博客系统知多少:揭秘那些不为人知的学问(四)

   点击上方关注“汪宇杰博客” ^_^

上篇《博客系统知多少:揭秘那些不为人知的学问(三)》介绍了博客协议或标准。本篇终章介绍设计博客系统有哪些知识点。

1.“博客”的前世今生

2.我的博客故事

3.谁是博客的受众?

4. 博客基本功能设计要点

    4.1 文章(Post)

    4.2 评论(Comment)

    4.3 分类(Category)

    4.4 标签(Tag)

    4.5 归档(Archive)

    4.6 页面(Page)

    4.7 订阅

    4.8 版本控制

    4.9 主题及个性化

    4.10 用户及权限

    4.11 插件

    4.12 图片及附件的处理

    4.13 敏感过滤及评论审查

    4.14 静态化

    4.15 通知系统

5. 博客协议或标准

    5.1 RSS

    5.2 ATOM

    5.3 OPML

    5.4 APML

    5.5 FOAF

    5.6 BlogML

    5.7 Open Search

    5.8 Pingback

    5.9 Trackback

    5.10 MetaWeblog

    5.11 RSD

    5.12 阅读器视图

6. 设计博客系统有哪些知识点

    6.1 时区真的全用UTC?

    6.2 HTML还是Markdown

    6.3 MVC还是SPA

    6.4 安全

7. 结束语

6.1 | 时区真的全用UTC?

存储时间使用UTC在2020年应该已经是猿尽皆知的实践了,博客系统其实也是如此,我的博客所有时间数据最终保存都采用UTC时间。但博客有个特殊的地方,即它不应该按读者的时区去转换UTC时间进行显示,而应该按照博客作者的时区去显示时间。

这并不是技术上的原因,就算你按读者时区去显示时间也不会有代码爆炸,原因在于博客的诞生初衷,就是为了彰显个性,让博主在互联网上有自己的展示空间,因此突出博主本人的属性非常重要,博主所在时区也是个让读者了解博主的属性之一,因此,正宗的博客系统都会给一个时区设置选项,并以此转换UTC时间作为显示,WordPress和我的Moonglade博客系统均是如此。博客系统不自动转换读者所在时区的时间,纯粹就是个鲜为人知的情怀设计,但必须得尊重。

(图:Moonglade 按博主设置的时区显示文章发表时间)

那么有意思的事情来了,搜索引擎要怎么理解博客文章的时间?最好将UTC时间仅告诉搜索引擎,不要给用户显示,方法也很简单,用HTML5的time标签的datetime属性即可。在HTML5标准推广以后,搜索引擎更喜欢看标签类型来判断内容的含义,而不是根据标签里的内容来猜意思。

在C#里,ToString(“u”)指的是Universal sortable date/time patter。

<time datetime="@Model.PostModel.PubDateUtc.ToString("u")" title="GMT @Model.PostModel.PubDateUtc">@DateTimeResolver.GetDateTimeWithUserTZone(Model.PostModel.PubDateUtc).ToString("MM/dd/yyyy")</time>

对于刚才截图里的文章,时间的HTML为:

<time datetime="2020-04-29 11:41:02Z" title="GMT 4/29/2020 11:41:02 AM">04/29/2020</time>

6.2丨HTML还是Markdown

许多技术人士编写博客系统的时候喜欢选用Markdown作为编辑器,如果单纯只是个技术博客,自己使用并没有什么问题。但如果你在给他人编写博客系统,请记住,不是每个人,都是程序员,不是每个人,都喜欢Markdown。

图 | 网络

在这种情况下,一个WSIWYG的HTML编辑器(如TinyMCE)是不错的选择,HTML编辑器相对Markdown也支持更高级的排版方式。Moonglade 同时支持HTML和Markdown编辑器。

(图:Moonglade 使用的TinyMCE编辑器)

保存文章内容到数据库时,Markdown格式需要选择原始内容,而非生成的HTML,因为还需要支持后续编辑。HTML格式现在也不建议encoding存储,毕竟都已经2020年了,市面上的主流数据库都可以正确支持各种神奇的Unicode,比如文章中突然出现个emoji????,而如果你使用了encoding,就会像我的博客一样面临一些福报:https://github.com/EdiWang/Moonglade/issues/280。并且encoding和decoding的过程会影响性能。我的Moonglade博客系统也刚刚完成了去除encoding的改造。

6.3丨MVC还是SPA

许多社区里写博客系统的程序员都偏向于使用SPA架构建博客,而鄙视用MVC,觉得落后,真的是这样吗?这个问题就像是飞机为什么不飞直线,是航空公司不会规划吗?关于这一点,我曾经在以前的博客文章《我的 .NET Core 博客性能优化经验总结》中写过:

2014年以后,随着SPA的兴起,Angular等框架逐渐成为了前端开发的主流。它们解决的问题正是提升前端的响应度,让Web应用尽量接近本地原生应用的体验。我也面临过不少朋友的质疑:为什么你的博客不用angular写?是你不擅长吗?

