web开发java VS python

一、基本概念和知识点

1、web server:实现了http协议的tcp服务器

2、application server:实现程序逻辑的服务器

3、web container:提供基础支持的容器

4、proxy:代理，client与目标之间的中介

5、https：安全传输层协议（TLS）之上的http

6、servlet处理资源请求的程序逻辑，程序员自己处理多用户导致多线程问题

7、ServletContext：多个servlet共享的环境

8、servlet容器： 支持servlet执行的runtime

9、forward：server内部流程跳转到别的页面

10、redirect：强制client二次请求，可以体现在client的地址栏

11、session：从客户打开浏览器连接到服务器，到客户关闭浏览器离开这个服务器，称做一个会话。当客户访问服务器时，可能会反复连接这个服务器上的几个页面、反复刷新一个页面或不断地向一个页面提交信息等，服务器应当通过某种方法知道这是同一个客户，这时就需要session对象。  

12、cookie：每次http交互时client都会带上的数据，可以用于标记uid，数据存在client。

13、tomcat的server service connector engine servlet

server：对外暴露service，理论上可以不仅仅是http服务

service：connector+container，http服务

connector：处理外部的请求连接，如socket和传输相关

container：具体的处理逻辑的环境，其分为engine、host、context

engine：servlet的容器（支持多个虚拟主机）

host：虚拟主机（区别于硬件上的主机），对应一个网站（公网ip）

context：一个app的上下文环境（一个host可以有多个app）

14、filter 对每个请求都进行的逻辑

15、listener 事件发生时自动执行的代码，分为ServletContext，HttpSession和ServletRequest

16、csrf:(Cross-site request forgery)跨站请求伪造,利用登陆后的session信息，伪装浏览器发http请求。防御措施：api尽量不用get，因为get是单个的url，很容易被嵌入；每个post添加token域，保证是从固定的页面发起请求；或者直接添加一个账号验证或验证码；判断referer；在 HTTP 头中自定义属性并验证

17、XSS：跨站脚本(Cross-site scripting)，在用户的输入中加入自动执行的js代码（可以是<script>也可以是隐藏html的事件触发），防范主要是对用户输入的转义

18、DDoS:Distributed Denial of Service 破坏信息安全“保密性”、“完整性”和“可用性”中的可用性，利用大量肉鸡模仿真实的请求，导致server资源耗尽。包括ARP、ICMP、IP、UDP、TCP和应用层的攻击等几个层次。

19、变量的范围包括 page、request、session、application等

二、java和python（以django为例）对web开发的支持

1、基础设施的层次

python：wsgi服务器、wsgi标准、web框架、app

java：app server、servlet容器、servlet、request+request、session

2、标准 wsgi  vs javaee

3、signal VS listener 

4、middleware  VS Filter

 

5、django middleware tips：

process_request：收到请求后，解析url，确定view之前

process_view：进入view回调之前

view_callback：具体回调

process_template_response：view执行后，模板渲染之前(可以改模板)

process_response：生成response之后

三、实际开发流程

1、springmvc + mybatis

目录结构

pojo/entry/model

dao

service

controller

filter

依次实现数据库模式、model、dao、service、controller

打包成war

deploy到tomcat等服务器

2、django

写model、配url、写view、设置template、写配置文件

打包上线

不需要pojo、dao、service等部分

 

四、总结

1、java是静态类型语言，但是web开发要的是灵活性，所以java做了很多规范来提供web开发的支持，比如 javaee体系、servlet、request、header、cookie、session、filter、listener等的封装，jdbc、orm映射等

2、python是动态类型语言，支持闭包、装饰器，语言的表达能力是远大于java的，所以python没有为web开发设计很细的规范，只是定义了wsgi，使app服务器和web 框架解耦。在web框架内部，因为是脚本语言，不需要抽象request、header、cookie等数据结构（直接用dict就行），orm的映射也是很轻的。

3、python不需要依赖注入和反射（内置直接支持字符串的import）、aop（语言支持高阶函数）、webmvc（支持url直接映射回调）、不需要设计可插拔的架构（直接可以用配置文件来搞定）、不需要处理所有和类型相关的问题