web应用程序中可能存在的漏洞，还要检查Electron配置是否安全。
CertiK曾针对Electron的桌面应用程序漏洞进行了分析，你可以点击访问此文章了解详情。
以下是基于Electron的桌面钱包受评估时要增加检查的审计类目：
应用程序使用什么版本的Electron？
应用程序是否加载远程内容？
应用程序是否禁用“nodeIntegration”和“enableRemoteModule”？
应用程序是否启用了“contextisolation”, “sandbox” and “webSecurity”选项？
应用程序是否允许用户在同一窗口中从当前钱包页面跳转到任意的外部页面？
应用程序是否实现了有效的内容安全策略？
preload script是否包含可能被滥用的代码？
应用程序是否将用户输入直接传递到危险函数中(如“openExternal”)？
应用程序会使不安全的自定义协议吗?
服务器端漏洞检查列表
在我们测试过的加密钱包应用程序中，有一半以上是没有中心化服务器的，他们直接与区块链节点相连。
CertiK技术团队认为这是减少攻击面和保护用户隐私的方法。
但是，如果应用程序希望为客户提供除了帐户管理和令牌传输之外的更多功能，那么该应用程序可能需要一个带有数据库和服务器端代码的中心化服务器。
服务器端组件要测试的项目高度依赖于应用程序特性。
根据在研究以及与客户接触中发现的服务器端漏洞，我们编写了下文的漏洞检查表。当然，它并不包含所有可能产生的服务器端漏洞。
认证和授权
KYC及其有效性
竞赛条件
云端服务器配置错误
Web服务器配置错误
不安全的直接对象引用(IDOR)
服务端请求伪造(SSRF)
不安全的文件上传
任何类型的注入(SQL，命令，template)漏洞
任意文件读/写
业务逻辑错误
速率限制
拒绝服务
信息泄漏
随着技术的发展，黑客们实施的欺诈和攻击手段也越来越多样化。
CertiK安全技术团队希望通过对加密钱包安全隐患的分享让用户更清楚的认识和了解数字货币钱包的安全性问题、提高警惕。
现阶段，许多开发团队对于安全的问题重视程度远远低于对于业务的重视程度，对自身的钱包产品并未做到足够的安全防护。通过分享加密钱包的安全审计类目，CertiK期望加密钱包项目方对于产品的安全标准拥有清晰的认知，从而促进产品安全升级，共同保护用户资产的安全性。
数字货币攻击是多技术维度的综合攻击，需要考虑到在数字货币管理流通过程中所有涉及到的应用安全，包括电脑硬件、区块链软件，钱包等区块链服务软件，智能合约等。
加密钱包需要重视对于潜在攻击方式的检测和监视，避免多次受到同一方式的攻击，并且加强数字货币账户安全保护方法，使用物理加密的离线冷存储（cold storage）来保存重要数字货币。除此之外，需要聘请专业的安全团队进行网络层面的测试，并通过远程模拟攻击来寻找漏洞。
现在自学php好点还是学java好点？
php是世界上最好的语言，被称为“宇宙语言”，但是我还是要告诉你选择JAVA语言！
先来看一张图，2019年七月份最新编程语言排名：
可以清晰的看到JAVA依旧位居首位，而php语言持续下滑至第八名。
本人从事JAVA互联网研发工作多年，目前从事的一家公司之前便是用PHP写的服务端，现在正在往JAVA方面切换。公司从事PHP研发的同学也正在学习JAVA进行内部转岗。
服务端研发老大：Java首先，JAVA语言因为其跨平台的特性加上成熟的框架和丰富的开源组件支持，理所当然的成为了服务端语言的老大，任何一个互联网公司都会设置JAVA研发岗位。国内应用JAVA语言最大的公司当属阿里巴巴，并且也出了JAVA开发手册，制定了一系列的开发规范，所以JAVA语言的应用场景是广泛的，就业前景也是宽阔的。
大数据和人工智能领域应用广泛其次，JAVA语言天然支持大数据研发，像大数据框架spark也是由scala+JAVA语言编写的。近些年来很多的大数据研发人员都是由原JAVA开发人员转岗过去的。另外，近些年火起来的人工智能使得python语言逐渐火了起来，从事java研发的同学也可以通过学习Python语言，并结合java语言从事人工智能方面的研发工作。
