本文目录一览：
解析如何防止XSS跨站脚本攻击
不可信数据 不可信数据通常是来自HTTP请求的数据，以URL参数、表单字段、标头或者Cookie的形式。不过从安全角度来看，来自数据库、 *** 服务器和其他来源的数据往往也是不可信的，也就是说，这些数据可能没有完全通过验证。 应该始终对不可信数据保持警惕，将其视为包含攻击，这意味着在发送不可信数据之前，应该采取措施确定没有攻击再发送。由于应用程序之间的关联不断深化，下游直译程序执行的攻击可以迅速蔓延。 传统上来看，输入验证是处理不可信数据的更好办法，然而，输入验证法并不是注入式攻击的更佳解决方案。首先，输入验证通常是在获取数据时开始执行的，而此时并不知道目的地所在。这也意味着我们并不知道在目标直译程序中哪些字符是重要的。其次，可能更加重要的是，应用程序必须允许潜在危害的字符进入，例如，是不是仅仅因为SQL认为Mr. O'Malley名字包含特殊字符他就不能在数据库中注册呢? 虽然输入验证很重要，但这始终不是解决注入攻击的完整解决方案，更好将输入攻击作为纵深防御措施，而将escaping作为首要防线。 解码(又称为Output Encoding) “Escaping”解码技术主要用于确保字符作为数据处理，而不是作为与直译程序的解析器相关的字符。有很多不同类型的解码，有时候也被成为输出“解码”。有些技术定义特殊的“escape”字符，而其他技术则包含涉及若干字符的更复杂的语法。 不要将输出解码与Unicode字符编码的概念弄混淆了，后者涉及映射Unicode字符到位序列。这种级别的编码通常是自动解码，并不能缓解攻击。但是，如果没有正确理解服务器和浏览器间的目标字符集，有可能导致与非目标字符产生通信，从而招致跨站XSS脚本攻击。这也正是为所有通信指定Unicode字符编码(字符集)(如UTF-8等)的重要所在。 Escaping是重要的工具，能够确保不可信数据不能被用来传递注入攻击。这样做并不会对解码数据造成影响，仍将正确呈现在浏览器中，解码只能阻止运行中发生的攻击。 注入攻击理论 注入攻击是这样一种攻击方式，它主要涉及破坏数据结构并通过使用特殊字符(直译程序正在使用的重要数据)转换为代码结构。XSS是一种注入攻击形式，浏览器作为直译程序，攻击被隐藏在HTML文件中。HTML一直都是代码和数据最差的mashup，因为HTML有很多可能的地方放置代码以及很多不同的有效编码。HTML是很复杂的，因为它不仅是层次结构的，而且还包含很多不同的解析器(XML、HTML、JavaScript、VBScript、CSS、URL等)。 要想真正明白注入攻击与XSS的关系，必须认真考虑HTML DOM的层次结构中的注入攻击。在HTML文件的某个位置(即开发者允许不可信数据列入DOM的位置)插入数据，主要有两种注入代码的方式： Injecting UP，上行注入 最常见的方式是关闭现有的context并开始一个新的代码context，例如，当你关闭HTML属性时使用"并开始新的 可以终止脚本块，即使该脚本块被注入脚本内 *** 调用内的引用字符，这是因为HTML解析器在JavaScript解析器之前运行。 Injecting DOWN，下行注入 另一种不太常见的执行XSS注入的方式就是，在不关闭当前context的情况下，引入一个subcontext。例如，将改为 ，并不需要躲开HTML属性context，相反只需要引入允许在src属性内写脚本的context即可。另一个例子就是CSS属性中的expression()功能，虽然你可能无法躲开引用CSS属性来进行上行注入，你可以采用x ss:expression(document.write(document.cookie))且无需离开现有context。 同样也有可能直接在现有context内进行注入，例如，可以采用不可信的输入并把它直接放入JavaScript context。这种方式比你想象的更加常用，但是根本不可能利用escaping(或者任何其他方式)保障安全。从本质上讲，如果这样做，你的应用程序只会成为攻击者将恶意代码植入浏览器的渠道。 本文介绍的规则旨在防止上行和下行XSS注入攻击。防止上行注入攻击，你必须避免那些允许你关闭现有context开始新context的字符;而防止攻击跳跃DOM层次级别，你必须避免所有可能关闭context的字符;下行注入攻击，你必须避免任何可以用来在现有context内引入新的sub-context的字符。 积极XSS防御模式 本文把HTML页面当作一个模板，模板上有很多插槽，开发者允许在这些插槽处放置不可信数据。在其他地方放置不可信数据是不允许的，这是“白名单”模式，否认所有不允许的事情。 根据浏览器解析HTML的方式的不同，每种不同类型的插槽都有不同的安全规则。当你在这些插槽处放置不可信数据时，必须采取某些措施以确保数据不会“逃离”相应插槽并闯入允许代码执行的context。从某种意义上说，这种 *** 将HTML文档当作参数化的数据库查询，数据被保存在具体文职并与escaping代码context相分离。 本文列出了最常见的插槽位置和安全放置数据的规则，基于各种不同的要求、已知的XSS载体和对流行浏览器的大量手动测试，我们保证本文提出的规则都是安全的。 