達賴喇嘛的貓

 

這本達賴喇嘛的貓用一個虛構的故事，以陪伴著達賴喇嘛的小母貓的觀點，向讀者講述藏傳佛教的核心教義。第十四世達賴喇嘛是藏傳佛教中最廣為人知的精神領袖，在故事中也用小貓味的視角側寫出達賴喇嘛的公務和日常作息。藉由讓貓咪觀察尊者與訪客的互動與對話，由牠的角度反思、學習出一項項佛教獨有的觀點與思維，題材相當富有趣味。

白話點講，佛是覺悟者，佛法就是成為覺悟者的法門。在佛教中所謂的有情眾生，是說有意識的生命體，都有離苦得樂的基本願望，因此並無高下之分，生命都是非常珍貴的。生為人類，不分彼此更有另一項共同之處，都想要被愛(關懷)。萬物唯心造，外在環境的舒適或不便，不是真正讓人覺得快樂或痛苦的原因，真正能覺得我們自身的喜樂與哀愁的是我們看待事物的眼光。如同監獄中的受刑犯可能覺得修行中的喇嘛過得無欲生活相當折磨人，但喇嘛們不會怎麼認為，世界上並不存在能客觀量測的讓人快樂生活環境。

修行中維持正念是最重要的，正念是只一種專注於當下的意識狀態。吃飯時好好吃飯、走路時好好走路，做事時學會只關注手上處理的事務。別把心思停留在過去(後悔過去)，也別把心念投射到未來(追求將來)，更別沉浸在白日夢中(不面對現在)，只要好好地活在當下。「你在做什麼？你在想什麼？你快樂嗎？」，做的事和想的事相同的人，多半會回答快樂。也可以說，讓你覺得快樂的不是你所做的事情，而是你是否全心全意投入去做。

真正讓人感受幸福的真實原因，是人們覺得能幫助他人的時候。佛佗說，希望給予他人幸福，稱為愛，幫助他人去除不滿或脫離苦難，稱為慈悲。佛教認為，我們愈為他人的福址著想，心中會獲得更多的喜樂，這是一種最有智慧的自私行為。思想展示為言語，言語展現為行動，行動養成為習慣，習慣演化為人格。因此，我們要小心觀察自己的思想以及它的走向，我們怎麼想，最終將影響我們變成怎麼樣的人。

很多時候那些曾經是最糟糕的事，後來卻成就出最好的成果。如何西方諺語說的一切都是最好的安排。而決定成果的好或壞，關鍵是不輕易放棄的正念與作為。情緒不是永久的，憤怒更不是自身的一部份，當你習慣屈服於情緒的力量，只會更容易感到情緒起伏而深受影響。全書內文其中一句的「如果知識不能和他人分享，那擁有再多的知識又有何意義？」讓我相當有共鳴。寫這些讀書心得或許只能被寥寥可數的人看到，但只要有隻字片語讓別人對這些書產生興趣，或是從我擷取的文字中激發靈感，那都是值得開心的事。

機智購物生活

 

不可諱言除了北歐的社會主義和中國的偽共產主義外，目前資本主義已經席捲全球。全球公民的消費習慣，早已經從購買自己需要的東西變成購買自己想要的東西。更有甚者出現了消費者困境，人們明知該慢放腳步停止購物，卻怎麼也不能停下來。綠化消費嘗試想要減輕過度消費行為對地球環境造成的傷害，但不管怎麼做也跟不上消費增長(和與之相伴的汙染)的速度。機智購物生活提出新觀點，為何不轉念實踐減少消費？本書的內容就是在進行一種文字版的思想實驗。而新型冠狀病毒的出現，就像在替本書進行實證實驗，疫情間確實讓全球的消費支出下降25%，同時間碳汙染量也同步下降四分之一。

如果消費瞬間減少25%，時尚產業尤其是快時尚將會受到重創而分崩離析。雖然人類對自身財物的迷戀其來有自，甚至可追朔到四千年前的瑪雅文化，但消費者文化視人們為經濟活動中的消費者，其歷史比我們想像的短暫。約略發生在第二次世界大戰結束後，那時富裕國家的家庭支出才開始顯著大幅度上升。即便在典型的經濟低迷時期，大家也不是少買東西，而是改買更便宜的東西，所以停止消費是相當顛覆的想法。金融海嘯期間，美國家庭消費支出也僅下降3.5%，所以完全停止消費行為，將會產生前所未見的經濟海嘯。而停止購物後造成的混亂和經濟損失，最終會落在較貧窮的國家公民上。

