How are u doing

设置列宽和长度
SQL> set linesize 300
SQL> set pagesize 100

将所有列的显示属性设为缺省值
SQL> CLEAR COLUMNS

Oracle自带的函数不少。有很多很有用。下面找两个关于查看字符集和ascii码的函数。

1，查看字符a和A的ascii码。
select ascii('a') "a",ascii('A') "A" from dual;
a A
---------- ----------
97 65

2，查看ascii码65和97的对应的字符。
select chr(65),chr(97) from dual;
C C
- -
A a

1，查看nls_date_language当前值。这个跟一些函数有关系，比如日期类型什么的。
select * from nls_database_parameters where parameter=UPPER('nls_date_language');

2，改变当前会话的nls_date_language。
alter session set nls_date_language='simplified chinese';

朋友现场要做PL/SQL的DEBUG，工具选择了PL/SQL Developer，回家后跟我说不行，一DEBUG就出错，我刚开始以为是工具的问题，哪里出了毛病。这几天一直玩Oracle SQL Developer，就推荐朋友用这个工具试试。

但是，我也没有用过Oracle SQL Developer做过PL/SQL的DEBUG，只记得这个工具提供了这个功能。于是一起推敲了一下。用SCOTT用户连接到了数据库，做了一个Procedure，一DEBUG的时候（就点那个小虫子），就提示一条信息：

ORA-01031: insufficient privileges
ORA-06512: at "SYS.DBMS_DEBUG_JDWP", line 68
ORA-06512: at line 1
This session requires DEBUG CONNECT SESSION and DEBUG ANY PROCEDURE user privileges.
Process exited.

刚开始一直忽视这个消息，后来实在憋得不行了，去网上查了查，找到了答案，原来SCOTT用户权限不够，没有DEBUG的权限。朋友的现场出现的状况和这个一样，原来根本就不是工具的问题（哪里会是工具的问题呢？呵呵）。解决方案如下：

◆Connect to the default database as SYSTEM.
◆Run "GRANT debug any procedure, debug connect session TO SCOTT;".
◆Re-connect to the default database as SCOTT.

之后不用说，用SCOTT用户去尽情的DEBUG吧。

desc emp;

Name                                            Null?            Type
----------------------------------------- -------- ----------------------------
EMPNO                              NOT NULL  NUMBER(4)
ENAME                                    VARCHAR2(10)
JOB                                    VARCHAR2(9)
MGR                                    NUMBER(4)
HIREDATE                                    DATE
SAL                                    NUMBER(7,2)
COMM                                    NUMBER(7,2)
DEPTNO                                    NUMBER(2)

既要显示部门的平均工资，也要显示岗位的平均工资。那么可以使用GROUPING SET函数。

SQL> select deptno,job,avg(sal) from emp group by grouping sets(deptno,job);

DEPTNO JOB AVG(SAL)
---------- --------- ----------
CLERK 1037.5
SALESMAN 1400
PRESIDENT 5000
MANAGER 2758.33333
ANALYST 3000
30 1566.66667
20 2175
10 2916.66667

8 rows selected.

在Oracle中，可以执行顺序事务来使得用户能够取得特定时间点的数据。

当然，用只读事务（SET TRANSACTION READ ONLY;）也可以达到同样的目的，但是使用只读事务后，当前会话将不能执行INSERT/UDDATE/DELETE语句。为了能够取得特定时间点的数据并且要求同样能够使用DML语句，就可以使用顺序事务。

示例如下：

当前存在两个回话：会话A和会话B。执行顺序如下所示。

会话A：
①SET TRANSACTION ISOLATION LEVEL SERIALIZABLE;
②select losal from salgrade where grade = '1';（结果：1100）

回话B：
①update salgrade set losal = '1200' where grade = '1';
②commit;

会话A：
③select losal from salgrade where grade = '1';（结果：1100）
④update salgrade set losal = '1200' where grade = '2';（结果：执行成功）
⑤update salgrade set losal = '1300' where grade = '1';（结果：执行失败）

★当设置事务顺序时，该语句必须是事务开始的第一条语句。

安装Oracle的时候，系统检测时很可能会提示没有发现libaio的问题，不要以为系统已经安装好了，只是版本不同而已，这个想法是错误的。这个时候而是确确实实需要手动的把这个包给安装上。安装系统本身的libaio包就可以，不需要安装和提示一样的版本也可以。

如果不安装的话，在稍后的运行dbca（建库）的时候，会出现【ORA-12547: TNS:lost contact】的错误。这个错误不能忽视，否则会导致数据库安装不成功。

Windows Update SP3升级后一些更新无法安装更新了。使用以下的命令可以修复这个问题。

%Windir%\system32\net.exe stop bits
%Windir%\system32\net.exe stop wuauserv
%Windir%\system32\regsvr32.exe %Windir%\system32\atl.dll
%Windir%\system32\regsvr32.exe %Windir%\system32\jscript.dll
%Windir%\system32\regsvr32.exe %Windir%\system32\msxml3.dll
%Windir%\system32\regsvr32.exe %Windir%\system32\softpub.dll
%Windir%\system32\regsvr32.exe %Windir%\system32\wuapi.dll
%Windir%\system32\regsvr32.exe %Windir%\system32\wuaueng.dll
%Windir%\system32\regsvr32.exe %Windir%\system32\wuaueng1.dll
%Windir%\system32\regsvr32.exe %Windir%\system32\wucltui.dll
%Windir%\system32\regsvr32.exe %Windir%\system32\wups.dll
%Windir%\system32\regsvr32.exe %Windir%\system32\wups2.dll
%Windir%\system32\regsvr32.exe %Windir%\system32\wuweb.dll
%Windir%\system32\net.exe start bits
%Windir%\system32\net.exe start wuauserv

为了编写正确和高效的PL/SQL代码，PL/SQL开发人员必须遵循特定的编写规则。

1，标识符命名规则
必须以字符开始，并且长度不能超过30个字符，另外，Oracle建议用户按照以下规则定义标识符：

◆当定义变量时，建议使用v_作为前缀，例如，v_sal,v_job等。
◆当定义常量时，建议使用c_作为前缀，例如，c_rate。
◆当定义游标时，建立使用_cursor作为后缀，例如，emp_cursor。
◆当定义例外时，建议使用e_作为前缀，例如，e_integrity_error。
◆当定义PL/SQL表类型时，建议使用_table_type作为后缀，例如，sal_table_type。
◆当定义PL/SQL表变量时，建议使用_table作为后缀，例如，sal_table。
◆当定义PL/SQL记录类型时，建议使用_record_type作为后缀，例如，emp_record_type。
◆当定义PL/SQL记录变量时，建议使用_record作为后缀，例如，emp_record。

2，大小写规则
当在PL/SQL块中编写SQL语句和PL/SQL语句时，语句既可以使用大写格式，也可以使用小写格式，但是为了提高程序的可读性和性能，Oracle建议按照以下规则编写代码：

◆SQL关键字采用大写格式，例如SELECT，UPDATE，SET，WHERE等。
◆PL/SQL关键字采用大写格式，例如DECLARE，BEGIN，END等。
◆数据类型采用大写格式，例如INT，VARCHAR2，DATE等。
◆标识符和参数采用小写格式，例如v_sal，c_rate等。
◆数据库对象和列采用小写形式，例如emp，sal，ename等。

3，代码缩进
类似其它语言，同级代码对齐。

4，嵌套块和变量范围
被嵌入的块成为子块，而包含子块的PL/SQL块成为主块，子块定义的是局部标识符（局部变量），主块不能引用。而主块恰好相反。

5，在PL/SQL块中可以使用SQL函数
在编写PL/SQL块的时候，可以引用大多数的SQL函数。但是某些SQL函数只能在SQL语句中引用，而不能直接在PL/SQL块中引用。这些函数包括GREATEST,LEAST,DECODE以及所有分组函数（例如SUM）。

摘要：所谓“防火长城”之部分工作原理即是检测传输控制协议（TCP）报文中需要封锁的关键词。如果出现关键词，TCP复位报文（即RST标志置位的报文）即向连接两端发送，连接随之关闭。而原报文完好通过防火墙，如果双方完全忽略防火墙的复位，那么连接仍可顺畅进行而防火墙失效。一旦连接被封锁，防火墙还会进而尝试封锁双方的继发连接。后种特性可能被利用来对第三方进行拒绝服务攻击。