定义好插槽位置，开发者们在放置任何数据前，都应该仔细分析以确保安全性。浏览器解析是非常棘手的，因为很多看起来无关紧要的字符可能起着重要作用。 为什么不能对所有不可信数据进行HTML实体编码? 可以对放入HTML文档正文的不可行数据进行HTML实体编码，如 标签内。也可以对进入属性的不可行数据进行实体编码，尤其是当属性中使用引用符号时。但是HTML实体编码并不总是有效，例如将不可信数据放入 directlyinascript insideanHTMLcomment inanattributename ...NEVERPUTUNTRUSTEDDATAHERE...href="/test"/ inatagname 更重要的是，不要接受来自不可信任来源的JavaScript代码然后运行，例如，名为“callback”的参数就包含JavaScript代码段，没有解码能够解决。 No.2 – 在向HTML元素内容插入不可信数据前对HTML解码 这条规则适用于当你想把不可信数据直接插入HTML正文某处时，这包括内部正常标签(div、p、b、td等)。大多数网站框架都有HTML解码的 *** 且能够躲开下列字符。但是，这对于其他HTML context是远远不够的，你需要部署其他规则。 ...ESCAPEUNTRUSTEDDATABEFOREPUTTINGHERE... ...ESCAPEUNTRUSTEDDATABEFOREPUTTINGHERE... 以及其他的HTML常用元素 使用HTML实体解码躲开下列字符以避免切换到任何执行内容，如脚本、样式或者事件处理程序。在这种规格中推荐使用十六进制实体，除了XML中5个重要字符(、、 、 "、 ')外，还加入了斜线符，以帮助结束HTML实体。 -- -- -- "--" '--''isnotrecommended /--/forwardslashisincludedasithelpsendanHTMLentity ESAPI参考实施 Stringsafe=ESAPI.encoder().encodeForHTML(request.getParameter("input")); No.3 – 在向HTML常见属性插入不可信数据前进行属性解码 这条规则是将不可信数据转化为典型属性值(如宽度、名称、值等)，这不能用于复杂属性(如href、src、style或者其他事件处理程序)。这是及其重要的规则，事件处理器属性(为HTML JavaScript Data Values)必须遵守该规则。 contentinsideUNquotedattribute content insidesinglequotedattribute 除了字母数字字符外，使用小于256的ASCII值HH格式(或者命名的实体)对所有数据进行解码以防止切换属性。这条规则应用广泛的原因是因为开发者常常让属性保持未引用，正确引用的属性只能使用相应的引用进行解码。未引用属性可以被很多字符破坏，包括[space] % * + , - / ; = ^ 和 |。 ESAPI参考实施 String safe = ESAPI.encoder().encodeForHTMLAttribute( request.getParameter( "input" ) ); No.4 – 在向HTML JavaScript Data Values插入不可信数据前，进行JavaScript解码 这条规则涉及在不同HTML元素上制定的JavaScript事件处理器。向这些事件处理器放置不可信数据的唯一安全位置就是“data value”。在这些小代码块放置不可信数据是相当危险的，因为很容易切换到执行环境，因此请小心使用。 insideaquotedstring onesideofanexpression insideUNquotedeventhandler insidequotedeventhandler insidequotedeventhandler 除了字母数字字符外，使用小于256的ASCII值xHH格式 对所有数据进行解码以防止将数据值切换至脚本内容或者另一属性。不要使用任何解码捷径(如" )因为引用字符可能被先运行的HTML属性解析器相匹配。如果事件处理器被引用，则需要相应的引用来解码。这条规则的广泛应用是因为开发者经常让事件处理器保持未引用。正确引用属性只能使用相应的引用来解码，未引用属性可以使用任何字符(包括[space] % * + , - / ; = ^ 和|)解码。同时，由于HTML解析器比JavaScript解析器先运行，关闭标签能够关闭脚本块，即使脚本块位于引用字符串中。 ESAPI参考实施 Stringsafe=ESAPI.encoder().encodeForJavaScript(request.getParameter("input")); No.5 – 在向HTML 样式属性值插入不可信数居前，进行CSS解码 当你想将不可信数据放入样式表或者样式标签时，可以用此规则。CSS是很强大的，可以用于许多攻击。因此，只能在属性值中使用不可信数据而不能在其他样式数据中使用。不能将不可信数据放入复杂的属性(如url,、behavior、和custom (-moz-binding))。