要定義現今的消費規模是否合理的一種方法是檢視我們的消費是否超出了地球的承受能力。全球生態足跡網路是個非營利組織，它將地球以公頃劃分，再分配給每一位地球公民，結果得出每人將得到1.6公頃的全球公頃。以今日的消費水準，地球上每人平均消耗2.7全球公頃，如果要像美國人一樣消費，則高達8公頃!（我們需要5顆地球)如同大家所猜想，全球各國的消費行為相當不平等，如阿富汗人會消費0.8公頃、中國人則消費3.2公頃，而厄瓜多人恰好消費1.6公頃。換言之如果每個地球公民的消費水準都和厄瓜多人一樣，那麼地球的自然資源恰好能滿足大家的需要。厄瓜多人的生活方法大致和二十世紀的消費水準相似，約略落在1970年。那是個上館子用餐很少見、人們會繼承兄姐的舊衣、暑假選擇在住家附近渡假、商業節奏很緩慢的時代。對照在2024年，社會對一個普通經濟公民的消費量的預許，在食衣住行上，標準都不斷地在提高。

曾經人們的生活不僅有工作與消費，猶太人的安息日是停止創造的日子，當天也禁止任何商業行為，是早期社會對商業生活忙碌不休的抵制行動。這個源起於一千七百年前的傳統，至今演變成我們熟知的例假日(星期日)，卻失去它原本的反消費精神。時間飢荒是描述現代人永無止盡的忙碌感，努力地填滿自己的每段空閒時間。在智慧手機普及的年代，人們則是用數不清的短影音、手遊與社交平台，塞滿我們原本可以悠閒度日的時光。

停止消費對地球環境的助益不言而喻，在新冠肺炎疫情的初期，全球碳足跡的下降幅度略等同於商業行為減少的比例。被稱作世界工廠的三座城市，越南河內、中國廣州和成都，因為停工停產讓全市擺脫微粒汙染，市民又見到久違的晴空與藍天。綠色科技確實能減緩經濟發展所造成的碳排放，但真正有能效減少碳汙染的作法是減少消費。然而經濟成長率是如此至關重要，甚至決定誰能贏得民主選舉，所以不可能看到任何政府推行減少公民消費量的政策。

用經濟成長率(GDP)來衡量國家施政的良莠，是典型的消費者困境(消費者困境是指我們必須停下來，卻又無法停下來的情境)，因為所有反對消費的論點和作法，最終都會導致終結經濟成長。然而經濟成長率不是用來評量國民福址的最佳指標，因為它未說明社會中財富分配的情況(就像:台灣平均月收入為四萬多元)。在此前提下追求每年不斷的成長，負作用就是國家內部的不平等持續惡化，激化更多階級間的衝突與對立。2019年起紐西蘭嘗試拋棄GDP作為衡量經濟成功的主要指標，改用更能呈現公民福址的真實發展指標(GPI)指標。

炫耀性消費或稱競爭性消費、地位消費甚至是招嫉消費，是利用消費行為產生引人注目的效果，以為人所不能為的方法，獲取自尊心與滿足感。炫耀性消費是助長消費文化成長的潛在因素，也讓許多人在經濟層面上產生地位壓力。人們對財富指標相當敏感，演變成會利用消費來標記自己在經濟社群中的啄食位置。消費主義使人們不快樂的最顯著的原因就是地位消費，許多3C商品(例如智慧性手機)和快時尚的衣著，在消費主義的浪潮中，製造出來的最終目的就是為了在不久後丟棄它。在物質主義為尊的世界裡，人們需要多消費一點，買更多東西才能覺得自己是成功的，也覺得自己是安全的。