1 引言
中华人民共和国运行的互联网过滤系统，普遍认为是世界上最复杂的系统之一。[1]其部分工作原理即是检测网络（HTTP）流量判断是否出项特定关键词。[2]这些关键词涉及一些中国政府封杀的组织、不可接受的政治意识形态、不愿讨论的历史事件。[3]

直观判断，关键词封锁发生在连接中国与外界网络的路由器组内部。[4]这些路由器利用基于入侵检测系统（IDS）技术的设备来判断报文内容是否匹配中国政府制订的过滤规则。[5]如果客户端与服务器的一个连接需要封锁，路由器则会在数据流中注入伪TCP复位报文，于是双方便会断开连接。[6]这种封锁一旦触发，便会持续数分钟，相同方向上的继发连接都会被伪复位直接打断。

在本文第2节我们将讨论国家阻止其公民访问特定网络内容的方法，以及以往调查者认定的优点和缺点。在第3节我们提供了从中国防火墙系统封锁的连接两端获取的一组报文。第4节我们提出了这个防火墙的一个模型，来解释我们获得的结果。然后第5节我们将展示，通过忽略防火墙发出的TCP复位我们成功传输了本来应该被封锁的内容，并讨论为什么这种手段防火墙难以应付。第6节我们展示了防火墙的封锁行为如何可以被利用来对第三方进行拒绝服务攻击。最后在第7节，我们讨论了这种规避审查的方法的优缺点，并思考了中国以外的网站如何免于封锁降低访问难度，还提出公共政策能怎样鼓励人们规避审查的问题。

2 内容封锁系统
有三种显著的内容封锁手段：报文丢弃、DNS污染、内容检测。研究北威州封锁右翼纳粹内容的Dornseif的论文[7]，和研究英国电信混合封锁系统封锁恋童癖网站的Clayton[8]的论文，一起确定了以上手段。

2.1 报文丢弃方案
在一种报文丢弃方案中，往特定IP地址的所有流量被全部丢弃，于是网站便无法访问。这种方案费用低廉，易于实施──标准的防火墙和路由器便已提供这些必要特性。报文丢弃方案有两个主要问题。首先，IP地址列表必须保持最新，如果内容提供者不想让ISP轻易封锁他们的网站，保持更新的困难便暴露出来。[9]其次，系统会导致“过度封锁”──共用同一IP的其他网站被全部封锁。Edelman调查了过度封锁的潜在程度，发现69.8%的.com、.org和.net网站与50以上其他网站共用IP。[10]（虽然一部分域名只是“停放”在一个普通网页上）其详细数字显示网站共用IP数的连续变化图谱，反映出在一台主机上尽量多挂网站这种盛行的商业做法。

2.2 DNS污染方案
在一种DNS污染方案中，当用户查询域名服务系统（DNS）将文字的域名转换为数字的IP地址时，可以返回错误的应答或者不返回应答导致用户不能正常访问。这类方案没有过度封锁的问题，因为禁止访问特定网站不会影响到其他网站。不过，邮件传递也需要DNS查询，如果只是封锁网站而不封锁邮件服务的话，此类方案实现起来容易出错。Dornseif展示的样本中所有的ISP都至少有一次在实现DNS污染时出错。[11]

2.3 内容检测方案
多数内容检测方案是让所有流量通过一个代理服务器。这个代理通过不提供禁止内容来过滤。这种系统可以做得非常精确，程度可以到屏蔽单个网页或者单个图像而让其他内容顺利通过。这类基于代理的系统没有普遍使用的原因是，可以应付主干网络或者整个国家网络流量的系统过于昂贵。2004年9月美国宾夕法尼亚州，要求封锁包含儿童色情网站的一条州法令以违宪被裁定无效[12]。当初由于经费原因，宾夕法尼亚的ISP采用的是报文丢弃和DNS污染的混合策略，导致的过度封锁和“前置审核限制”对地区法庭作此裁决起到了相当的作用。不过，基于代理的系统已被部署到若干国家比如沙特阿拉伯[13]、缅甸[14]，以及挪威的一些网络提供商比如Telenor[15]。Clayton研究的英国电信的系统是一种混合设计，利用廉价缓存代理处理特定目标IP的报文。不幸这导致用户可以逆向工程得到封禁网站的列表，而这些网站提供儿童的非法图像，这违背了此系统的公共政策目标。

进行内容检测的另一种手段则是入侵检测系统（IDS）。IDS设备可以检测通过的网络流量并判断其内容是否可接受。如果需要封禁则会调度邻近的防火墙拦截报文，或者就中国的情况而言，发送TCP复位报文导致威胁性连接关闭。基于IDS的系统显然比其他方案更灵活，更难规避。Dornseif和Clayton都对如何规避各种封锁进行了深入探讨。[16]然而如果通信保持清晰不加密不变形到IDS无法辨别的程度，那么无论采取什么规避手段，IDS方法都能够将其检测出来。[17]

3 中国防火墙如何封锁连接
我们在实验中从英国剑桥（墙外）的若干机器连接了中国内的一个网站（墙内）。当前中国的防火墙系统的工作方式是完全对称的[18]──在两个方向上检测内容并进行过滤。[19]通过从剑桥的终端发出所有的指令我们完全避免了违反中国法律的可能性。一开始我们以正常模式访问一个中国网页并记录双方的报文流。接下来我们又发起一次有意触发封禁的请求，观察连接是如何被复位报文关闭的。我们继续“正常”的（不包含触发性词汇的）请求，却发现接下来的连接都意外地被封锁了。接下来我们将详细描述观测结果。

3.1 复位封锁
刚开始我们只是访问一个普通网页，如预期得到完全正常的返回。如下面的转储报文所示，起始的TCP三次握手（SYN[20]，SYN/ACK[21]，ACK[22]）之后客户端（此实例中使用了53382端口）向服务端http端口（tcp/80）发出了超文本传输协议（HTTP）的GET指令获取顶级页面（/），传输正常。我们使用netcat（nc）发出这个请求，没有使用网页浏览器，从而避免了无关细节。报文用ethereal截取，用一般格式表示出来。

cam(53382) → china(http) [SYN]
china(http) → cam(53382) [SYN, ACK]
cam(53382) → china(http) [ACK]
cam(53382) → china(http) GET / HTTP/1.0
china(http) → cam(53382) HTTP/1.1 200 OK (text/html) ……
china(http) → cam(53382) ……其余页面内容
cam(53382) → china(http) [ACK]
……接下来这个页面就完整了。

我们发出另一个请求，包含了一小段可能触发封禁的文字，当然这也很快发生了：

cam(54190) → china(http) [SYN]
china(http) → cam(54190) [SYN, ACK] TTL=39
cam(54190) → china(http) [ACK]
cam(54190) → china(http) GET /?falun HTTP/1.0
china(http) → cam(54190) [RST] TTL=47, seq=1, ack=1
china(http) → cam(54190) [RST] TTL=47, seq=1461, ack=1
china(http) → cam(54190) [RST] TTL=47, seq=4381, ack=1
china(http) → cam(54190) HTTP/1.1 200 OK (text/html) ……
cam(54190) → china(http) [RST] TTL=64, seq=25, ack zeroed
china(http) → cam(54190) ……其余页面内容
cam(54190) → china(http) [RST] TTL=64, seq=25, ack zeroed
china(http) → cam(54190) [RST] TTL=47, seq=2921, ack=25

开头三个复位报文序列号对应了GET报文的序列号+1460和+4380（3 × 1460）。[23]我们认为防火墙发出三个不同的值是想确保发送者接受复位，即使发送者已经从目的地收到了“全长”（1460字节）ACK报文。复位报文的序列号需要“正确”设定，因为现在多数TCP/IP实现都会严格检查序列号是否落入预期窗口。[24]（这个验证序列号的内在漏洞由Watson在2004年首先提出。[25]）

此结果还显示，在连接被打断后仍然收到了从中国机发来的一部分页面。然后剑桥机响应了那两个意外报文，发送了自己的TCP复位。注意它将确认号置零而没有使用随机初始值的相关值。收到的所有复位报文的TTL[26]都是47，而中国机来的报文的TTL都是39，说明它们来源不同。如果来源的初始值都是64，这也许说明复位产生的地方距离服务器有8跳（hop）。traceroute显示那是通信从Sprint网络（AS1239）进入中国网通集团网络（AS9929）后的第二台路由器。

