分类： 默认

Spring Security会默认配置若干个相关的HeaderWriter，比如HstsHeaderWriter、XXssProtectionHeaderWriter等。

默认情况下响应的头部类似这样

Cache-Control: no-cache, no-store, max-age=0, must-revalidate
Pragma: no-cache
Expires: 0
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000 ; includeSubDomains
X-Frame-Options: DENY
X-XSS-Protection: 1; mode=block

这其中有五个HeaderWrite，撇开第一个Cache Control不谈，因为主要是涉及旧版本迁移，剩下了四个。

Content Type Options

这个选项是由于浏览器对于资源会去“猜”。如果返回的资源没有指明类型，那么浏览器就会自己去判断。自动去判断内容是危险，可以构造出XSS攻击。

X-Content-Type-Options: nosniff

当然开启这一特性那么就必须在返回的资源中指明类型，不然会出现无法正确解析的情况。

HTTP Strict Transport Security

一些网站自身就可以同时通过http和https访问，而有些只允许https访问，设置对应的头

Strict-Transport-Security: max-age=31536000 ; 

一个Java Web项目或多或少需要是一些javascript或者css依赖，比较容易想到的办法就是用前端构建工具管理依赖，然后直接拷贝到Webapp目录，当然spring boot对于静态资源还支持一下几个位置：

"classpath:/META-INF/resources/"
"classpath:/resources/"
"classpath:/static/"
"classpath:/public/"

我对于前端管理工具并不喜欢，也不想安装诸如node等相关环境，这个时候就可以试用WebJars了。

WebJars

WebJars将前端资源打包到jar中，这样开发人员就可以简单的管理依赖，并且可以使用已有的JVM base构建工具和生态链，同时对于RequireJS也有一些自动化支持。

在Spring Boot中使用WebJars是非常简单的，简单的引入依赖就可以，所有资源都暴露在 /webjars/** 下，只要你知道版本号和文件名，就可以直接在前端页面中引用相关资源。

Spring Boot的支持

在Spring Boot中使用WebJars如此简单，主要是因为Spring Boot有一个默认的支持，是否启动对应配置的条件在OnEnabledResourceChainCondition类

class OnEnabledResourceChainCondition extends SpringBootCondition {

	public static final String WEBJAR_ASSERT_LOCATOR = "org.webjars.WebJarAssetLocator";

	@Override
	public ConditionOutcome getMatchOutcome(ConditionContext context,
			AnnotatedTypeMetadata metadata) {
		

之前一直使用的hexo，静态博客生成系统，对于服务器要求低，用markdown书写。

但随着自己使用阿里云服务器开始，hexo的优势就越发削弱。服务器可以自己控制，环境自然不是问题，反过来客户端的种种环境需要限制了书写的便利性。

前思后想，还是将博客迁到wordpress上，万幸的是hexo的文章地址和wordpress基本一样，也就省去了很多流量损失。加上wordpress的搜索引擎友好性不错，有ping功能和搜索引擎的各种插件，基本不太担心这块。

谈到迁移，hexo是可以导出rss的，但是这个是atom那种，wordpress导入识别不了，找了一个atom专用的导入插件，但是导入的格式太诡异，特别是代码那块问题太多，索性干脆自己抓取原博客，通过rest api导入。

wordpress需要安装两个插件wp rest api和json basic auth。后者可以直接用用户名密码认证，我直接在本地搭建一个wordpress先迁移好，再导出wordpress格式导入线上环境，确认无误之后再修改nginx反向代理的指向。之前用hexo是静态托管，现在改成反向代理。

wordpress有很多周边生态，比如我现在使用的手机客户端，随时都能码字。…

有一个小项目代码托管在git@osc上，因为oschina支持免费的私有库，代码就放在上面了。

因为毕竟是实验性的东西，部署比较频繁，就写了一小段shell去做部署，也就是每次需要部署的时候登陆到主机执行这段shell即可。

后面看到了deploybot，感觉挺有意思的，但是最后的部署需要登录到主机上，总感觉不安全。

看了一下，利用WebHook也可以自己做到相关功能。

git@osc的WebHook是可以配置密码的，所以安全性还可以。

因为很简单的功能，监听一个端口，获取到post到的数据，然后判断密码，在判断commit信息，如果包含[deploy]就调用部署脚本。

图方便直接使用nodejs来写，虽然对nodejs很不熟，但是毕竟快。用到的库是express，日志用的log4js。

var express=require('express');
var app= express();
var bodyParser=require('body-parser');
var spawn=require('child_process').spawn;
var log4js=require('log4js');
log4js.configure({
appenders:[
{type:'console' },
{type:'file', filename:'logs.log' }
]
});

var logger = log4js.getLogger();
app.use(bodyParser.urlencoded({ extended:false }));