同样，不能将不可信数据放入允许JavaScript的IE的expression属性值。 propertyvalue textpropertyvalue 除了字母数字字符外，使用小于256的ASCII值HH格式对所有数据进行解码。不要使用任何解码捷径(如" )因为引用字符可能被先运行的HTML属性解析器相匹配，防止将数据值切换至脚本内容或者另一属性。同时防止切换至expression或者其他允许脚本的属性值。如果属性被引用，将需要相应的引用进行解码，所有的属性都应该被引用。未引用属性可以使用任何字符(包括[space] % * + , - / ; = ^ 和|)解码。同时，由于HTML解析器比JavaScript解析器先运行，标签能够关闭脚本块，即使脚本块位于引用字符串中。 ESAPI参考实施 Stringsafe=ESAPI.encoder().encodeForCSS(request.getParameter("input")); No.6- 在向HTML URL属性插入不可信数据前，进行URL解码 当你想将不可信数据放入链接到其他位置的link中时需要运用此规则。这包括href和src属性。还有很多其他位置属性，不过我们建议不要在这些属性中使用不可信数据。需要注意的是在javascript中使用不可信数据的问题，不过可以使用上述的HTML JavaScript Data Value规则。 linkanormallink animagesource ascriptsource 除了字母数字字符外，使用小于256的ASCII值%HH 解码格式对所有数据进行解码。在数据中保护不可信数据：URL不能够被允许，因为没有好 *** 来通过解码来切换URL以避免攻击。所有的属性都应该被引用。未引用属性可以使用任何字符(包括[space] % * + , - / ; = ^ 和|)解码。 请注意实体编码在这方面是没用的。
linux如何设置tomcat的更大堆内存
我的服务器的配置：
# OS specific support. $var _must_ be set to either true or false.
JAVA_OPTS="-Xms1024m -Xmx4096m -Xss1024K -XX:PermSize=512m -XX:MaxPermSize=2048m"
正文：
常见的内存溢出有以下两种:
java.lang.OutOfMemoryError: PermGen space
java.lang.OutOfMemoryError: Java heap space
---------------------------------------------------------
这里以tomcat环境为例，其它WEB服务器如jboss,weblogic等是同一个道理。
一、java.lang.OutOfMemoryError: PermGen space
PermGen space的全称是Permanent Generation space,是指内存的永久保存区域,
这块内存主要是被JVM存放Class和Meta信息的,Class在被Loader时就会被放到PermGen space中,
它和存放类实例(Instance)的Heap区域不同,GC(Garbage Collection)不会在主程序运行期对
PermGen space进行清理，所以如果你的应用中有很多CLASS的话,就很可能出现PermGen space错误,
这种错误常见在web服务器对 *** P进行pre compile的时候。如果你的WEB APP下都用了大量的第三方jar, 其大小
超过了jvm默认的大小(4M)那么就会产生此错误信息了。
解决 *** ： 手动设置MaxPermSize大小
建议：将相同的第三方jar文件移置到tomcat/shared/lib目录下，这样可以达到减少jar 文档重复占用内存的目的。
二、java.lang.OutOfMemoryError: Java heap space
JVM堆的设置是指java程序运行过程中JVM可以调配使用的内存空间的设置.JVM在启动的时候会自动设置Heap size的值，
其初始空间(即-Xms)是物理内存的1/64，更大空间(-Xmx)是物理内存的1/4。可以利用JVM提供的-Xmn -Xms -Xmx等选项可
进行设置。Heap size 的大小是Young Generation 和Tenured Generaion 之和。
提示：在JVM中如果98％的时间是用于GC且可用的Heap size 不足2％的时候将抛出此异常信息。
提示：Heap Size 更大不要超过可用物理内存的80％，一般的要将-Xms和-Xmx选项设置为相同，而-Xmn为1/4的-Xmx值。
解决 *** ：手动设置Heap size
----------------------------------------------------------
Linux下修改JVM内存大小:
要添加在tomcat 的bin 下catalina.sh 里，位置cygwin=false前 。注意引号要带上,红色的为新添加的.