我们也从中国服务器的视角看这次连接封锁：

cam(54190) → china(http) [SYN] TTL=42
china(http) → cam(54190) [SYN, ACK]
cam(54190) → china(http) [ACK] TTL=42
cam(54190) → china(http) GET /?falun HTTP/1.0
china(http) → cam(54190) HTTP/1.1 200 OK (text/html) ……
china(http) → cam(54190) ……其余页面内容
cam(54190) → china(http) [RST] TTL=61, seq=25, ack=1
cam(54190) → china(http) [RST] TTL=61, seq=1485, ack=1
cam(54190) → china(http) [RST] TTL=61, seq=4405, ack=1
cam(54190) → china(http) [RST] TTL=61, seq=25, ack=1
cam(54190) → china(http) [RST] TTL=61, seq=25, ack=2921
cam(54190) → china(http) [RST] TTL=42, seq=25, ack zeroed
cam(54190) → china(http) [RST] TTL=42, seq=25, ack zeroed

我们可以看到，当检测到“坏”报文，防火墙也向中国机发送复位（“[RST]”）报文，但都在GET报文（以及其响应报文）后面。最后两个复位报文（零确认号）是剑桥机发送的。

其他到中国机的复位（因为有“falun”而生成的）TTL都是61，这意味着它们在3跳以外生成，初始值为64。这跟剑桥观测到的8跳偏移不一样。不过这说明可能有不止一台设备在生成复位──或者初始值经过调整不是64。我们目前对于观测到的这种不对称性没有确定的解释。

开始三个复位的序列号也设置在一定范围（+25，+1485，+4405）以确保命中，事实上+25报文就已经重置了连接。[27]第四、五个复位报文检查确认号发现，它们可以视作连接重置前中国机成功发送的两个报文的响应。

3.2 直接重置连接
防火墙不仅检测内容，还有其他封锁规则。我们发现，只要进行一次“坏”连接，在短时间内相同两主机之间的所有网络通信在经过检查之前就都被封锁了。前面也是连接被封搜，不过现在开始继发连接也会被封锁了。比如，在上面一例以后立刻继续，我们看到：

cam(54191) → china(http) [SYN]
china(http) → cam(54191) [SYN, ACK] TTL=41
cam(54191) → china(http) [ACK]
china(http) → cam(54191) [RST] TTL=49, seq=1

复位报文从防火墙而来（也往服务器而去）随之客户端便关闭了连接。如果客户端在复位到达前成功发送GET报文，便会接着收到多个防火墙发来的复位（即使GET报文是完全无毒的）。接下来便是从服务端来的复位──服务器收到复位后便会立刻在GET到达前关闭连接。由于GET发来时不再存在打开的连接，服务端便按照协议返回一个复位。值得注意的是，防火墙在SYN阶段（三次握手阶段一）没有试图重置连接，而是等到了SYN/ACK（阶段二）。虽然可以在客户端一发出SYN就给它复位报文，但只有等到SYN/ACK才能构造出对服务端起作用的有效复位。[28]

在实验中我们发现，节点被阻断通信的时间是可变的。有时候是几分钟，有时候可能是一小时。平均时间大概在20分钟，不过由于观测到时间值有在特定值附近聚集的显著趋势，我们怀疑不同的防火墙组件有不同的时间延迟设定；这就需要深入理解是到底是谁在处理通信，才能较准确地预测封锁周期。

3.3 其他中国网络的情况
我们获取了中国自治系统（AS）的一个列表，并从中生成了在全球路由表中所有中国子网的列表。[29]然后我们利用了一个修改过的tcptraceroute，判断出通信是通过哪个AS从国际网络进入中国，并从中得知了中国主干边际网络的实体。结果便是：AS4134，AS4837，AS7497，AS9800，AS9808，AS9929，AS17622，AS24301和AS24489。然后我们在各个AS中挑选了样例服务器测试，发现所有网络都有都跟前面描述相似的复位行为（除了AS24489：跨欧亚信息网）。以此我们可以推出：我们的结果正展示了典型的“防火长城”系统。情况在2006年5月下旬是这样的，但并不一定普遍适用。[30]

4 防火长城的设计
基于以上实验结果，以及中国使用的技术设备类型的描述──比如思科的“安全入侵检测系统”[31]──我们提出以下模型来描述中国防火墙中路由器的工作方式（此模型很符合观测，但仍是推论性的，因为中国的网络提供商没有发布关于这些系统的任何技术规格）：

当报文到达路由便被立刻放入适当的向前传输队列。此报文也被送到带外IDS设备进行内容检测。如果IDS（关键词匹配）认为此报文“不好”，那么便为连接两端各生成三个TCP复位报文（有三个不同的序列号）交由路由器传输。[32]

IDS在逻辑上是与路由器分离的，很难从路由传输队列中去除或者延迟“坏”报文。然而发出复位关闭连接是相对简单的。如果路由器相对繁忙，而IDS工作正常，复位报文会在“坏”报文之前发送；这也是我们在实验中观测到的主要情况，虽然有时候复位报文会拖在后面。复位报文的设定值充分显示出，设计者担心与路由器相比IDS的拥塞导致“坏”报文跑在复位报文前面。这种设计中如果不发送附加的复位，在繁忙情况下防火墙是无法保证封锁的可靠性的。

一旦IDS检测到需要封锁的行为，它也可以向主路由器添加一条简单的丢弃规则而不发出复位。[33]我们相当怀疑这种做法在主干高速路由器上扩展性差，而在IDS内的封锁简单而廉价。

我们还观测封锁的时长得知，提供防火墙功能的设备不止一个。我们进行了进一步实验，发送256个包含威胁性字串的报文通过防火墙，虽然是从一个机器上发出的，但将它们的源地址设置分别为256个连续的IP地址值，即中国防火墙会认为这是256个不同机器在发送需要封锁的内容。结果是，我们观测到有时候返回的复位报文是乱序的。然而现代互联网处理报文基本上是用FIFO（先进先出）队列，[34]那么对于这种失序的最简单解释便是，不同的报文给了不同的IDS，它们各有各的FIFO队列但在发送复位时负载不一样。可惜我们发现这个实验引起了很多的报文丢失（不是所有的连接都返回了应有的复位报文），不能对报文失序程度有直观感受。这样我们也没法（通过队列建模）确定平行IDS设备的数量下界。我们计划以后再做这个实验。

4.1 防火墙“状态”
没有证据证明带外IDS设备互相通信，并共享网络连接“状态”的记录。实验表明在一个边际网络触发防火墙不影响通过其他边际网络的通信。

而在“状态”本来应该保留的地方（IDS设备中）却没有关于TCP状态的检查。设备孤立地检查报文，于是将?falun分散到相邻两个报文就足以避免检测。更有甚者，这些设备对于是否有连接存在也不关注，我们的许多测试中甚至没有进行三次握手打开连接就直接发送GET报文。事实上除了初始检测之后的持续封锁，没有证据证明IDS设备做了其他什么特别的事情，IDS只是一次检查一个报文而已。

5 有意忽略复位
防火墙完全依赖于终端节点以标准兼容方式实现TCP协议[35]，在收到复位报文时中断连接。如上所述，虽然有时候防火墙有点超常，复位报文跑在GET报文前面结果被仔细验证一番以后丢掉了，不过在下一个报文到达防火墙的时候连接就会被防火墙摧毁所以，总得来说还是没有什么区别。

不过现在考虑如果终端节点不遵守标准然后TCP复位被彻底忽略的情况，我们会想到，即使触发了IDS，防火墙也对HTTP传输没有任何影响。于是我们进行了深入实验两边的终端节点都忽略TCP复位的情况。这有许多方法可以实现，我们选择设置合适的报文过滤防火墙规则。在Linux可以安装iptables并使用此命令：

iptables -A INPUT -p tcp --tcp-flags RST RST -j DROP

来丢弃传入的RST置位报文。如果是FreeBSD的ipfw那么命令是这样的：

ipfw add 1000 drop tcp from any to me tcpflags rst in

当双方都丢弃TCP复位时我们发现网页传输确实没有被封锁。在剑桥端检测传输的结果：

cam(55817) → china(http) [SYN]
china(http) → cam(55817) [SYN, ACK] TTL=41
cam(55817) → china(http) [ACK]
cam(55817) → china(http) GET /?falun HTTP/1.0
china(http) → cam(55817) [RST] TTL=49, seq=1
china(http) → cam(55817) [RST] TTL=49, seq=1
china(http) → cam(55817) [RST] TTL=49, seq=1
china(http) → cam(55817) HTTP/1.1 200 OK (text/html) ……
china(http) → cam(55817) ……其余页面内容
cam(55817) → china(http) [ACK] seq=25, ack=2921
china(http) → cam(55817) ……其余页面内容
china(http) → cam(55817) [RST] TTL=49, seq=1461
china(http) → cam(55817) [RST] TTL=49, seq=2921
china(http) → cam(55817) [RST] TTL=49, seq=4381
cam(55817) → china(http) [ACK] seq=25, ack=4381
china(http) → cam(55817) [RST] TTL=49, seq=2921
china(http) → cam(55817) ……其余页面内容
china(http) → cam(55817) ……其余页面内容
cam(55817) → china(http) [ACK] seq=25, ack=7301
china(http) → cam(55817) [RST] TTL=49, seq=5841
china(http) → cam(55817) [RST] TTL=49, seq=7301
china(http) → cam(55817) [RST] TTL=49, seq=4381
china(http) → cam(55817) ……其余页面内容
china(http) → cam(55817) [RST] TTL=49, seq=8761

