标签: web-applications

与许多技术人员一样——在过去的几年里，我积累了许多较旧的 x86 服务器、x86 台式机和 Cisco 交换机。

我想为 Web 应用程序实验（Web 服务器 + 数据库 + 应用程序服务器）构建一个小型云集群。也就是说，我并不希望扩展整个操作系统环境。

构建小型个人应用云的软件选项有哪些？

我正在寻找一些软件来提供类似于 SendThisFile.com 的服务。当我的用户尝试发送超出邮件服务器限制（我们自己的或收件人的）的文件时，他们通常会求助于此类服务。我已经提议为用户设置 FTP 帐户，但我们发现有些客户在登录 FTP 站点时遇到困难。

我可以用 PHP 写一些东西，但感觉有点像我在重新发明轮子。

其他公司正在做些什么来将大量数据传输到电子邮件的限制是一种限制并且 vpn 不是可能的解决方案的客户或合作伙伴？

代理 tomcat Web 应用程序时，Apache2 反向代理似乎间歇性冻结。

问题是，当我尝试登录到这个代理的 Web 应用程序时，它经常（一天一两次，通常是在不活动后）冻结。应用程序只是无限期地冻结，没有 500 响应代码......浏览器只是等待和等待。

如果我不断尝试从我的浏览器提示网址，它最终会重新开始工作。

我试图通过直接导航到 tomcat 端口 8080 上的 Web 应用程序来重现此问题，但如果不通过反向代理，我就无法重现此问题。

这是我的反向代理配置...任何故障查找想法？谢谢

/etc/apache2/sites-available/default

ProxyPass /manage/ http://localhost:8080/manage/
ProxyPassReverse /manage/ http://localhost:8080/manage/

ProxyPass /manage http://localhost:8080/manage
ProxyPassReverse /manage http://localhost:8080/manage

/etc/apache2/mods-available/proxy.conf

  <IfModule mod_proxy.c>
    #turning ProxyRequests on and allowing proxying from all may allow
        #spammers to use your proxy to send email.

        ProxyRequests Off

        <Proxy *>
                AddDefaultCharset off
                Order deny,allow
                Deny from all
                Allow from all
        </Proxy>

        # Enable/disable the handling of HTTP/1.1 "Via:" headers.
        # ("Full" adds the …

我有两个网站

1. www.mysite.com. -->hosted on s3 ，通过 Cloudfront 静态单页应用程序提供。

2. 然后我有api.mysite.com，前端使用的。

我的公司正在使用WAF solution第三方，当前的单体应用程序受到它的保护。

对于新站点，我已将api.mysite.comWAF放在后面，但我不确定是否需要将静态站点也放在 WAF 后面？

这主要是关于防止站点遭受 DDOS 攻击或机器人等，我们之前有很多攻击，所以我想确保我以正确的方式做这件事。

我正在为 ol' 管理工具包寻找一个新工具，并会重视一些建议。

我想针对 XSS（跨站点脚本）漏洞对少数网站进行一些“自动化”测试，同时检查 SQL 注入机会。我意识到自动化工具方法不一定是唯一或最好的解决方案，但我希望它能给我一个好的开始。

我需要扫描的站点涵盖了从 PHP / MySQL 到 Coldfusion 的堆栈范围，其中混合了一些经典的 ASP 和 ASP.NET 以进行很好的衡量。

您会使用哪些工具来扫描 Web 应用程序漏洞？

（请注意，我直接关注网络应用程序，而不是服务器本身）。

我刚刚开始使用 Keepass http://keepass.info/作为密码数据库。它作为一个独立的应用程序工作得很好。

我遇到的问题是，当我没有电脑或 USB 密钥时，我需要从数据库中获取密码。

目前我在我的网络服务器（秘密 URL）上保留了我的密码数据库的副本。当我在朋友家时，我需要密码。我下载数据库文件并在他们的计算机上运行keepass，获取密码，然后删除数据库文件。这有点笨拙，因为有时人们不会让我将 Executable 下载到他们的计算机上。

我正在寻找的是一个半安全的在线版本，它使用 keepass 的数据库（无需隐藏数据库）。我可以自托管的东西。

我已经尝试过http://ossfree.net/webkeepass/但它要求您将 KeePass 数据库转换为 XML 以导入到在线网络应用程序。我正在寻找可以直接从数据库中读取的东西。

我注意到有许多不同的 KeyPass 端口可用，我希望有一个 Java 小程序版本，我可以将它嵌入到网站中而无需太多安装，但目前似乎不存在。

要求

• 使用 KeePass 数据库（无转换）
• 自托管。

正如最近向我解释的那样，当与应用程序服务器的连接被捆绑通过缓慢的网络连接向客户端提供数据时，就会发生“填鸭问题”。这对我来说很有意义，现在我明白了在我的应用程序服务器前面放置高并发代理的重要性。

我的问题是，第一个认识到这个问题的人是如何解决的？如果没有人向我解释，什么 *nix 工具和故障排除技术可以帮助我识别这个问题？

我有一个要在多台服务器上运行的网络应用程序。我想确保使用相同会话（值为 JSESSIONID=x 的 HTTP cookie 标头）的请求始终与同一服务器通信。也就是说，直到会话在某些情况下“移动”到不同的服务器（不仅在服务器出现故障时，而且由于某些服务器端缓存和性能策略）。

我的 Web 应用程序在这种情况下运行良好，但我应该使用哪种负载均衡器？显然，我可以在应用程序级别进行负载平衡，但我正在寻找更有效的方法。也许是专门的硬件（也许不是）？我不能花很多钱...