扭轉病態的消費文化，可以從惜福愛物開始，選擇更耐用的產品，以修繕取代購買新東西。在政策層面上，政府應當要監督產業界，禁止推動計畫性報廢商品，並立法推行消費性商品須公開標示預估使用壽命，讓消費者有機會選擇優質商品。去消費不必然只有經濟袞退的壞結局，也可能帶來企業製造良好、耐用的優質商品來吸引消費者的新局面。耐久性商品也會驅動其它類型的經濟活動，像是維護、修繕、升級和租用。不一味追求成長與利潤的以諾式企業更能在減少消費的經濟迷低時期中發光發熱。以諾式企業傾向提供經濟學家所謂的內在價值，以實用、美麗、富有傳統和令愉悅的商品和服務。這些企業不專注於擴張規模，而是堅守商品和服務的品質與核心價值。

富有是種奇怪的狀態，即便是今日被視為低收入戶的公民，其實擁有的物質條件也比一世紀前的王公貴族還優渥。財富的多寡必須是在特定時間點中與他人比較後評估的結果，富有是一種相對而非絕對的形容詞。在文藝復興時期，社會上不鼓勵個人欲望的無止盡地放縱，因此富人們會關起門來低調地享受財富。但自從1980年代開始，越來越重視經濟成長的政治氛圍，將商人和企業家推上了英雄般的地位，自此讚揚高所得者與崇尚炫耀性消費就成為你我熟知的社會文化。

比起主張過著綠色生活的環保鬥士，或許過著簡單生活的節欲主義者更能幫助地球。反消費者對自身所做的消費行為，會努力思考以做出明智的選擇，較少受到廣告行銷與時尚風潮所影響，更不會採用消費(飲酒、旅遊)來做為挑避其它事物、壓力的手段。早期的清教徒因為厭倦歐洲大陸的腐敗與物質主義遠走到新大陸，百年後的子孫卻步入最初的物質主義陷阱。歷史上從不缺少呼籲減少消費的聲音，但人們的經濟行為，總是如鐘擺一般在過度消費和簡單生活兩者間來回。單純一本機智購物生活不可能改變全世界的經濟活動，但是如果讀者能從書中領悟到減少消費的好處，而嘗試在生活中實踐，那就是改變的開始。

江山風雨情

 

要寫出好的歷史小說相當有挑戰性，構思故事既要生動有趣，經緯主軸又不能離史事太遠。在人、事、時、地、物五元素中，更動的部份要順應情理，情節若還呼應歷史事件的關鍵時點，就更難能可貴。江山風雨情就是本令人回味再三的佳作，描述明朝未年崇禎皇帝登基到亡國的故事。

書中有吳三桂與陳圓圓的愛情、大太監王承恩的權謀手段、滿清皇太極與群臣的勵精圖治。但最讓讀者掩卷嘆息的是，看到崇禎這位有心中興大明的「好」皇帝，如何一步步地領導權臣走向國破家亡的局面。志高才疏、心胸狹窄應該是多數讀者留給崇禎的評價。即便已經病入膏肓，內有流寇外有滿清，大明王朝依舊有能人如袁崇煥、洪承疇足以力挽狂瀾扭轉困局，卻皆失敗於崇禎的一念之間，讓千古名句的君非亡國之君，臣皆亡國之臣更加諷刺。

江山風雨情雖是小說之言，但從中也能梳理出國富民強的治國法門。不論那個朝代，官員的貪汙腐敗都是國家衰敗的警示燈。而領導人用人的肚量與格局，則是會影響組織可用人材的廣度與深度。市井之間常開玩笑說如果爸爸是王永慶的話…，感嘆自己命不夠好，未能出生權貴、富豪之家。要深知，如果沒有三兩三的本事，即便讓你平白無故的坐上那個位子，最後也只是變成富不過三代的八卦週刊話題。崇禎帝就是個好例子，不是嗎？

沒什麼事是喝一碗奶茶不能解決的⋯⋯：我的人類學田野筆記

 

文字媒體有標題殺人法的編輯技巧，利用聳動吸睛的標題文案來獲取閱聽大眾的點擊關注。沒什麼事是喝一碗奶茶不能解決的對我來說，則是一種書名殺人法，是被它詼諧梗圖般的書名吸引後翻閱。如果抱持著獵奇的心態想在書中看到如台灣學子在中國(北京)求學時遭遇的文化衝擊，或是增廣見聞的求知精神想以台灣人的視角看看新疆維吾爾族的風土民情，讀者肯定敗興而歸。正如副標我的人類學田野筆記寫的，本書的核心主題是初入人類學領域從事田野調查的台灣學子，分享與反思其執行田野的困難與收穫。