……接下来这个页面就完整了。网页以正常方式传输，除了中间夹杂一些防火墙的TCP复位报文。由于被完全忽略（一共28个复位），它们对客户端的TCP/IP栈没有任何影响。客户端仍然继续接收网页，正常发送ACK。中国端也能看到类似的正常传输夹杂复位的情形。

这样，只是简单地忽略防火长城发出的报文我们就让它完全失效了！这无疑会让它的实现者大为恼火。

5.1 迷惑封锁
一方面是在连接建立以后通过发出TCP复位来阻断继发连接，另一方面我们也观察到一些防火墙有时还有附加策略。在一些节点（当然是随机的），我们看见了防火墙发来的伪SYN/ACK报文。显然其序列号是随机而且无效的。如果防火墙的SYN/ACK报文比真报文先到那么连接失效──客户端从伪SYN/ACK中获取了随机的序列号并发给服务端错误的ACK，于是服务端便返回复位报文，导致客户端关闭连接。实际上，如果客户端发送GET比较快，还会收到一批其他报文，导致防火墙和服务端的进一步复位：

cam(38104) → china(http) [SYN]
china(http) → cam(38104) [SYN, ACK] TTL=105
cam(38104) → china(http) [ACK]
cam(38104) → china(http) GET / HTTP/1.0
china(http) → cam(38104) [RST] TTL=45, seq=1
china(http) → cam(38104) [RST] TTL=45, seq=1
china(http) → cam(38104) [SYN, ACK] TTL=37
cam(38104) → china(http) [RST] TTL=64, seq=1
china(http) → cam(38104) [RST] TTL=49, seq=1
china(http) → cam(38104) [RST] TTL=45, seq=3770952438
china(http) → cam(38104) [RST] TTL=45, seq=1
china(http) → cam(38104) [RST] TTL=45, seq=1
china(http) → cam(38104) [RST] TTL=37, seq=1
china(http) → cam(38104) [RST] TTL=37, seq=1

对付这种防火墙的新策略比处理伪复位报文麻烦许多。因为即使客户端忽略了服务端来的（完全真实的）复位，还是会继续错误理解服务端的序列号，导致不能与服务端同步以完成三次握手打开连接。当然如果有时候防火墙的伪SYN/ACK跑在真报文后面，就会被客户端忽略不造成任何混淆，不过防火墙仍然会坚持不懈用复位报文来打断连接但是由于复位报文都被忽略了所以也没有用，网页照样显示。

重要的是确定来的两个SYN/ACK报文谁是真的。在样例中我们觉得它们很好区分，防火墙版的TTL值大不相同，没有DF标志，没有TCP选项。这些伪SYN/ACK在现在为止还是像伪复位一样很好过滤的，防火长城再次失效。另外，由于只有封锁继发连接时才会使用这种策略，那么客户端可以把服务端的TTL记下来，而防火墙是搞不清该往伪报文里填什么值的。

不过，防火墙越搞越复杂，说不定就能造出没法区分的SYN/ACK报文来了。那客户端直接把第一个收到的SYN/ACK当成防火墙发出的伪报文即可。不过要是防火墙又来时不时来延时一下才发送伪SYN/ACK（让思维简单的机器通过，打倒思维复杂的机器！）那么这场复杂的“博弈”会升级成更深奥的战略对决。要注意打开网页常常会有多个连接，那么防火墙即使只是搞掉其中一部分也会觉得有“胜利感”。

一个高效的客户端策略（先决条件是客户端和服务端都丢弃复位报文）是将所有传入SYN/ACK报文视为有效（防火墙以后也许会发好几个过来），然后检查全部的序列号和确认号直到从服务端收到一个ACK以确认正确的取值。不过这对于像iptables或者ipfw这种简单的报文过滤系统来说太复杂了，超出实现能力。

新一轮“博弈”也许是防火墙开始针对所有客户端报文伪造ACK。可能客户端可以通过检测从服务端获得的真正RST来看穿防火墙的整个伪连接，于是防火墙连这些都要开始伪造了──这样下去策略变得不知道有多复杂。不过终端节点确实有优势来最终判断报文是来自（有状态的）对方还是（无状态的）防火墙。要是防火墙也开始记录“状态”，那么整个主要架构的变化（虽然一定又是一笔巨大的开支）便会带来许多其他可用策略，优势也会决定性地偏向防火墙这边。

可是必须注意到，防火墙的SYN/ACK报文伪造问题不能通过改变服务端的TCP/IP栈来安全地解决。那样的话服务端需要发现客户端持续地响应的那个“错误”的ACK值并改变自身状态以响应这个从伪SYN/ACK报文中出来的值。但这样就去掉了一个Bellovin记录的重要安全步骤，进而导致恶意主机伪造源IP地址访问的漏洞。[36]

另外，在可以“嗅探”并伪造报文的对手面前进行安全连接，这在密钥交换协议邻域已经得到充分研究。未决的问题是，如何利用中国防火墙目前的架构性缺陷，通过对现有TCP/IP栈的简单修改来战胜防火长城。

6 拒绝服务攻击
我们前面提到，单个包含?falun之类内容的TCP报文就足以触发节点间至多长达一个小时的封锁。如果伪造源地址，就可以发起（但也是受限的）拒绝服务（Denial of Service）攻击，阻断特定节点间的通信。不过不同的人有不同的目标，这对某些攻击者来说已经足够。比如，识别并阻止地区政府机构的主机访问“Windows自动更新”；或者阻止某个部委访问一个联合国网站；或者阻止中国海外使馆访问家乡网站。

我们计算发现，即使是一个人通过单个拨号连接也可以发起相当有效的DoS攻击。这样一个人每秒可以产生大约100个触发性报文，假设封锁时间大约是20分钟，那么120000对节点便可被永久封锁。当然，现在的DoS攻击几乎不会通过单个拨号方式实现，而是在快得多的网络上以巨大的数量进行。那么120000便可以乘到你满意。不过防火墙的IDS组件也许没有资源记录如此大量的封锁连接，所以实际的影响要考虑受到此类资源限制的情况。还要注意当IDS处理DoS攻击的时候它处理其他连接信息的资源就会变少，于是其效用也就暂时降低。

6.1 DoS攻击的限制
进一步实验显示此防火墙的封锁方式比我们迄今为止解释的还要复杂一些；因此DoS攻击的效果不一定有刚才那样说得那么好。

首先，封锁只应用于相似端口上的继发连接。[37]只有端口值前9最高有效位与触发封锁的端口对应时，防火墙才会封锁这一连接，这样的端口每次有128个。Windows这类系统会连续分配临时端口，于是平均有64个继发连接会被封锁。（有时比如触发封锁的端口是4095那么就不会有继发封锁）反之OpenBSD之类的系统会随机分配临时端口，于是继发连接被封锁的可能性只有1/500。

我们对防火墙的这种行为没有确定的解释。不看端口直接封锁所有连接似乎还简单有效许多。[38]这么做也许是为了避免误封NAT后面的其他用户，或者是用来确定发送某报文的IDS。也许这么做只是有意要显得神秘而愈发有威慑力。然而从DoS攻击者的角度，除非有特殊条件可以预测临时端口，要让所有可能端口段都被封锁所需的报文发送量便增长了500倍。

图1：中国防火墙对“坏”字符串的封锁情况。

2006年二月上旬我们进行了一次10天的试验，每小时一次从256个相邻IP地址进行连接。这里是前128的结果；其余部分模式也十分相似。黑点表明连接被封锁，白点表明没有封锁，灰点是结果不定（完全没有响应）。在110小时前后可见防火墙策略的显著变化（封锁更多的IP地址）。

