MockMvc như tập dượt trên sân khấu dựng tạm: tái hiện tầng MVC rất thật, nhưng không có toà nhà thật quanh nó (container) và không có khán giả thật (trình duyệt). Ba loại lỗi chỉ lộ khi diễn thật, và bốn test bảo mật đáng viết.
Đo chi phí thật của JDK Flight Recorder, hồ sơ cấp phát chỉ ra 303MB Integer từ một phép đóng hộp giấu trong dấu ngoặc, và vì sao async-profiler thấy được cả GC lẫn JIT mà JFR không thấy.
Đi một vòng quanh toà nhà của mình rà từng cánh cửa: chỗ thủng không phải cửa chính (xác thực) mà là cánh cửa khoá rồi vẫn mở cho nhầm người (IDOR), lối kỹ thuật bị quên (Actuator), cái chuông gọi bất kỳ số nào (SSRF). Danh sách kiểm kèm cách tìm.
Chụp heap bằng jcmd, vì sao lớp đứng đầu biểu đồ luôn là byte[] và không nói lên điều gì, kỹ thuật so hai ảnh chụp chỉ cần JDK để tìm thủ phạm, và vì sao dominator tree của MAT mới là màn hình quan trọng.
Header bảo mật như nội quy server dán ở cửa, nhưng người gác cửa thi hành là trình duyệt. CSP là danh sách khách mời cho script. Sáu header đo được, CSP viết cho đúng, HSTS biến mất sau nginx, và cái bẫy test xanh.
Giải phẫu một dòng GC log, ba con số cần nhìn trước tiên, cách phân biệt heap chật với rò rỉ bộ nhớ chỉ bằng grep, và một lỗi tôi tự mắc khi cộng nhầm cả pha đồng thời rồi ra 104,8%.