人類學是一門研究與統整人類(少數)民族或社會(組織)活動的人文學科，也因此有多少種社群就能有多少個研究主題。田野調查則是研究學者以一個遠來他者的身份，中、長期的以自身當研究工具，融入且生活在被研究者的社群與環境。期望能順利轉換心態與角色，從中學習並統整被調查者的思維與價值觀。花了這麼多心力所積累的它文明觀，小則能用來比對、反思自己文明的良莠，達到他山之石之效，大則能讓人們理解文明的多樣性、增進彼此的同理心與包容度。

在華人同文同種的大傘下，身為台灣人的梁瑜去中國當人類學研究生，進一步再去新疆從事田野調查，看似難度較低，畢竟語言和文化相近。但從書中可見，兩岸在長期政治體制不同反映在雙方對基本人權觀念的差異，時時像不小心踩在散落在地上的樂高積木般，渺小卻強有力的提醒著雙方，我們不是穿著同一條褲子長大的。人類學的訓練或許可以提升你我的同理心，理解並包容對方的價值觀和我們不同，但理解不表示認同，包容也不等於接受，捍衛你的言論自由不是因為你講的是對的，而是我們享有著一樣的天賦人權，這是人類應追求的普世價值。

四帝世紀

 

只要是生活在海峽兩岸的華人，在評論孫逸仙、蔣介石、毛澤東和鄧小平時都很難保持十足的客觀公正。畢竟除了被尊稱為國父的　孫中山先生外（前面要空一格），對於其餘三人，我們傾向把一邊視為偉大的領袖，同時稱另一邊為某匪。由法國作者撰寫的四帝世紀以外國人的超然角度，幫你我破解了根深蒂固的主觀偏見，重新檢視共和時期的中國土地上發生過的風風雨雨。主題講述這四位地位有如帝王般的政治領袖，如何承先啟後帶領中國從昏暗無光的封建帝國，走向世界強權的道路（果真超英趕美了）。

對於國小時期還受過國民黨的愛國教育的六年級來說，書中的內容確實有顛覆三觀的衝擊力。畢竟看到曾被視為偉人的國父孫逸仙是一位做大事卻沒有戰略思維，常讓革命同志傷亡的豬隊友，真的是不容易。他為了推翻滿清，接受各方不懷好意的外國援助，甚至不惜用分裂國土形成軍閥割據、私相授受許諾經濟最惠國待遇等，以換取革命資金與武器，這都是課本不能教的黑歷史呀。做為孫逸仙信徒的蔣介石，崛起的原因單純僅是理想主義的孫氏需要擁有征戰的硬實力，而年青的蔣介石願意成為他最忠實的執行者。

在台灣，長期以來對共產主義與其相闗聯的蘇聯政權，都視為如佛地魔般的禁語。然而在國民黨成立的初期，可是摻雜著濃厚的蘇聯共產國際的意志與援助。可以武斷地說，如果沒有蘇聯的軍事指導與訓練，國民革命軍根本不會成立！而和共時期的國民黨其組織與運作也處處模仿著蘇聯共黨，是服膺最高領袖的中央集權，而非票票等值的西方民主議會形式。孫逸仙對權力的慾望，讓共和時期的中國喪失走向直接民主的可能性，間接也造成中國四分五裂的內戰格局，讓定位自己為職業軍人的蔣介石藉此成為民國舞台的要角。

毛澤東、鄧小平和蔣介石算是同一世代的政治人物，發跡於共和中國的前期，各自依據不同的信念，試圖帶領國家走出內亂邁向富強，而他們也都是擁有超強意志與強運的天選之人。如同先前所言，國民黨的創立擺脫不掉蘇聯的影子，另方面中國共產黨也開始蠶食鯨吞地擴大影響力與軍事力量。國共內戰，一個早在對日八年抗戰之前就籠罩中國的兄弟鬩牆，為了爭奪誰才能主導中國的現在與未來。蔣介石的敗亡可說是時運不佳，國民黨的黨爭、美國的過度介入卻誤判形勢以及最致命的民心向背，讓紅色中國成為共和中國的終章。