其次，并非所有IP地址的流量都被检测过。我们每小时进行一次突发连接，发送一组256个IP地址连续的含有“?falun”的报文。起初每组报文只有约三分之二被封锁掉，封掉的地址每次不同。不过几天之后几乎所有报文被封锁。我们无法通过逆向工程确定地址选择的算法，不过IP地址选择确有鲜明的模式[39]，暗示背后的机制可能相当简单。最直接的解释是资源匮乏──流量的三分之二也许就是整个系统可以处理的极限。显然某些时候如果一部分机器没有进行报文检测的工作，DoS攻击也就不可能通过它们发起。

最终需要注意的就是，这些实验只是在中国内外的少量节点上进行的，虽然我们得到了足够一致的结果，但像“防火长城”这种复杂的系统我们还是可能忽略了它的某些重要特性。因此虽然我们认为DoS攻击可以在许多情况下成功，我们也不能保证任一节点对上的任一次攻击都能成功。

7 战略考虑
要让流量顺利通过中国防火墙就必须要求双方忽略复位。“世界其他地方”的机器如果想在中国也能正常访问，只需稍作调整。但在中国这边的人就不那么愿意装一些特殊软件了。主要问题是防火墙可能做的，不仅是封锁，还有记录。随之而来的可能就是侦查，安装的特殊软件便会被查获，有人便会对你安装此种软件的动机产生某种看法。

中国防火墙的报文检查功能也可以通过加密的方法规避。如果当局通过对内容的统计分析检测出加密通信，那么安装特殊软件遭到侦查的问题还是一样的。由于加密系统一般会话结束后便废弃密钥，通信内容是色情还是政治演讲这是无法分辨的。如果用丢弃复位的方法穿墙，防火墙可以通过日志的方法记录封锁触发内容，当局便可以检查日志并对这两种通信采取不同措施。这两种方法相比有人觉得丢弃复位法更有优势。

如果复位丢弃广泛以毫不相关的理由应用，中国政府可能不得不对复位丢弃软件采取更加容忍的态度。

关于软件防火墙的一些研究指出如果例行丢弃TCP复位会产生一些副作用。[40]复位报文主要是用来快速报告不受欢迎的传入连接。如果远端机工作良好，那么忽略报文而不响应复位只会产生稍微多一点的流量。

然而，对于不想丢掉所有的TCP复位的人来说，当然这里也有另一种策略。[41]目前TTL校验就是一种检测复位报文真伪的简单方法。特别地，我们注意到Watson提出的通过第三方伪复位造成连接关闭的复位攻击[42]，通常的防御手段是仔细验证序列号。如果再加上复位报文的TTL校验，就可以更好地识别伪复位。本文作者之一编写了一段20行的FreeBDS补丁[43]，可以丢弃TTL值严重偏离的复位报文。到现在用户体验都很好。其他操作系统和个人防火墙大概也不会觉得添加这个功能很麻烦。

当然，中国防火墙也可以改进，让前面提及的规避方法难以实现。特别是它可以较容易地构造正确TTL的复位报文发往触发报文的相同方向。不过要想获得相反方向的正确TTL就不大容易了，因为网络路由基本上是非对称的，防火墙不能透视通信的两个方向。更复杂的方法是将报文从路由队列中移除（或者延迟到内容检测完成才放行）。除非报文在抵达终点前被阻止，我们的基本策略──无视防火墙发出的噪音──将继续有效。

另一套完全不同的防火墙策略则是当封禁被触发后不向该站点转发任何报文。不过我们前面提到此法扩展性极差，因为完成这个“内联”过程需要路由器间的快速通路──而且，全面的封锁无疑增加了DoS攻击的威力。

7.1 打破“防火长城”的公共政策动力
特别是在美国，有相当的政治利益关心着中国之外的公司如何帮助中国政府压制信息、锁定持不同政见者和异见网志作者。特别地，在2006年2月的一次国会听证会上，相当数量的美国大型公司由于其政策和行为而受到了严厉谴责。[44]不过对于如何绕开中国的过滤技术现在也有更多的关注。比如由CIA部分资助的SafeWeb，在2000到2003年运营了一个匿名网络代理，同时它还开发出一种昵称TriangleBoy的反审查技术。[45]2006下半年发起的加拿大的Psiphon计划旨在让“不受审查国家的公民向在他们防火墙背后的朋友和家人提供自由的网络连接”。[46]

可以预测本文所描述的通过忽略复位报文规避中国防火墙的方法也会引起相当的兴趣。当然也会有“军备竞赛”的危险，所以双方采取的策略可能复杂得多。让防火墙立刻失效方法也是相当直接的；不过实现这个方案需要中国外的服务器和中国内的浏览器同时丢弃复位。服务器一方显然会有动力去实现复位丢弃，因为这样就让在中国的人可以访问。不过要是看看中国国内的情形和人们改变浏览器（或者操作系统）配置的动力就会知道事情远比这复杂得多。虽然都是运行在中国的机器上，这些软件却都是在中国以外开发，特别是大多数软件都安装在微软开发的Windows上。

我们这里提出一个关于公共政策的问题：是否应该鼓励或者强制微软修改程序以帮助规避中国防火墙？显然对于中国的审查有着广泛谴责，那么反审查措施当然会得到政治意见和公共意见的赞同。[47]在本节前面我们提到，对这种改进的技术性反对意见是很有限的，这种改进可以提升对第三方攻击（防火墙只是第三方干涉网络通信的特例）的防御安全性。然而微软（以及其他操作系统和浏览器开发商）很可能不愿意冒犯中国政府，那么在被强制之前他们会一直拖下去。

一般的常识便是软件容易修改，硬件不易修改。不过把硬件改动的时间与制订新法规的时间相比就会知道，在强制供应商提供规避防火墙功能的法律生效之前，中国政府就会采用新的封锁硬件。[48]可以推测，新的硬件会考虑到我们提到的问题并对复位丢弃免疫。因此我们认为通过立法（强制供应商）并不是实用的办法，除非立法是普遍意义上的、不关注技术细节的。让供应商少去讨好中国政府多关心其他所有人，这才是最现实的道路。

8 结论
本文我们展示了基于报文内容检测的“防火长城”。当过滤规则触发时，伪复位报文便发向TCP连接两方。然而真正的报文亦完好通过防火墙，于是通过忽略这些复位，通信便不受干扰。相同方向上的继发连接也被封锁（只有在端口相关的情况下），不过通过忽略复位通信仍可以顺畅继续。

以上结果对于中国当局具有相当的意义，他们也许会加强他们的系统、修补防火墙的漏洞。当然我们在前面也说，这并不容易。[49]然而对于希望自由访问网络的中国居民来说，以上结果意义就小得多，因为他们的活动仍然受到记录和监视。只有当丢弃复位报文成为普遍做法以后，人们的才能说他们是无意中翻墙的。这种想法也不能算离谱，因为验证TCP复位是否为伪造也是TCP/IP栈应该做的。

我们还展示了封锁的副作用：为DoS攻击提供了可能性。当然这种DoS攻击只能用在特定节点之间。利用一套封锁机制来封锁什么东西这本身并没什么新意，但如果防火墙不作足够的状态记录，我们也看不到避免这种攻击的简便方法。

我们展示的结果也关系到其他使用类似复位机制来保护自身利益的国家、机构、企业。他们应该谨慎地认识到这种封锁完全依赖于被封锁者的默许。一些相对中国来说的小国家会经受更大的DoS攻击风险，因为他们的终端节点要少得多，防火墙在攻击效果变得显著之前尚不会过载。

9 补记
2007年春另外一组研究者（Jedidiah R. Crandall和其他人的“ConceptDoppler”项目）[50]的一些实验也揭露了这个防火墙的工作细节，但复位机制是基本不变的。不过他们的测量表明复位现在开始发生在中国互联网的内部，不仅是边际路由器；且与我们一年前观察到的相比封锁在繁忙时段变得更加断断续续。他们的研究手段也让他们可以发表一份关于被过滤话题的统计列表。