php不行了？php依旧属于web开发领域炙手可热的语言，php能够写前端能够写后端，也就是说web应用开发通吃。只是近些年来移动互联网的兴起，加上java语言的势头日盛、H5的火爆，另外大数据领域、人工智能方面都没有很好的将php这门语言应用起来，造成了php市场份额逐渐下滑，但这不能表示php语言不是一门优秀的语言，但是大型互联网应用已经很少采用php语言了，另外php语言入门虽然简单，但是作为一名脚本语言也决定了如果不是高手，就会编写出包含很多可攻击的漏洞程序。
综上，个人建议题主还是选择java语言，如果有相关问题可以私信给我~
本人长期专注分享Java研发领域相关知识，欢迎大家评论关注，一起学习，共同成长！Nginx到底能做什么？
nginx可以作为web服务器、缓存服务器、HTTP代理服务器、负载均衡服务器。
什么是nginxNginx（发音为“ engine-x”）是一种开源软件，最初被设计为高性能Web服务器。今天，Nginx可以完成其他一些任务，包括缓存服务器，反向代理服务器，负载平衡器等等
web服务器目前主流使用的web服务器软件，主要有apache、nginx、tomcat、iis等，在全球范围内来说，Apache是现有的最流行的Web服务器，但是在高流量网站中最流行的Web服务器确实nginx，在我国不管是大中小互联网公司，主流选择的也是nginx作为web服务器软件。一份来自Netcraft的调查中，发现Apache的使用率为31.54％，Nginx的使用率为26.20％。
HTTP代理服务器HTTP代理，分两类：一种的正向代理，一种是反向代理。
反向代理。就是真实服务器不直接访问，而是通过代理进行访问，代理服务器和真实服务器是在同一个网络环境。对于访问来说是无感的，代理服务器对于访问者来说就是提供服务的服务器。基于nginx的反向代理，可以实现分布式（不同子域名访问不同的服务后端节点）和负载均衡（相同的域名访问多个相同的后端节点）正向代理。与反向代理类似。不同的是正向代理是客户端的代理。对于服务端来说，代理就是一个访问者。网上寻找的HTTP代理就属于正向代理反向代理和正向代理的区别：
正向代理：针对客户端而言，代理服务器代理客户端，转发请求，并将获得的内容返回给客户端。
反向代理：针对客户端而言，代理服务器就像是原始服务器,代理集群的web节点服务器返回结果。
负载均衡器负载均衡也是Nginx常用的一个功能，基于nginx反向代理。负载均衡其意思就是分摊到多个操作单元上进行执行，例如Web服务器、FTP服务器、企业关键应用服务器和其它关键任务服务器等，从而共同完成工作任务。
简单而言就是当有2台或以上服务器时，根据规则随机的将请求分发到指定的服务器上处理，负载均衡配置一般都需要同时配置反向代理，通过反向代理跳转到负载均衡。
Nginx目前支持自带3种负载均衡策略（轮询、加权轮询、IP哈希），还有2种常用的第三方策略（fair、url哈希）。
缓存服务器nginx可以实现图片、css、js等静态资源文件的缓存，nginx作为缓存服务器时是搭配nginx作为反向代理服务器一起使用的。当客户端第一次通过nginx向后端资源服务器请求静态资源，响应给对应的客户端同时自身缓存一份，后续如果请求相同的资源，就不需要再次向后端服务器请求了，除非缓存被清理或者缓存过期。
结束语nginx的几个功能很少单一使用，基本都是几个功能搭配混合在一起使用。做实际项目中，nginx一般作为七层负载均衡器，实现分布式架构和应用服务器高可用，还可以实现动静分离，同时缓存静态资源，减轻后端服务器负载。
由于nginx的模块化设计，通过第三方模块，还可以实现其他一些功能，以上都是nginx自带模块实现的，如果你还知道nginx可以实现哪些功能，欢迎在评论区留言！
文|技术猿小黄图|来源于网络我是技术猿小黄，很高兴为您回答，如果您喜欢我的回答，可以关注我，点个赞，谢谢！