ThreadLocal dùng để làm gì, hai cái bẫy khi có pool luồng — rò dữ liệu giữa các request và giữ lại 110MB sau GC — và ScopedValue của Java 21.
JDBC từ đầu: PreparedStatement chặn injection bằng cách tách cú pháp khỏi dữ liệu, getInt trên cột NULL trả về 0, chèn hàng loạt nhanh gấp 74 lần, và setFetchSize bị bỏ qua trong im lặng nếu quên setAutoCommit(false).
Nhóm đặt tên, tham lam và không tham lam, biên từ; và một phép đo cho thấy ví dụ ReDoS trong sách giáo khoa đã hết tác dụng với JDK 21, còn kiểu bùng nổ thật thì nằm ở sáu nhóm .* liền nhau — 19 giây cho một chuỗi 120 ký tự.
Nhận tệp như thợ thẩm định ở quầy cầm đồ: khách dán nhãn gì cũng được, người giỏi tin món đồ chứ không tin cái nhãn. Giới hạn kích thước, vì sao lỗi vượt trần lọt khỏi advice, và bốn việc phải làm với tệp người dùng.
CORS như người quản gia thận trọng của chính trình duyệt bạn: nó giao thư đi tới mọi máy chủ, nhưng chỉ đọc hồi âm cho JavaScript nếu máy chủ cho phép. Preflight đo được, ba cách cấu hình, vì sao allowCredentials không đi với dấu sao.
record ánh xạ không cần chú thích, trường thiếu về giá trị mặc định trong im lặng còn trường thừa thì ném lỗi, ngày giờ cần module riêng, và vì sao một chuỗi hợp lệ trong JSON lại chạy được mã của kẻ tấn công khi nhúng vào HTML.