注释
[1] OpenNet Initiative, “Internet Filtering in China in 2004–2005: A Country Study,” OpenNet Initiative, http://www.opennetinitiative.net/studies/china/ONI_China_Country_Study.pdf (accessed October 21, 2007).
[2] OpenNet Initiative, “Probing Chinese Search Engine Filtering,” OpenNet Initiative: Bulletin 005, http://www.opennetinitiative.net/bulletins/005/ (accessed October 15, 2007).
[3] Ronald J. Deibert and others, eds., Access Denied: The Practice and Policy of Global Internet Filtering (Cambridge: MIT Press, 2007).
[4] Nart Villeneuve, “Censorship is in the Router,” June 3, 2005, http://ice.citizenlab.org/?p=113 (accessed October 15, 2007).
[5] OpenNet Initiative, “Probing Chinese Search Engine Filtering.”
[6] RST标志置位的TCP报文。这种报文表明一方要求立即关闭当前连接不再传输。
[7] See Maximillian Dornseif, “Government Mandated Blocking of Foreign Web Content,” Security, E-Learning, E-Services: Proceedings of the 17 DFN-Arbeitstagung über Kommunikationsnetze, eds. Jan van Knop, Wilhelm Haverkamp, Eike Jessen, 617–646 (Dusseldorf, Germany: GI, 2004).
[8] Richard Clayton, “Failures in a Hybrid Content Blocking System,” in Privacy Enhancing Technologies: 5th International Workshop Cavtat, Croatia, May 30-June 1, 2005 (Berlin, Germany: Springer, 2006): 78–92.
[9] Richard Clayton, “Anonymity and Traceability in Cyberspace,” Technical Report (2005), http://www.cl.cam.ac.uk/techreports/UCAM-CL-TR-653.pdf (for details of the complexity, see the extensive discussion in “Anonymity and Traceability in Cyberspace”) (accessed October 15, 2007).
[10] Benjamin Edelman, “Web Sites Sharing IP Addresses: Prevalence and Significance,” Berkman Center for Internet & Society, http://cyber.law.harvard.edu/people/edelman/ip-sharing (accessed October 15, 2007).
[11] Dornseif, “Government Mandated Blocking,” 626–27.
[12] Center for Democracy & Technology v. Pappert, 337 F. Supp. 2d 606 (E.D. Penn. 2004).
[13] King Abdulaziz City for Science and Technology: Local Content Filtering Procedure. Internet Services Unit (2004), http://www.isu.net.sa/saudi-internet/contenet-filtring/filtring-mechanism.htm (accessed October 15, 2007).
[14] OpenNet Initiative, “Internet Filtering in Burma in 2005: A Country Study,” OpenNet Initiative, http://www.opennetinitiative.net/burma/ONI_Burma_Country_Study.pdf (accessed October 15, 2007).
[15] Telenor, “Telenor and KRIPOS Introduce Internet Child Pornography Filter,” press release, September 21, 2004, http://presse.telenor.no/PR/200409/961319_5.html (accessed October 15, 2007).
[16] Dornseif, “Government Mandated Blocking,” 642-44; Clayton, “Failures in a Hybrid Content Blocking System,” 78–92.
[17] IDS可以将多种不规则的表现转化为标准形式，然后与封锁列表比对作出正确决策。
[18] 这种对称必须存在，因为防火墙需要同时封禁网络请求和回应。
[19] Villeneuve, “Censorship is in the Router.”
[20] SYN（同步）标志标明了打开TCP连接时的第一个报文。
[21] 这是对SYN报文的回应，其SYN和ACK（确认）置位，用“SYN/ACK”来表示在TCP连接打开过程中的第二个报文。
[22] 关于TCP的准确细节，和发起连接时交换SYN、SYN/ACK和ACK置位报文的方法原因，可以查阅很多好的网络通信教材，比如W. Richard Stevens, TCP/IP Illustrated, Volume 1, The Protocols (Reading, MA: Addison-Wesley, 1994)。
[23] 当我们启用TCP时间戳且报文包含12字节TCP附加选项的时候，这个值变成1448的倍数。
[24] TCP对所有数据报文用序列号进行标记，指示报文包含数据的顺序。当报文丢失、延迟或重复时，可以靠序列号来重建数据流。“窗口”是指在没有收到确认时最多可以发送的数据量。现在的互联网中，检查序列号落入窗口（复位报文序列号符合预期）是避免第三方干扰连接的重要安全措施。
[25] Paul A. Watson, “Slipping in the Window: TCP Reset Attacks,” Open Source Vulnerability Database, http://osvdb.org/reference/SlippingInTheWindow_v1.0.doc (accessed October 15, 2007).
[26] 存活时间（TTL）初始值由报文发送者确定，通过一个路由就减一。这是为了确保报文不在路由间无穷循环，当TTL为零时报文就被丢弃了。于是通过校验TTL值可以推算报文走过的距离。
[27] 如果复位在GET报文之前到达，则此复位报文不会被接受。服务器是FreeBSD系统，在连接的这个阶段，TCP栈接受的复位的序列号必须精确匹配上次发送的确认的值，以防止拒绝服务攻击。在GET报文到达前其值为+1，于是这时所有的复位都是无效的。
[28] SYN/ACK报文含有连接双方选定的序列号。
[29] AS指特定ISP拥有的骨干网络。我们采用的是CERNET的“China ASN List”，http://bgpview.6test.edu.cn/bgp-view/cur_ana/ipv4cn/china_asnlist.shtml。互联网路由器保存有优化路径列表，而“全球路由表”表达了特定AS对地址的所有权。
[30] See Jedidiah R. Crandall and others, “ConceptDoppler: A Weather Tracker for Internet Censorship” (14th ACM Conference on Computer and Communications Security, Alexandria, VA, October 29–November 2, 2007) http://www.cs.unm.edu/~crandall/concept_doppler_ccs07.pdf (accessed October 15, 2007).
[31] Earl Carter, Secure Intrusion Detection Systems (Indianapolis: Cisco Press, 2001).
[32] 即，检测报文内容的设备是在实际连接“旁边的”于是只能检测“坏”流量而不能对其有任何直接影响。
[33] 路由器一般都有根据特定标准进行报文过滤的功能。
[34] Yi Wang, Guohan Lu, and Xing Li, “A Study of Internet Packet Reordering,” Information Networking (Heidelberg, Germany: Springer-Berlin, 2004): 350–359.
[35] J. Postel, ed., “Transmission Control Protocol, DARPA Internet Program Protocol Specification” (memo, Network Working Group Request for Comments, September 1981) http://www.ietf.org/rfc/rfc793.txt (accessed October 21, 2007).
[36] S. Bellovin, memorandum, May 1996, in Network Working Group Request for Comments, “Defending Against Sequence Number Attacks,” http://www.ietf.org/rfc/rfc1948.txt (accessed October 15, 2007).
[37] ──译注，此节所述似已过时。在翻译完成的时候译者测试发现，继发封锁跟初始端口或者继发端口没有关系，所有端口的继发连接都被屏蔽。
[38] HTTP通信不仅在80端口（tcp/http）上被封锁，还有其他一些端口也受到影响。不过一个端口被封不影响其他邻近端口，比如80端口被封不影响433端口（tcp/https）。
[39] 见图1。
[40] See Clayton, “Anonymity and Traceability,” 81.
[41] 未来中国的防火墙还可能通过FIN报文来打断连接，然而忽略所有FIN报文则会导致不能正常连接，到那时TTL校验法会更好。
[42] Watson, “Slipping in the Window.”
[43] Robert N. M. Watson, “Patches Associated with My Academic Research,” http://www.cl.cam.ac.uk/~rnw24/patches (accessed October 15, 2007).
[44] Suzanne Goldenberg, “Congress Accuses Google of Collusion,” The Guardian, February 16, 2006, http://www.guardian.co.uk/china/story/0,,1710616,00.html (accessed October 15, 2007).
[45] SafeWeb, “TriangleBoy Whitepaper,” SafeWeb, 2003, http://web.archive.org/web/20030417171335/http://www.safeweb.com/tboy_whitepaper.html (accessed October 15, 2007).
[46] Psiphon, http://psiphon.civisec.org (accessed October 15, 2007).
[47] Stokely Baksh, “US Calls for Fall of Great Firewall,” United Press International, February 15, 2006; Kate Allen, “Today, Our Chance to Fight a New Hi-Tech Tyranny,” Observer, May 28, 2006; Cory Doctorow, “See No Evil?,” Guardian, July 6, 2007.opinion. 47
[48] “此法案是近年来孕育期最长的。导致此法案产生的斯科特报告是在五年半前的1996年2月发表的。保守党政府接受了此报告的提议并立即发出了资讯文书。工人党1997年的宣言坚定承诺要采取行动。于是1998年出了那本白皮书。不过之后政府就不闻不问于是，过了三年此法案才推出。”Hansard Parliamentary Debates, Commons, 6th ser., vol. 374 (2001), col. 457.
[49] 本文中描述的实验都是在2006年春进行的，本文的初始版发表在2006年6月的隐私增强技术研讨会上。
[50] ──译注：见http://www.conceptdoppler.org/。

