@fxjson 让程序跑很长一段时间，内存占用大了之后，jmap dump 出来 jvm 的内存使用，eclipse 有个 MAT 工具，会简单地自动分析下内存泄漏的原因。

然后，在 MAT 里找到内存消耗比较大的而且是可达（ Reachable,不可达的有 unReachable 标记）的类，在 MAT 里的对象上，鼠标右键 GC Path，看看引用路径。就大概知道了。

自定义一个 Logger 和 LoggerFactory，在自定义的 Logger 里封装调用 slf 的 Logger 。

在自定义的 Logger 里，实现自定义报警逻辑。 然后业务代码里统一使用自定义的 Logger 。这种的好处是，可以实现任意报警逻辑，或者日志采集逻辑。

有一点需要注意的是，自定义的 Logger，在调用 slf 的 Logger 的时候，要带上 FQCN 参数，不然打印堆栈的时候，第一行是自定义的 Logger，看起来不美观。

@nodog 哭。你的帖子让我 回想起了往事。我也觉得 你要 给亲戚推荐 品牌机。

曾经，我也是 朋友圈里家喻户晓的电脑高手 [伪高手] ，就因为这个装机，得罪了多少人。

真的是血泪教训：

1.咱忙前忙后，一毛钱都没捞，但是耐不住人家觉得你挣钱了。
2.你会成为 免费的 维修员，电脑一有问题，就想到你，你装的电脑，你不修 谁修？
3.最最让人心寒的是，电脑已经配好了，亲戚朋友 还会偷偷找其他人，有些人会说：“哎呀，这个配件质量不好”，“哎呀，这个配件市场里比你便宜了好些钱呢” 。。因为我们并没有把握 每个配件都是最低价。。

一定要推荐 联想、惠普、dell 、长城之类。。让他们直接打电话给售后。

@lyog 以前在酒仙桥的 360 待过， 很多人在 草场地 租房。 酒仙桥有个问题，特别堵车 [真的能堵到怀疑人生] 。所以 最好找个骑自行车可以到的范围内。

confluence+1 要考虑每个人的学习成本和使用成本，简单方便的方式节约了大量的时间。

杭州电信移机，一年一次免费的。超出额度，一次我记得我 80 块钱。

杭州市内五区的电信都贵一些，11.11 12.12 搞活动会便宜些。 贵，但是非常稳定，而且有公网 ip 。

来了。

来了

来了。。

我买的 大众宝来的精英自动；带有自动刹车，还是有用的，开出来一次自动刹车。

有一次过隧道，我在最左侧的车道，车速 80KM 左右，然后隧道一直在右拐，当时太困了。没注意到就要开到墙上了。

那个主动刹车帮我减速刹车了，而且方向盘有震动的感觉，有声音提示，算是避免了事故。

不是很懂加密的具体细节，但是以前看到过一些研究，大概内容是：

1.NSA 出钱，收买制定加密标准的数学家，故意人为降低了加密的强度。
2.加密算法里，有一些内置常数，为什么特别规定这些常数，搞不清楚。这些指定的常数，可能存在某种陷门，方便知道细节的人破解。


已经石锤的内容是，RSA Security 公司与 NSA 的勾结，这个已经被石锤有后门了。

@StrorageBox 你说楼上装极客我就不同意了。我从事过一键 root 相关开发工作，大家在讨论问题，为什么要装呢？

这个 POC 开发起来很难，但是理解、参考不是特别难。 而且，某个特定的利用手段一旦开始广泛使用，被发现和修复的概率就会大大增加。

官方已知的问题都逐月修复了，未修复的可利用手段都是很珍贵的。另外，你的 5000 块是远远不够的。https://zerodium.com/program.html 看看这里的报价分级，最高 250 万美金，高价值目标定向使用。

搜索 https://www.cvedetails.com/google-search-results.php?q=mediaserver+&sa=Search 可以看到历史上 mediaserver 服务相关的 CVE 漏洞。 安卓和 IOS 都是有类似问题，但是 一般 这种 RCE 级别的漏洞利用，都是很值钱的。一般不会随便用在普通人身上，前几年的时候，看到有公司收购这种漏洞，IOS 的 RCE 漏洞，收购价 100 万美元。