图 | 网络

其实并不是那么简单。实际上我任职的岗位的目前主要工作内容也是写angular,博客曾经的.NET Framework版的后台也用过angularjs以及angular2,经过一系列的实践表明,我博客这样的内容站用angular收益并不大。

其实这并不奇怪,在盲目选择框架之前,我们得注意一个前提条件:SPA框架所针对的,其实是Web应用。而应用的意思是重交互,即像Azure Portal或Outlook邮箱那样,目的是把网页当应用程来开发,这时候SPA不仅能提升用户体验,也能降低开发成本,何乐而不为?但是博客属于内容为主的网站,不是应用,要说应用也勉强只能说博客的后台管理可以是应用。博客前台唯一的交互就是评论、搜索,因此SPA并不适合这样的工作。这就像你要去菜场买菜,骑自行车反而比你开个坦克过去方便。

在微软官方文档里也有同样的关于何时选择SPA,何时选择传统网站的参考:

https://docs.microsoft.com/en-us/dotnet/architecture/modern-web-apps-azure/choose-between-traditional-web-and-single-page-apps 

博客前台仍然选用MVC的另一个原因,请回顾一下本文开头“博客的读者是谁”,我运营博客十余年,统计的数据表明,几乎所有的用户都来源于搜索引擎,都只点进来看一篇文章,然后关闭网页。现在仔细想想,SPA解决的最大的问题之一是什么?是不是通过只刷新局部来提高前端性能(可响应度)?而用户从搜索引擎过来,只看一篇文章就关闭网页,真的用得到SPA只刷新局部的优势吗?用户只看一篇文章,你用个SPA框架,用户得加载一堆框架本身的文件,其中包括导航、交互等功能,而99%的用户根本就不会点到别的地方去,于是你只为了1%的用户,去加载硕大的一个框架,值得吗?这性能到底是提高了,还是降低了?

MVC框架虽然每次都会输出服务器端渲染的完整HTML,但由于99%的用户只看一篇文章就关闭网页,所以对于99%的用户来说,他们所需要加载的资源,远小于加载一套SPA,速度更快,还更SEO友好。SPA适合用在博客的后台管理portal,而不是前台。

6.4丨安全

根据运营博客多年的后台监控数据,最常见的攻击行为是全自动的漏洞扫描工具。他们会请求例如 data.zip, wp-admin.php, git目录等常见的安全疏忽,或是想要通过某些博客系统的已知漏洞进行攻击。目的是为了控制服务器,在你的博客网页里加入对用户的恶意代码(例如勒索病毒、挖矿)等,有些也会将服务器本身变成矿机。

(图:Azure后台捕获的自动化扫描工具请求)

设计博客系统时,常用的安全对策可参考OWASP(https://owasp.org/),但同时保留灵活性。例如,加入JavaScript的CSP时,请考虑正常博客用户可能需要添加三方统计插件(如Azure Application Insights,国内的CNZZ等),请设计一定的黑、白名单或功能开关。

大部分设计者都知道要防范用户的输入,即博客的读者,输入的入口通常只有评论和搜索功能。但不要忘了,博主在博客后台管理中的输入也需要防范,因为不一定是博主本人在操作。举个例子,博主的账号被盗,黑客在后台将导航栏的链接指向黑客的服务器或localhost上早已准备好的奇妙的机关(是的,不要以为localhost在正常人的电脑上不起作用),那么读者就会受到严重影响。

图 | 网络

关于后台登录的身份认证,能采用成熟的SSO的就优先采用SSO,例如Moonglade支持Azure Active Directory验证,这样能够利用微软这样的专业服务管理授权认证,尽可能小的避免账户上产生安全问题。如果用户没有SSO的环境,才fallback到本地账号认证。千万不要认为用三方服务没自己写安全,觉得自己写的逻辑没人知道就不会被黑了,除非你是世界顶级大牛,不然自己写的系统易黑程度远高于三方服务。

另有一些攻击通常由一些敌对阵营的无聊程序员发起,例如使用脚本或工具持续不断的请求博客系统的某个URL,企图像DDOS那样击爆服务器,对于这种无聊刷刷党,博客系统设计者只要加入有关URL endpoint的rate limit即可。对于真实的DDOS攻击,只有云端抗DDOS服务或硬件DDOS防火墙才能解决。