定义：
提供一个创建一系列相关或者相互依赖对象的接口，而无需制定它们具体的类。抽象工厂（Abstract Factory）模式又成为Kit模式，属于对象创建型模式。

抽象工厂模式与工厂方法模式最大的区别在于：工厂方法模式针对的是一个产品等级结构，而抽象工厂模式则针对的是多个产品等级结构。正因为如此，在抽象工厂模式中经常会用到产品族（Product Family）这一概念，它指的是位于不同的产品等级结构中，并且功能相互关联的产品系列。

应用情景：
1，系统需要屏蔽有关对象如何创建，如何组织和如何表示。
2，系统需要由关联的对个对象来构成。
3，有关联的多个对象需要一起应用并且它们的约束是强迫的（不可分离）。
4，你想提供一组对象而不显示它们的实现过程，只显示它们的接口。

不来概念了，改天还需要理解的时间，直接上例子，来看一下简单的过程与函数的创建方法与如何执行。
（以SCOTT用户数据库为例）

1，过程

CREATE OR REPLACE
PROCEDURE insert_dept
(
no NUMBER,
name VARCHAR2)
IS
BEGIN
INSERT INTO dept
(deptno,dname
) VALUES
(no,name
);
END;
过程已创建
SQL>exec insert_dept(50,'SALES')
PL/SQL过程已成功完成。

2，函数

CREATE OR REPLACE
FUNCTION get_sal(no NUMBER)
RETURN NUMBER
IS
SALARY NUMBER(6,2);
BEGIN
SELECT sal INTO salary FROM emp WHERE empno = no;
RETURN salary;
END;
函数已创建
SQL>VAR salary NUMBER;
SQL>exec :salary:=get_sal(7566)
PL/SQL过程已成功完成。
SQL>PRINT salary
salary
----
2975

用命令行Sqlplus模式远程连接Oracle数据库的命令行如下所示：

1，以数据库管理员身份连接
sqlplus sys/110@192.168.2.101:1251/gaoyu.com as sysdba

2，以普通用户（以scott用户为例）身份链接
sqlplus scott/tiger@192.168.2.101:1521/gaoyu.com


上图是在本地Windows下用SQL*Plus工具连接远程的Oracle时的示意图，用户名和密码依次添好后，在第三行文字列处添加远程服务器的地址和端口号，后面反斜杠加上数据库名就可以了。

跟我学习设计模式之第二篇：工厂方法模式开篇了。下面我们来看看其定义：

工厂方法模式又称工厂模式，也叫虚拟构造器（Virtual Constructor）模式或者多态工厂（Polymorphic Factory）模式，属于类的创建型模式。在工厂方法模式中，父类负责定义创建对象的公共接口，而子类则负责生成具体的对象，这样做的目的是将类的实例化操作延迟到子类中完成，即由子类来决定究竟应该实例化（创建）哪一个类。

下面以一个JAVA实例应用来看了解一下具体需求：
现实中不同品牌的手机应由不同的工厂制造，下面应用工厂模式来解决这个问题。

手机接口：
public interface Mobile {
public void call();
}

手机工厂接口：
public interface MobileFactory {
public Mobile productMobile();
}

摩托罗拉手机实现手机接口：
public class Motorola implements Mobile {
public void call() {
System.out.println("MOTOROLA モベイル");
}
}

诺基亚手机实现手机接口：
public class Nokia implements Mobile {
public void call() {
System.out.println("Nokia モベイル");
}
}

摩托罗拉工厂实现了生产手机的方法，返回摩托罗拉手机：
public class MotorolaFactory implements MobileFactory {

@Override
public Mobile productMobile() {
// TODO 自動生成されたメソッド・スタブ
System.out.print("Motorola工場で製造した");
return new Motorola();
}

}

诺基亚工厂实现了生产手机的方法，返回诺基亚手机：
public class NokiaFactory implements MobileFactory {

@Override
public Mobile productMobile() {
// TODO 自動生成されたメソッド・スタブ
System.out.print("Nokia工場で製造した");
return new Nokia();
}

}

客户程序：
public class Client {

/**
* @param args
*/
public static void main(String[] args) {
// TODO 自動生成されたメソッド・スタブ
MobileFactory mf;
Mobile m;

mf = new MotorolaFactory();
m = mf.productMobile();
m.call();

mf = new NokiaFactory();
m = mf.productMobile();
m.call();
}

}

输出：
Motorola工場で製造したMOTOROLA モベイル
Nokia工場で製造したNokia モベイル

下面的情景很适合应用工厂方法模式：
1，类不知道自己要创建哪一个对象；
2，类用它的子类来制定创建哪个对象；
3，客户需要清楚创建了哪一个对象。

对设计模式的理解和应用能力，是区分一个程序员和一个软件工程师的重要特征。从今天开始，我将花费一些时间和精力，用在设计模式的学习和实践上。

今天，首先解决三个问题：
第一，什么是设计模式？
第二，设计模式的作用？
第三，设计模式的分类？

按照顺序依次解决这三个问题，就算完成开篇的内容。

第一，什么是设计模式？

模式的定义：模式是一种问题的解决思路，它已经试用于一个实践环境，并且可以适用于其他环境。

如果觉得抽象，举几个例子马上就可以理解了：用牛耕田，织网捕鱼，打井取水……，所有这些都是前人创造的生活模式，我们大家不自觉的把它们应用在生活的方方面面。

同理，程序设计，也有一些前人的设计思路可供我们直接使用，这就是设计模式。

第二，设计模式的作用？

1，重用设计，比重用代码更有意义，它会自动带来代码重用。
2，为设计提供共同词汇，模式名就是设计词汇，方便交流。
3，开发文档中采用模式词汇让阅读者更容易理解。
4，可以使得重构系统变得容易。确保代码正确，降低设计和实现中出现错误的可能性，为从写其它应用程序提供很好的系统架构。
5，正确使用设计模式，可以节省大量时间。

第三，设计模式的分类？

设计模式种类很多，包括分布式编程模式，用户界面模式，数据模式模式三大类。目前流行的面向对象设计模式，仅1995年“Gang of Four”（四位作者：Erich Gamma,Richard Helm,Ralph Johnson,John Vlissides）描述的就有二十多种，称之为GoF模式，与其相对应的另一种重要的设计模式是通用责任分配软件系列模式（GRASP，General Responsibility Assignment Software Patterns）。

1，GRASP模式的分类：

与其说它是面向对象的设计模式，不如说它是面向对象的设计要求，细分为9种模式。模式之间不是独立的，存在相互平衡的制约关系，所以我们的设计只能努力的满足GRASP的各种模式。
1)Information Expert（信息专家）
2)Creator（创造者）
3)Low coupling（低耦合）
4)High cohesion）（高内聚）
5)Controller（控制器）
6)Polymorphism（多态）
7)Pure Fabrication（纯虚构）
8)Indirection（间接）
9)Protected Variations（受保护变化）

2，GoF模式的分类：

◆根据目的准则分类：
就是说，指定的模式用来完成什么工作。可分三种：
1)Creational（创建型）：与对象创建有关
2)Structural（结构型）：处理类或对象的组合
3)Behavioral（行为型）：描述类或对象如何交互及如何分配职责。
◆根据范围准则分类：
即指定的模式是用于类还是用于对象，分为两种：
1)类模式：编译时就定下来了。
2)对象模式：处理对象间关系，这些关系具有动态性，在运行期间是可以变化的。

范围/目的：Creational（创建型）： Creational（创建型）： Behavioral（行为型）
类：Simple Factory：Adpter(class)：Interpreter
：Factory Method： ：Template method
对象：Abstract Facotry：Adapter(object)：Chain of Responsibility
：Builder ：Bridge ：Command
：Prototype ：Composite ：Iterator
：Singleton ：Decorator ：Mediator
： ：Facade ：Memento
： ：Flyweight ：Observer
： ：Proxy ：State
： ： ：Strategy
： ： ：Visitor