正巧，我以前搞过类似的工作内容，先说结论：通过扫描一个二维码，手机被黑是完全可能的。

下面以安卓为例，其实 ios 也有类似的可能性。

以前在 360 实习的时候，做那种自动化检测安卓漏洞的工具。也了解到了一些 CVE 漏洞的原理。

当时见的比较多是安卓 5.x 版本的 mediaserver 服务漏洞，mediaserver 服务负责提供视频、影音的播放解析服务，还有专辑封面、mp3 标签解析等等功能。

早期的安卓的 mediaserver 服务权限很高，而且代码很烂，有很多 RCE 级别的漏洞，可以执行任意代码。

当时我测试的时候，就直接调用播放器播放特制的恶意视频，就能起到攻击效果。

在实际场景下，通过让受害者扫描二维码打开网页，或者发送彩信的方式，就足以控制受害者的手机。

即使受害者不主动播放，某些漏洞也会自动触发；因为有些漏洞是在视频格式解析、音乐的 tag 标签解析的环节等存在堆栈溢出、等等问题，通过精心构造 mp3 或者 mp4 等媒体文件，可以实现任意代码执行。

只要网页打开，就可以触发定制的恶意代码。苹果的 ios 的话，也是同理，不过 ios 不开源，相对封闭性比较高。

@vate32 Autowired 注入在多人大型项目里，我碰到过一些问题，因为团队成员的理解不一样：容易造成滥用（可能是为了复用某个能力，就注入一堆 bean ）、循环依赖（底层模型注入了高层模型的 bean，可能交叉）、多模块的项目很难管理（有种拔出萝卜带出泥的感觉，因为 A 和 B 项目共享了模块 C，B 项目在 C 模块增加了一个 Autowired 注入，A 项目没有感知）。

我自己认为，构造器注入更好，Spring 官方也推荐，构造器注入在一定程度上：强迫开发者去思考，当前的 bean 为什么要注入其他的依赖。

如果你用了 Lombok 自动实现了构造器注入，那么这种强迫开发者去思考的动机就没有了，还不如直接 Autowired 。

手动的用构造器注入（除了某些特定的类，例如 Controller 之类的），我认为有如下优点：
1.强迫我自己思考：这个注入是否是必须的，是否可以用工具类？用设计模式？或者其他的优雅方法来实现这个逻辑设计。
2.注入的改变是可感知的。在大型多模块架构的协作工程里，可能很有用。大家在协作里复用了模块 C，一旦你在模块里增加了注入参数，那么其他人用到了模块 C 注入 bean，会立刻编译错误。
3.因为大型工程里，一般会把某个模块作为一个 jar 包，让其他应用引用，Configuration 里动态声明 Bean 的时候，感觉更从容。因为我知道当前的 bean 所有的依赖都是构造方式注入，我可以从容选择一组自己指定的 bean 进去组装。
4.某种意义上，实现了业务代码和 Spring 框架的解耦。因为构造器注入的话，就像在写普通的 java 的 pojo 。我们不需要 @Autowired 不需要 @Service 和 @Component，业务类里基本不会 import spring 的东西，依赖 Configuration 的动态装配能力，从构造注入声明了一个个的 bean，完全可控（适合有洁癖的人）。如果有场景，需要移植的话，会很容易，例如：从 Spring 框架移植到 google 的 guice 框架。

那么，如果构造器注入的 bean 很多的时候，也是一个强迫性的提醒:是实时思考当前的 bean 的设计问题了。

get ！

蛋壳的房子宣传看起来很好，实地看起来很差。而且感觉是突击式地翻新。看了几套，都是很刺鼻的味道。

我的解决方法是：如果时间充裕，可以先选定小区，然后到小区的业务或者街道管理处转转，跟那里的工作人员询问租房的资源。 这些人一般有联系方式，有概率直接找到房东。

蛋壳不行的，感觉公司不稳，前段时间，App 还被工信部封了。

以前租房看过蛋壳，房源基本都是骗人的。

有一幕很有意思：工作人员搞混了，带我去了一个房间，还在装修，各种味道。居然跟我说，这个过两天你就能住。

@youla 在启动脚本里，加上 -XX:+HeapDumpOnOutOfMemoryError -XX:HeapDumpPath=/path/heap/java.dump 然后运行一把程序，让他内存溢出崩溃。 然后用 MAT 软件分析 /path/heap/java.dump 文件，看看是谁导致了溢出，修正之，再往复循环测试。 直到不崩溃。