毛澤東與共產黨領導下的中國，從最初得聽蘇聯鼻息的跟班地位，逐步發展、進步成亞洲霸權的態勢。過程中人民遭遇的苦難，不亞於封建帝國時期的慘況。共產鬥爭下的文化大革命與後續的大躍進，都造成了數以千萬計的死傷。而歷經無數戰爭、門爭後，有幸承接一個完整紅色國度的鄧小平，則睿智的採行政經分離的開革開放措施，奠定中國躍居世界第二大經濟體的基礎。

對華人來說四帝世紀是一本題材引人入勝的作品，內容確實也平舖循序地講述這四位帝王在大時代裡波瀾壯闊的經歷。可惜的是，不知是法文翻譯中文時的詞型限制，還是純粹譯者功力不夠。許多句子讀起來都太過迂迴，常看到那種否定再否定的語句用法，讓閱讀的流暢度和樂趣消弱不少。

Web開發者一定要懂的駭客攻防術

 

在工作上一直都是擔任後端應用的職務，即便是目前負責的大數據與推薦引擎，依舊是歸屬在後端運算的範疇。然而在Web/HTTP影響力與日俱增的大環境下，單單開發一個API也擺脫不掉SOAP/REST這樣依附在HTTP協定的軟體架構風格。因此針對Web的安全性議題，是不分前、後端工程師都得認真學習、思考的核心知識。Web開發者一定要懂的駭客攻防術是一本堪稱完美的Web資安入門書，流暢又精確的文字內容，在資訊類型的書中相當罕見（IT類型的書多半文字用詞繞口，也會有一兩個勘誤）。全書分成必要的基礎知識和常見威脅兩部份，很完整又詳細地解說，Web應用程式是什麼？有哪些常見的漏洞？（更重要的是）如何防止哪些漏洞？

雖然駭客攻擊聽起來總是神秘莫測，令人聯想到諜報電影裡相當高上大的設備與工具。但比較落地的實情是，多數讓駭客入侵成功的程式漏洞，總數加起來不會超過手指數量（小提醒，是十）。這些可以一一細數的程式瑕疵，造成這麼多企業、個人的財務損失，起因常常是開發團隊沒有能力處理（知識不足）或低估資安漏洞的嚴重性。藉由研讀Web開發者一定要懂的駭客攻防術，足於讓從業人員認識、理解Web開發時應留意的重點，進而打造出有高防禦力的Web應用。想若所有開發者都被要求要通過此書提及的漏洞攻防國家測驗，才能從事Web程式開發職務（類似駕照考試），網路世界在這群有著資安DNA的工程師們推動之下，相信未來駭客產業將會大受打擊。

下列心得就針對第二部份常見威脅的內容，進行概略的重點整理，也方便未來回過頭來查閱。

1.注入攻擊
起因：
　程式中使用SQL語法查詢資料庫；程式中執行作業系統指令。
手法：
　利用外部可以輸入的介面或檔案上傳功能，將攻擊用的字串與檔案（WebShell）傳送到程式主機，並觸發予以攻擊
防止：
　SQL注入：唯一作法是採用參數化語句或是ORM技術。如果無法修改程式，至少要做到最小權限原則，讓程式只擁有最少的必要權限，將傷害減到最低。
　避免傳回暴露過多資訊的傳回值，例如此帳號不存在，而是採用模糊的回應，例如找不到此帳號和密碼。
　命令注入：如果無法避免支援執行作業系統指令的功能，一定要將控制字元轉義，並採用白名單限制可以被執行的命令。
　遠端程式碼執行：不要直接使用未經檢查的序列化／反序列化的資料來當輸入值，並留意伺服器軟體的漏洞，以即時修補。
　檔案上傳漏洞：最好直接將檔案放在CDN雲端服務中，將風險轉移到雲端業者。不然就確保上傳的檔案無法被執行（無執行權），並進行強制的檔案轉製（圖檔／文字檔）。