之前作为一个Oracle Employee，却总是在使用PL/SQL Developer（而且是破解版），这实在有些说不过去，但是如何找到一个合心趁手的能够在有条件的情况下比SQL*PLUS更方便的工具却实在不是一件简单的事情，以前期待tora被Quest收购以后会有长足发展，可惜，并没有看到最终的结果。

之前曾经说过，PL/SQL Developer对于我最难以割舍的是code insight功能，当你记不住表、性能视图或者存储过程、函数的全名，PL/SQL Developer将会在你输入了几个字母之后自动提示。TOAD发展了那么多年，却一直没有提供相类似的功能。

但是现在完全免费的替代产品出现了，这就是Oracle SQL Developer，Oracle官方出品的开发工具，当然这个工具并不是今年才推出的，现在最新版本已经是1.5.1.54.40，但是，最早的1.0版本并不是那么好用，而现在，我可以郑重地推荐它了。

请注意，这个工具是完全免费的，可以通过这个链接下载。

以一个普通使用者（甚至说是一个并不是着重在开发上的数据库管理员）的身份比较一下Oracle SQL Developer和PL/SQL Developer。

1. 格式化的结果输出。
这一点任何一个第三方工具都做得不错，是一个基本功能。

2. 自动提示。
也就是上面提到的Code Insight功能，可以说，Oracle SQL Developer拥有的功能以及速度绝对不亚于PL/SQL Developer，甚至有更人性化的表现。比如当你键入select * from，空格之后，Oracle SQL Developer会立刻给出一个当前用户下的所有Table的列表，如果继续键入比如DBA三个字母，那么列表将转换为DBA打头的所有数据字典。而如果你从一行的开头键入exec四个字母，那么当回车以后，Oracle SQL Developer会立刻给出一份所有可以执行的存储过程的列表。

3. 代码美化功能。
所有使用过PL/SQL Developer的朋友们应该都知道在最近这几版中都有一个PL/SQL Beautifier的功能，可以将一大串SQL语句格式化更容易阅读的样式。同样Oracle SQL Developer也提供了这样的功能，称之为Format，快捷键是Ctrl+F7。

4. 显示SQL的执行计划。
在Oracle SQL Developer中快捷键是F6，同时也提供了显示Autotrace的结果，快捷键是F10（最新版本中似乎有点儿小bug，有时候需要按两次F10才能显示）

5. 会话监控。
在PL/SQL Developer中我们可以显示当前数据库中的所有会话，点击某一个会话，在下方会显示该会话正在执行的SQL，正在经历的等待事件以及其它一些可以自定义的感兴趣的信息，Oracle SQL Developer同样提供了这个功能，可以在Tools -> Monitor Sessions菜单中找到它。

6. 快捷显示对象信息。
比如写了一条SQL语句，其中牵涉到一张表，我们可能会想立刻看到这张表有哪些字段，这张表上有哪些约束哪些索引，如果是分区表有哪些分区，在 PL/SQL Developer中我们会选中SQL语句中这张表的名字，然后右键 -> View，同样Oracle SQL Developer也提供了这个功能，同样可以鼠标右键选中表名 -> Popup Describe，另外还有快捷键Shift+F4。

7. 编写以及调试存储过程。
我并不有太多的机会去编写一个很长的存储过程，因此这点我不敢对PL/SQL Developer和Oracle SQL Developer做过多的比较，但是我知道好几个版本的PL/SQL Developer(包括最新版)在编译存储过程的某些特定语句的时候会导致ORA-600错误，而在SQL*Plus里面直接编译则完全没有问题，很多客户出现了这个问题寻求我们的帮助，而我们的回答是，抱歉，这是PL/SQL Developer的问题我们不做技术支持，但是如果你要是改用了Oracle SQL Developer呢？恭喜你，虽然这是个免费的产品，但是仍然可以得到原厂商的技术支持。

好吧，具有了上述这些功能，至少对于我来说，Oracle SQL Developer已经完全具备了日常管理数据库的所有需要点，而且用起来一点儿也不觉得别扭，只是可能快捷键的改变需要适应一下。比如在PL/SQL Developer中执行一个SQL是F8，而Oracle SQL Developer则是F9，显示执行计划一个是F5而另外一个是F6，但是这都是小问题，不是吗？要知道人生总是在不断变化的，呵呵。

接下来是Oracle SQL Developer的闪光点，这些闪光点会让Oracle SQL Developer更加可爱。

1. 自动更新。
Help -> Check for updates，将会自动将Oracle SQL Developer更新到最新的版本，包括多种插件。

2. 插件。
这是多么令人兴奋的功能，要知道，在浏览器领域的Firefox，在Java开发工具领域的Eclipse，都是因为支持插件（或者称之为扩展）体系，并且有大量丰富的插件才成为了焕然一新的工具，噢，我知道PL/SQL Developer也是支持Plugins的，但是这么多年了，Plugins始终只有那几个。而Oracle SQL Developer才推出多久，我们已经可以看到像Fourth Elephant的Insider这样强大的扩展了，Insider一眼看上去简直就是一个Quest Spotlight for Oracle，虽然我对这个插件不是那么感兴趣，但是你得承认它确实很强大。

3. 跨平台。
PL/SQL Developer只能在Windows上使用，而Oracle SQL Developer目前已经支持了Windows，Mac OS X，Linux，这得益于Java的跨平台特性，好吧，我承认Java用于桌面应用确实速度有些让人不满意，但是对于Oracle SQL Developer来说，仅仅是启动速度有些慢而已，实际使用中仍然是行云流水的。

4. Reports。
一个新安装的Oracle SQL Developer就已经包含了一个Reports标签页，内置了一部分可以用于数据库管理的脚本，并且可以允许使用者自定义自己需要日常使用的脚本，而且支持复杂的父子视图效果，就是类似于Session Viewer的效果，点击父结果中的某一行，能够将更详细的关联信息显示在子结果中。每个DBA都有自己积累的一套SQL，你可以将它们全部放在 Oracle SQL Developer中。

5. 多连接。
在同一个Oracle SQL Developer界面里，可以连接多个数据库实例，虽然这不是什么复杂的功能，但是，PL/SQL Developer却做不到。

6. tkprof直观显示。
用Oracle SQL Developer直接打开一个trc文件，将会出现一个图形化的界面，并且包含了几乎所有的tkprof功能，比如可以按照某个指标进行排序。

7. 免费。
有什么东西比免费更吸引人呢？曾经在itpub上做过一个投票调查，目前使用PL/SQL Developer的Oracle DBA或者开发人员占据了超过60%，而其中绝大部分都在使用破解版。改为Oracle SQL Developer吧，你不用再去辛辛苦苦找最新的破解，你也可以自豪地说我现在用的开发工具是Free的，是正版的。

好吧，我承认Oracle SQL Developer是一个新产品，在很多小功能上确实还没有像PL/SQL Developer那样丰富。比如说也许我们需要一个command window，一个类似于SQL*Plus的界面，可以输入诸如archive log list或者show sga这样的命令，也可以仅仅输入edit 表名就可以弹出更改表结构的界面，输入edit 存储过程名就可以弹出编辑存储过程的界面；也许我们需要一个text import工具，可以方便地通过图形化界面将一个csv文件中的记录插入到一个表中；也许我们需要一个data gernerater工具可以方便地生成测试数据。

但是，这些都是小事儿，没有也就没有吧。另外，请相信Oracle的研发实力，短短的一年时间，Oracle SQL Developer已经开始引人瞩目了，而且Oracle一直在大力地研发这个工具在频繁地发布新版本，所以也许不久的将来这个工具将更好更强大。在这里可以看到大量使用者提出的Feature Request，很多已经被接收，将会出现在下一个版本中。

这篇文章不是一个正规的Oracle SQL Developer的产品功能或者说使用介绍，这仅仅是因为我作为一个普通的Oracle数据库顾问发现了一个免费的好用的工具（只不过恰巧这个工具是 Oracle推出的而已）而感到欣喜之后的随意而为的文章，我很期待与已经在使用Oracle SQL Developer和看到这篇文章转而使用它的各位做更多的经验交流。

用一个使用者的感想做结，这个感想在Oracle SQL Developer的主页上也可以找到。

We’ve given up all of our licenses for other tools. We simply don’t need them anymore. Oracle SQL Developer does it all for us. We’ve saved a lot of money because it’s free. It’s also given our development staff a standard tool and they love it. It’s made training and support easier.

用Oracle的管理权限用户启动，命令如下：
lsnrctl start