最后别忘了OWASP里没有的东西,博客的协议也会有设计缺陷,例如pingback可以用来DDOS(https://www.imperva.com/blog/wordpress-security-alert-pingback-ddos/),也能扫描服务器端口(https://www.avsecurity.in/wordpress-xml-rpc-pingback-vulnerability/

结束语

设计一个优秀的博客系统,每一处细节都值得斟酌。这些设计绝对不可能一开始就能做对,而是得靠长期运营博客的数据去发现并思考。并且,市场会变化,用户行为会变化,标准会被淘汰,也会被发明,因此你的系统需要跟着进化。

任何看似简单的系统,就算普通到烂大街,也有背后看不见的一套完整体系。博客如此,电子商城、外卖、金融清算系统更是复杂,不要光凭自己表面看到的就开始做。就如同造飞机,造个纸飞机和真飞机,绝对不是一回事。

技术人员也不要觉得什么流行就得用什么,优秀的产品并不是堆砌时髦技术做出来的,而先得分析你的用户到底是怎么用你的产品,才能做最合适的选择。要记住,想要一件事情做成功,思路不要只局限于技术本身,学会分析市场,用户行为,才能更准确的选择和应用技术。

图 | 网络

感谢读到这里的读者,如果大家有什么疑问和讨论,欢迎留言交流。

喜欢本篇内容请点个在看

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/309398.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

[JavaWeb-JavaScript]JavaScript特殊语法

JS特殊语法&#xff1a; 1. 语句以;结尾&#xff0c;如果一行只有一条语句则 ;可以省略 (不建议)2. 变量的定义使用var关键字&#xff0c;也可以不使用* 用&#xff1a; 定义的变量是局部变量* 不用&#xff1a;定义的变量是全局变量(不建议)

动态规划专题

目录动态规划基础钢条切割矩阵链乘法动态规划原理最优子结构经典问题&#xff1a;子问题重叠重构最优解最长公共子序列最优二叉搜索树最长连续不下降子序列最长不下降子序列经典问题&#xff08;来自习题&#xff09;DAG 中的最长简单路径最长回文子序列最长回文子串记忆化搜索…

Azure 国际版与中国版服务列表对(2020年6月版)

点击上方关注“汪宇杰博客” ^_^对于选择Azure平台的用户来说&#xff0c;会面临选择国内还是国际版的问题。由于一些原因&#xff0c;由世纪互联运营的中国大陆版Azure无法落地所有的国际版服务。相比几年前&#xff0c;情况已经有了一定的改善。本文列出了国际版和国内版Azur…

[JavaWeb-JavaScript]JavaScript流程控制语句

流程控制语句&#xff1a; 1. if...else...2. switch:* 在java中&#xff0c;switch语句可以接受的数据类型&#xff1a; byte int shor char,枚举(1.5) ,String(1.7)* switch(变量):case 值:* 在JS中,switch语句可以接受任意的原始数据类型3. while4. do...while5. for

解读三组容易混淆的Dockerfile指令

长话短说&#xff0c;今天分享三组容易混淆的Dockerfile指令&#xff0c; 帮助大家编写更优雅的Dockfile文件、构建更纯净的Docker镜像。COPY vs ADDCOPY、ADD主体功能类似&#xff1a;从指定位置src拷贝文件到Docker镜像dest。COPY <src>... <dest> ADD <src&…

[JavaWeb-HTML]HTML概念介绍和快速入门

HTML 1. 概念&#xff1a;是最基础的网页开发语言* Hyper Text Markup Language 超文本标记语言* 超文本:* 超文本是用超链接的方法&#xff0c;将各种不同空间的文字信息组织在一起的网状文本.* 标记语言:* 由标签构成的语言。<标签名称> 如 html&#xff0c;xml* 标记…

ASP.NET Core使用Nacos SDK访问阿里云ACM

背景 前段时间&#xff0c;cranelee 在Github上给老黄提了个issues&#xff0c; 问到了如何用Nacos的SDK访问阿里云ACM。https://github.com/catcherwong/nacos-sdk-csharp/issues/13刚看到这个issues的时候&#xff0c;老黄也是觉得一脸懵逼&#xff0c;好像这两者没有什么必然…

[JavaWeb-JavaScript]JavaScript_Function函数(方法)对象

Function&#xff1a;函数(方法)对象 1. 创建&#xff1a;1. var fun new Function(形式参数列表,方法体); //忘掉吧2. function 方法名称(形式参数列表){方法体}3. var 方法名 function(形式参数列表){方法体}2. 方法&#xff1a;3. 属性&#xff1a;length:代表形参的个数…

java基础输入输出语句

输入语句 方法一&#xff1a; System.in和System.out方法 缺点一: 该方法能获取从键盘输入的字符&#xff0c;但只能针对一个字符的获取缺点二: 获取的只是char类型的。如果想获得int,float等类型的输入,比较麻烦。 import java.io.IOException; public class test {public…