2.跨腳本攻擊（XSS）
起因：
　程式中有接受外部輸入的進入點，卻沒有將HTML控制字元轉義。
手法：
　儲存型XSS：將惡意JavaScript藉由輸入功能（例如FB、留言板），儲存到系統資料庫中。
　反射型XSS：將惡意JavaScript藉由輸入參數加在電子郵件／網頁的超連結中，誘使受害者點擊。
　DOM型XSS：將惡意JavaScript加在URL中的URI片段中，讓沒有防護JavaScript前端程式（網站本身的程式碼）誤讀並執行惡意功能。
防止：
　一律將外部輸入值進行HTML字元轉義，特別是"&'<>等控制符號。
　使用內容安全原則（CSP）HTTP回應標頭功能，可指定只允許同站台與apis.google.com的JavaScript來源（<script src="..."/>），不允許內聯（inline)的JavaScript，設定方法如下：
　Content-Security-Policy: script-src 'self' https://apis.google.com
　也可以用HTTP <meta>標題來設定，方法如下：
　<meta http-content="Content-Security-Policy" content="script-src" 'self' https://apis.google.com">
　DOM型XSS：在使用URL字串時，都要進行控制字元轉義。

3.跨站請求偽造攻擊（CSRF）
起因：
　HTTP的Cookie預設行為，是在任何請求中都會帶回指定URL同一Domain的Cookie值。
手法：
　藉由惡意超連結，讓受害者對未防護的網站執行本人未同意的操作。
防止：
　開發網站程式時要遵守REST原則，HTTP GET只用來讀取資料，不能用來新增、修改和刪除資料。
　啟動網站伺服器或軟體框架裡的防CSRF Cookie功能。
　設定Cookie為SameSite=Strict，確保同Domain的請求才能一併附帶Cookie資料
　Set-Cookie: _xsrf=5978e29d4ef434a1; SameSite=Strict;
　較寬鬆的設定是SameSite=Lax，允許GET請求可以不限定來源Domain，都會附帶Cookie資料（適用於「分享」功能），其它請求一樣限定同Domain。
　Set-Cookie: _xsrf=5978e29d4ef434a1; SameSite=Lax;
　對於敏感操作要求重複登入以驗證身份

4.攻擊身份驗證機制
起因：
　駭客直接以假身份操作網站系統
手法：
　暴力破解或暗網名單
防止：
　使用多因子身份驗證機制（MFA）
　實作安全的登出功能，將session Cookie清除

5.連線狀態劫持
起因：
　利用Cookie來保持連線狀態（session），卻沒有完善保護Cookie。
手法：
　駭客取得使用者的session id或session狀態，藉以偽裝成使用者的身份進行操作。
防止：
　竊取Cookie：將Cookie設定如下。HttpOnly能讓JavaScript無法讀取Cookie，Secure確保只能在HTTPS時傳送Cookie，SameSite=Lax能避免CSRF攻擊。
　Set-Cookie: session_id=278283910977381992837; HttpOnly; Secure; SameSite=Lax
　Session定置：一律不使用「URL改寫」來傳遞session id。
　脆弱Session ID：避免使用流水號式的Session ID設計，並留意Web伺服器在Session ID實作的漏洞公告。

6.規避權限管制
起因：
　系統在權限設計或目錄規劃上有缺失。
手法：
　駭客利用系統的缺失得以執行未經授權的操作或是取得未經授權的檔案。
防止：
　實作嚴謹的以角色為基礎的存取控制，避免任何垂直提權（執行高一級的操作）和水平提權（以他人身份執行操作）的攻擊。
　增加稽核軌跡。
　避免使用任何過於直覺的URL路徑與參數設計。例如/reports/<公司名稱>/<月份-年度>，讓駭客能猜測到合法路徑。
　確切設定Web伺服器，不允許顯示目錄內容、不允許利用相對路徑指定父目錄中的檔案。
　不要直接引用檔案，要自行維護一組暗碼代號用以連結到主機上的實體檔案。
　對任何有關指定檔案位置的外部參數，都要進行最嚴格的安全檢查。