更新

感谢您到目前为止的回答：我现在发现，可以配置Pound和HAProxy来查找某些 cookie。我还没有找到，他们是否还允许动态更新映射（当会话“移动”到不同的应用程序服务器时）？

是否有（便宜的）硬件解决方案，也可以做到这一点？（这会比额外的负载平衡服务器的成本更低吗？）

我想就如何制定扩展我的 Web 应用程序的策略获得一些建议/最佳实践。我在这里胡说八道并展示我有限的知识，但想填补我的知识空白。自己尽可能多地学习这方面的知识很诱人，但意识到我需要寻求一些外部帮助，因此作为一个一般性问题，最好知道最容易外包的事情是什么。

我的背景 - 我是一名开发人员，主要从事用户界面的开发工作，并一直在使用 Flash 和 PHP 开发应用程序的功能，该功能可以让用户上传图像和视频以进行在线共享。

系统架构如下——

1. 一个单一的网络服务器，它也充当数据库服务器 (MySQL)。该服务器位于受信任且可靠的托管公司的托管托管包中。网络服务器提供 PHP 页面和 Flash SWF，它们是主要的 UI 组件
2. Amazon S3 存储桶，用于存储用户的图像、视频和音频文件。
3. 用户界面组件要么是 PHP 页面，要么是 Flash SWF，例如图像和视频是通过 Flash swfs 查看的，Flash swfs 通过 AMFPHP 服务查询数据库以获取要加载的图像和视频文件的 URL。然后从 Amazon S3 存储桶接收这些数据。另一个 FLash SWF 处理上传和 POSTS 文件到在 Amazon Cloud 上的 EC2 实例上运行的 PHP 脚本。
4. 用于管理图像、视频和音频上传的上传服务器。这是一个运行在 Elastic Load Balancer 后面的 Amazon EC2 实例，当它看到 CPU 容量达到 80% 时会添加更多实例。
5. 我们还使用也在 Amazon EC2 上运行的第三方服务来对视频文件进行转码。

所以在很大程度上，我认为事情已经设置好了，可以扩大规模。但我没有如何扩展或管理高流量 Web 应用程序的经验，因此将依赖我们的 Web 服务器托管公司来管理 Web/应用程序服务器和数据库服务器的可扩展配置的设置。

硬件/架构扩展-

据我了解，这里的第一步是将 Web 服务器和数据库分开并让数据库服务器独立运行，将 Web 服务器放在负载均衡器后面，并最终为数据库服务器设置主/从配置。我应该要求我的网络托管公司做什么？这样做有什么问题？对我的 AMFPHP …

最终目标是做到这一点，以便每当我的应用程序池被回收时（每当我发布网站更新时都会发生这种情况），我的网站就会被访问一次以“预热”。通常，回收后第一次访问需要 2.5 秒，后续访问只需 0.5 秒，因此每次更新后都需要访问一次。我想自动执行此操作，Windows 应用程序初始化功能似乎就是实现此目的的方法。

问题是，启用此功能后，在重新启动应用程序池（或重新启动任何内容）时，我看不到访问我的网站的任何访问日志。应用程序初始化功能似乎根本不起作用。我在系统事件日志中没有看到任何错误，也没有看到任何进一步排除故障的方法。

这是环境：

• Windows 服务器 2019
• IIS 10（具有所有需要的角色/功能）
• ASP.NET 核心 3.1

以下是我的配置（使用IIS 8.0 应用程序初始化指南）：

• Windows 中已安装“应用程序初始化”功能/角色
• 应用程序池：
  • .NET CLR 版本：无托管代码（我也尝试过 v4.0）
  • 托管管道模式：集成
  • 立即启动应用程序池：启用
  • 启动模式：始终运行
  • 空闲超时（分钟）：0
  • 常规时间间隔（分钟）：0
• 地点：
  • 仅 HTTPS（我也尝试过添加 HTTP）
  • 预加载已启用：True
• applicationHost.conf 文件system.webServer/applicationInitialization部分：

故障排除：

• 我已重新启动站点/应用程序池/服务/服务器
• 我已经尝试了该system.webServer/applicationInitialization部分中的各种设置，并将其移至 web.config
• 我注意到globalModulesapplicationHost.config 文件的部分有这个，但我浏览到该文件夹​​，它是空的。我本来期望那里有一些 dll 文件，包括 Warmup.dll：

<add name="ApplicationInitializationModule" image="%windir%\System32\inetsrv\warmup.dll" />