本文目录一览：
- 1、java怎样破解sessio为httponly
- 2、asp项目中如何防止xss攻击
- 3、如何修改java虚拟机内存
- 4、java的框架（比如struts2）对于xss攻击、sql注入等黑客方式有防御么？
- 5、JAVA堆栈在哪里设置？
- 6、java多线程开多少上限量。
java怎样破解sessio为httponly
Session cookies (或者包含JSSESSIONID的cookie)是指用来管理web应用的session会话的cookies.这些cookie中保存特定使用者的session ID标识，而且相同的session ID以及session生命周期内相关的数据也在服务器端保存。在web应用中最常用的session管理方式是通过每次请求的时候将cookies传送到服务器端来进行session识别。
HttpOnly标识是一个可选的、避免利用XSS（Cross-Site Scripting)来获取session cookie的标识。XSS攻击最常见一个的目标是通过获取的session cookie来劫持受害者的session；使用HttpOnly标识是一种很有用的保护机制。
asp项目中如何防止xss攻击
asp中防止xss攻击的方法如下：
确保所有输出内容都经过 HTML 编码。
禁止用户提供的文本进入任何 HTML 元素属性字符串。
根据 msdn.microsoft.com/library/3yekbd5b 中的概述，检查 Request.Browser，以阻止应用程序使用 Internet Explorer 6。
了解控件的行为以及其输出是否经过 HTML 编码。如果未经过 HTML 编码，则对进入控件的数据进行编码。
使用 Microsoft 防跨站点脚本库 (AntiXSS) 并将其设置为您的默认 HTML 编码器。
在将 HTML 数据保存到数据库之前，使用 AntiXSS Sanitizer 对象（该库是一个单独的下载文件，将在下文中介绍）调用 GetSafeHtml 或 GetSafeHtmlFragment；不要在保存数据之前对数据进行编码。
对于 Web 窗体，不要在网页中设置 EnableRequestValidation=false。遗憾的是，Web 上的大多数用户组文章都建议在出现错误时禁用该设置。该设置的存在是有原因的，例如，如果向服务器发送回“X”之类的字符组合，该设置将阻止请求。如果您的控件将 HTML 发送回服务器并收到图 5 所示的错误，那么理想情况下，您应该在将数据发布到服务器之前对数据进行编码。这是 WYSIWYG 控件的常见情形，现今的大多数版本都会在将其 HTML 数据发布回服务器之前对该数据进行正确编码。
对于 ASP.NET MVC 3 应用程序，当您需要将 HTML 发布回模型时，不要使用 ValidateInput(false) 来关闭请求验证。只需向模型属性中添加 [AllowHtml] 即可，如下所示：
public class BlogEntry
{
public int UserId {get;set;}
[AllowHtml]
public string BlogText {get;set;}
}
如何修改java虚拟机内存
一、设置JVM内存设置
1. 设置JVM内存的参数有四个：
-Xmx Java Heap最大值，默认值为物理内存的1/4，最佳设值应该视物理内存大小及计算机内其他内存开销而定；
-Xms Java Heap初始值，Server端JVM最好将-Xms和-Xmx设为相同值，开发测试机JVM可以保留默认值；
-Xmn Java Heap Young区大小，不熟悉最好保留默认值；
-Xss 每个线程的Stack大小，不熟悉最好保留默认值；
2. 如何设置JVM内存分配：
（1）当在命令提示符下启动并使用JVM时（只对当前运行的类Test生效）：
java -Xmx128m -Xms64m -Xmn32m -Xss16m Test
（2）当在集成开发环境下（如eclipse）启动并使用JVM时：
a. 在eclipse根目录下打开eclipse.ini，默认内容为（这里设置的是运行当前开发工具的JVM内存分配）：
-vmargs
-Xms40m
-Xmx256m
-vmargs表示以下为虚拟机设置参数，可修改其中的参数值，也可添加-Xmn，-Xss，另外，eclipse.ini内还可以设置非堆内存，如：-XX:PermSize=56m，-XX:MaxPermSize=128m。
此处设置的参数值可以通过以下配置在开发工具的状态栏显示：
在eclipse根目录下创建文件options，文件内容为：org.eclipse.ui/perf/showHeapStatus=true
修改eclipse根目录下的eclipse.ini文件，在开头处添加如下内容：
-debug
options
-vm
javaw.exe
重新启动eclipse，就可以看到下方状态条多了JVM信息。
b. 打开eclipse－窗口－首选项－Java－已安装的JRE（对在当前开发环境中运行的java程序皆生效）
编辑当前使用的JRE，在缺省VM参数中输入：-Xmx128m -Xms64m -Xmn32m -Xss16m
c. 打开eclipse－运行－运行－Java应用程序（只对所设置的java类生效）