7.資訊洩漏
起因：
　因疏失造成系統將機敏資訊呈現給外部使用者。
手法：
　針對系統進行探索式操作，以收集可用來進行後續攻擊的機敏資訊。
防止：
　不使用系統預設的回應標題（像預設的4xx、5xx頁面）。
　使用未帶程式副檔名（.php、jsp、aspx）的簡潔URL。
　Cookie的健值不要用預設值（JESSIONID）。
　不要在正式環境中顯示詳細的錯誤描述。
　壓縮或模糊化JavaScript程式。
　清理前端程式中不必要的註解和程式碼。

8.加解密機制
起因：
　未使用加密通訊協定。
手法：
　竊聽網路封包。
防止：
　一律使用HTTPS。

9.第三方元件
起因：
　使用到不安全的第三方元件。
手法：
　針對已知的元件漏洞攻擊。
防止：
　留意第三方元件安全公告，及時更新。
　保護好第三方服務的系統金鑰。

10.XML攻擊
起因：
　DTD的設計漏洞。
手法：
　藉由內聯的DTD宣告，讓系統主機資源耗盡。
　在DTD宣告外聯以下載惡意檔案。
　利用XML解析失敗時會顯示檔案內容的特性，指定主機上的機敏檔案。
防止：
　關閉DTD內聯功能。
　設定防火牆限制外聯對象。
　盡量不使用XML，非得使用時要再三確保XML解析器的安全設定已就位。

去他的飛機！我「腳踏實地」環遊世界

出國旅遊是有錢又有閒的人們低調奢華的小確幸，但要像「去他的飛機」作者史蒂芬生一樣，不依靠飛機跑地球一圈，我想沒幾個人能辨得到。身為知名的旅遊作家，走過千山萬水算是稀疏平常的例行公事。基於對環遊世界的嚮往和對航空旅行的厭惡感，某天他和伴侶蘿貝卡突發奇想，要來趟「腳踏實地」的旅程，只依靠路運和海運工具達成二萬五千哩的長征。內容可不是十八世紀的法國古典冒險小說，史蒂史生和蘿貝卡用自身的經歷與風趣幽默的口吻，為讀者們呈現二十一世紀真人版的「環遊世界八十天」，如有雷同，純屬事實。

這不是趟坐著豪華遊艇喝著免費自助餐繞地球一圈兒戲般的挑戰，出發前他倆把居所退租、家具清空，抱著破斧沉舟的決心，帶著幾件輕便的衣服和小背包，就從美國東岸費城坐著載客貨輪，一路跨越大西洋到歐洲比利時的安特衛普。做為全球貿易核心元件的海運貨櫃船，由於自動化技術的進步，航運時必要的船員數量逐步減少。船公司腦筋動得快，多出的艙房用來載客，多多少少增加點業外收入。在貨輪旅行社的協助下，作者用九天的時間在貨船上體驗一望無際的汪洋、沒有的網路訊號的「類船員」作息，直到上岸的前兩天還經歷足以令人心智失常的三天濃霧！

安特衛普是舉世聞名的鑽石交易中心，當貨輪扺達比利時後他們就順道到處遊歷。不像搭飛機般瞬移到目的地，「路遊」能讓旅客玩遍路途中的大城小鎮，這是史蒂文生再三強調的旅遊醍醐味。接著坐有著法國高速列車（TGV）車頭的塔利斯線特快列車，一路奔向德國臨近波羅的海的城市羅斯托克。採用路運和船運旅行與直接坐飛機最大的差別是班次密集度，在銜接火車和貨船（渡輪）時，總會留有大量的緩衝時間，短則數小時多則幾天，讓你走走逛逛。他倆就在等出發去芬蘭的渡輪中間，花費十五個小時在這個前東德城市觀光和隨之的漫長等待。

搭上由前東歐集團國家愛沙尼亞渡輸公司的船前往芬蘭，既便是花了一人一百二十五美金，也只換得一個比飛機經濟艙還小的位子，座椅還是放在甲板底下沒開窗的小空間。四十個位子中摻雜著哭鬧的小孩與臭氣沖天的老人，要待足足二十四小時才能達到目的地，藉由鎮定劑和酒精的幫助，史蒂文生才能在這個被他們稱作「絕望房間」裡小憩。同時間在船上的旅遊雜誌看到十年前在波羅的海發生過愛沙尼亞號渡輸船難，造成八百多人喪命，絕對是讓史帝文生在船上酒吧多點幾杯調酒的原因。