为.netcore助力--WebApiClient正式发布core版本

1、前言NCC WebApiClient 已成熟稳定&#xff0c;发布了WebApiClient.JIT 和 WebApiClient.AOT 两个 NuGet 包&#xff0c;累计近 10w 次下载。我对它的高可扩展性设计相当满意和自豪&#xff0c;但 WebApiClient 并不因此而停下脚步&#xff0c;在一年前&#xff0c;我产生了编…

[JavaWeb-JavaScript]JavaScript_Data日期对象

Date&#xff1a;日期对象 1. 创建&#xff1a;var date new Date();2. 方法&#xff1a;toLocaleString()&#xff1a;返回当前date对象对应的时间本地字符串格式getTime():获取毫秒值。返回当前如期对象描述的时间到1970年1月1日零点的毫秒值差示例代码如下: <!DOCTYPE …

括号匹配+Java栈

括号匹配 import java.util.LinkedList;class MyStack{private int num;private LinkedList<Character>date;public MyStack(){this.num0;datenew LinkedList<Character>();}public boolean isEmpty(){return num0?true:false;}public void push(Character ch){t…

一个static和面试官扯了一个小时,舌战加强版

一&#xff1a;背景1. 讲故事最近也是奇怪&#xff0c;在社区里看到好几篇文章聊static 的玩法以及怎么拿这个和面试官扯半个小时&#xff0c;有点意思&#xff0c;点进去看都是java版的&#xff0c;这就没意思了&#xff0c;怎么也得有一篇和面试官扯C# 中的 static用法撒&…

[JavaWeb-JavaScript]JavaScript_Math数学对象

Math&#xff1a;数学对象 1. 创建&#xff1a;* 特点&#xff1a;Math对象不用创建&#xff0c;直接使用。 Math.方法名();2. 方法&#xff1a;random():返回 0 ~ 1 之间的随机数。 含0不含1ceil(x)&#xff1a;对数进行上舍入。floor(x)&#xff1a;对数进行下舍入。round(x…

数据结构整理中。。。

目录栈队列链表单向链表双向链表向链表中插入&#xff08;写入&#xff09;数据单向链表单向循环链表双向循环链表从链表中删除数据单向&#xff08;循环&#xff09;链表双向循环链表哈希表哈希函数冲突拉链法闭散列法并查集启发式合并&#xff08;按秩合并&#xff09;带权并…

.NET开发者省份分布排名

什么叫.NET开发者省份分布排名呢&#xff1f; 顾名思义&#xff0c;这几个词大家都认识&#xff0c;.NET开发者都集中在城市&#xff0c;涵盖一线城市到五线城市。排名的方法非常简单粗暴&#xff0c;就是根据本公众号&#xff08;dotnet跨平台&#xff09;的省份订阅读者数量排…

[JavaWeb-JavaScript]JavaScript_RegExp正则表达式对象

RegExp&#xff1a;正则表达式对象 1. 正则表达式&#xff1a;定义字符串的组成规则。1. 单个字符:[]如&#xff1a; [a] [ab] [a-zA-Z0-9_]* 特殊符号代表特殊含义的单个字符:\d:单个数字字符 [0-9]\w:单个单词字符[a-zA-Z0-9_]2. 量词符号&#xff1a;?&#xff1a;表示出现…

创建型模式——单例模式

一、 实验目的与要求 1.练习使用单例模式。设计相关的模拟场景并进行实施&#xff0c;验证模式特性&#xff0c;掌握其优缺点。 2.实验结束后&#xff0c;对相关内容进行总结。 二、实验内容 1.模式应用场景说明 在山区或者边远地区火车站往往只有一个窗口在买票&#xff0c;但…

Sql Server之旅——终点站 nolock引发的三级事件的一些思考

曾今有件事情让我记忆犹新&#xff0c;那年刚来携程不久&#xff0c;马上就被安排写一个接口&#xff0c;供企鹅公司调用他们员工的差旅信息&#xff0c;然后我就三下五除二的给写好了&#xff0c;上线之后&#xff0c;大概过了一个月。。。DBA那边报告数据库出现大量锁超时&am…

[JavaWeb-JavaScript]JavaScript_Global全局对象

Global 1. 特点&#xff1a;全局对象&#xff0c;这个Global中封装的方法不需要对象就可以直接调用。 方法名();2. 方法&#xff1a;encodeURI():url编码decodeURI():url解码encodeURIComponent():url编码,编码的字符更多decodeURIComponent():url解码parseInt():将字符串转为…