选定需设置内存分配的类－自变量，在VM自变量中输入：-Xmx128m -Xms64m -Xmn32m -Xss16m
注：如果在同一开发环境中同时进行了b和c设置，则b设置生效，c设置无效，如：
开发环境的设置为：-Xmx256m，而类Test的设置为：-Xmx128m -Xms64m，则运行Test时生效的设置为：
-Xmx256m -Xms64m
（3）当在服务器环境下（如Tomcat）启动并使用JVM时（对当前服务器环境下所以Java程序生效）：
a. 设置环境变量：
变量名：CATALINA_OPTS
变量值：-Xmx128m -Xms64m -Xmn32m -Xss16m
b. 打开Tomcat根目录下的bin文件夹，编辑catalina.bat，将其中的�TALINA_OPTS%（共有四处）替换为：-Xmx128m -Xms64m -Xmn32m -Xss16m
java的框架（比如struts2）对于xss攻击、sql注入等黑客方式有防御么？
框架本身并不具有这些功能。
防止xss，sql等的攻击大部分需要程序员自己注意。
sql注入本身就是sql语句写法的漏洞导致。
xss攻击的防御还是需要对非法字符串进行判断过滤。
JAVA堆栈在哪里设置？
堆栈设置无疑是要适当理解和设置的最重要环节。 过度严格的内存设置要么使Tomcat运行很慢，要么报OutOfMemoryError的错误信息，使工作不正常。内存设置过大，要么因不能平均分配如此大量的内存而无法启动JVM，要么能启动运行正常，但却耗用了超出所需的过量计算机内存，而且计算机上的其他软件也无法运行(因为必要的内存已分配给Tomcat)。 之前关于JVM设置选项详解中显示的-Xmx和-Xms设置值为384MB，但这不一定是计算机的适用内存，即使是适用的，也未必就是Tomcat所要的内存大小。到底多大内存是最适合的，需要经验来决定不同内存的大小。
以小的和大的启动堆栈内存配置Tomcat JVM，都会引发网页响应时间超出Java VM堆栈的最大值的某种问题(如果需要堆栈也跟着增长)。 因为Tomcat正在提供响应时会占用大量的时间重新分配内存，所以如果您不希望性能出现类似的问题，一定要让-Xms和Xmx开关值就是所需内存的相同大小，从而保证JVM在操作过程中从不需要重新分配堆栈内存。
在调用驻留于CATALINA_HOME/bin的Tomcat脚本之前，可以设置JAVA_OPTS环境变量值，以设置这些JVM启动的任意开关。将JAVA_OPTS设置成包含任意开关、以空格分开的字符串。
为了可以连接远程调试器，且想阻调试模式启动Tomcat JVM，那么可以按如下方式设置JAVA_OPTS环境变量：
JAVA_OPTS="-Xdebug -Xrunjdwp:transport=dt_socket,address=8000,server=y,suspend=n"
以上语句允许您通过Tomcat主机上的8000端口连接一个JPDA远程调试器客户端(例如，任何Java IDE)，并调试Tomcat JVM中运行的任何代码。您可随意定制所喜欢的端口号。
如果想通过JMX远程客户端连接到Tomcat以实现本地管理和，或监控，请使用下列设置：
JAVA_OPTS="-Dcom.sun.management.jmxremote=true
-Dcom.sun.management.jxremote.ssl=false
-Dcom.sun.managerment.jmxremote.authenticate=false"
这些设置允许您在同一台运行Tomcat的机器上使用JMX控制台(如JDK自带的jconsole)，如果想远程使用JMX控制台，则使用下列这些设置：
JAVA_OPTS="-Dcom.sun.management.jmxremote.port=8080
-Dcom.sun.management.jmxremote.ssl=false
-Dcom.sun.management.jmxremote.authenticate=false
-Dcom.sun.management.jmxmote.password.file=/path/to/pw/file"
这些设置允许您从另一台机器上用TCP 8008端口连接到Tomcat JVM上。 您也可以设置-Dcom.sun.management.jmxremote.authenticate=truen，然后在JMX远程口令文件中设置-Dcom.sun.management.jmxmote.password.file=/path/to/pw/file路径，从而只有您及您授权的用户可以连接到Tomcat JVM上。
java多线程开多少上限量。
1。java的线程开启，默认的虚拟机会分配1M的内存，但是在4G的windows上线程最多也就开到300多 ，是因为windows本身的一些限制导致。
2。虚拟机给每个线程分配的内存（栈空间）是由虚拟机参数-Xss来指定的，在不同平台上对应的默认大小可以 在oracle的官方文档上查询到：
/optionX.html
其中，Linux64位默认Xss值为256K，并非1M或10M
3。一个Java进程可以启动的线程数可以通过如下公式计算：
（系统剩余内存 - 最大堆容量Xmx - 最大方法区容量MaxPermSize）／ 最大栈空间Xss
这样，4G的服务器单个进程可以开多少线程，可以粗略计算出来，大概是5000个线程。