踏上芬蘭的赫爾辛基後，又馬不停蹄地乘座雙體快速渡輪扺達愛沙尼亞的塔林市，一切都為了搭上舉世聞名的西伯利亞大鐵路，它橫跨歐洲與亞洲全長六千哩，一路從西方的莫斯科開到太平洋邊的海崴。莫斯科雖然是俄羅斯的首都，但有著不淨公廁與滿地垃圾的市容，舊時俄式官僚作風依然陰魂不散地盤據在此。事不關己與俄國人獨有的冷漠聳肩和皺眉，無時無刻出現在任何俄籍服務生身上。俄國火車票分三種艙等，有私人廂房的頭等艙、有四個鋪位廂房的二等艙，以及五十四個鋪位的三等艙！如果中途完全不下車，車程總共要花六天，史蒂文生倆則是選擇中途停靠幾站，能走走看看不同的城市和小鎮。

從海參威坐俄國渡輪到日本伏山港，搭乘地鐵到東京後，先去國技館觀看日本相撲比賽，隔天利用新幹線子彈列車抵達神戶港，邁向中國天津。現代化、整潔有秩序的日本，是他們一路上待過對旅客最舒適的國家，一切是那麼的，嗯…你知道的，「日本」。史帝史生他們當然可以直接從日本橫濱港出發，搭著前往美西的豪華渡輪，就此結束一趟半調子的環球旅程。但這可不符合官方承認的世界旅行，在定義上要貨真價實的完成這個任務必須達成三件事：
１．出發和歸返點在同一地點。２．以同一個方向跨越每條經線。３．經過兩個穿過直徑的對應點。
由於地球上大部份的面積是海洋，能達成第三項的地點實在有限，因此史帝史生將標準改成至少要走兩萬五千哩（地球圓周長）。所以他們決定先向南走，以陸路走到最接近赤道的地點後再走水路向西行。

高強度建設中的北京城，讓史帝文生大開眼界，但來的不是時候，在「黃金週」時前來中國，而他們居然運氣滿點地在連假期間買到前往越南邊境南寧的夜班火車票！中國式的大通鋪臥鋪車廂，塞滿著攜家帶眷的返鄉旅客，呈現出和日本地鐵截然不同的旅途風情。從越南北起河內南到西貢這段路，他們倆令人嘆為觀止地是報名自行車團，一路騎乘整個越南國境（騎不動有保姆車），再藉助巴士與租車經過柬埔寨到達泰國曼谷。在曼谷火車停駛的情況下，歷經波折才抵達新加坡，馬不停蹄訂到前往澳洲的船票，在最後一分鐘跳上即將出港的遊輪。

從澳洲東北岸的達爾文市一路自駕橫跨整個大陸，朝向西南岸的雪梨前進，光是這段經歷就是令人嘆為觀止的挑戰。而租車公司居然只收取一天一美金的費用！原來租車公司原本得把這台蘴田奇美轎車送到雪梨，如果有遊客自願幫忙把車開到目地的，何樂而不為？別以為這趟路有多麼詩情畫意，一望無際只能看到地平線的空曂道路，沿途不見任何人煙足跡，卻充斥著性好自殺會一頭撞向保險桿的厭世袋鼠，四天旅程下來，真的是恍如隔世。最後從澳洲墨爾本回到美國東岸洛杉機的行程，相形之下就有點乏善可陳。和一群富有高齡退休的白人們，吃著千篇一律的西式自助餐配著喝不盡的各式酒精飲品，初看有如天堂的環境，待久後越來越像陪著他們慢性自殺的臨終旅程，令史帝文生夫婦不寒而慄。

「去他的飛機」全書充滿機智風趣、自然不作用的口吻，分享一段勇氣十足能誇耀一輩子的壯遊。不依賴快速便捷的航空器，一步一腳印地投入體驗各地人文風情，是真正的「旅人」之心，也讓讀者們為之嚮往。就算人生中不見得可以有機會仿照同樣的旅程，只要翻閱這本「去他的飛機」，神遊史帝文生倆過程中的點滴，也別有一番滋味。