# OS specific support. $var _must_ be set to either true or false.
JAVA_OPTS="-Xms256m -Xmx512m -Xss1024K -XX:PermSize=128m -XX:MaxPermSize=256m"
cygwin=false
windows下修改JVM内存大小:
情况一:解压版本的Tomcat, 要通过startup.bat启动tomcat才能加载配置
要添加在tomcat 的bin 下catalina.bat 里
rem Guess CATALINA_HOME if not defined
set CURRENT_DIR=%cd%后面添加,红色的为新添加的.
set JAVA_OPTS=-Xms256m -Xmx512m -XX:PermSize=128M -XX:MaxNewSize=256m -XX:MaxPermSize=256m -Djava.awt.headless=true
情况二:安装版的Tomcat下没有catalina.bat
windows服务执行的是bin/tomcat.exe.他读取注册表中的值,而不是catalina.bat的设置.
修改注册表HKEY_LOCAL_MACHINE/SOFTWARE/Apache Software Foundation/Tomcat Service Manager/Tomcat5/Parameters/JavaOptions
原值为
-Dcatalina.home="C:/ApacheGroup/Tomcat 5.0"
-Djava.endorsed.dirs="C:/ApacheGroup/Tomcat 5.0/common/endorsed"
-Xrs
加入 -Xms300m -Xmx350m
重起tomcat服务,设置生效
---------------------------------------------------------
各参数的比例:
Xmx 与PermSize的和不可超过JVM可获得的总内存
PermSize不可大于Xmx
================
如何设置Tomcat的JVM虚拟机内存大小
可以给Java虚拟机设置使用的内存，但是如果你的选择不对的话，虚拟机不会补偿。可通过命令行的方式改变虚拟机使用内存的大小。如下表所示有两个参数用来设置虚拟机使用内存的大小。
参数
描述
-Xms
JVM初始化堆的大小
-Xmx
JVM堆的更大值
这 两个值的大小一般根据需要进行设置。初始化堆的大小执行了虚拟机在启动时向系统申请的内存的大小。一般而言，这个参数不重要。但是有的应用程序在大负载的 情况下会急剧地占用更多的内存，此时这个参数就是显得非常重要，如果虚拟机启动时设置使用的内存比较小而在这种情况下有许多对象进行初始化，虚拟机就必须 重复地增加内存来满足使用。由于这种原因，我们一般把-Xms和-Xmx设为一样大，而堆的更大值受限于系统使用的物理内存。一般使用数据量较大的应用程 序会使用持久对象，内存使用有可能迅速地增长。当应用程序需要的内存超出堆的更大值时虚拟机就会提示内存溢出，并且导致应用服务崩溃。因此一般建议堆的最 大值设置为可用内存的更大值的80%。
Tomcat默认可以使用的内存为128MB，在较大型的应用项目中，这点内存是不够的，需要调大。
Windows下，在文件/bin/catalina.bat，Unix下，在文件/bin/catalina.sh的前面，增加如下设置：
JAVA_OPTS='-Xms【初始化内存大小】 -Xmx【可以使用的更大内存】'
需要把这个两个参数值调大。例如：
JAVA_OPTS='-Xms256m -Xmx512m'
表示初始化内存为256MB，可以使用的更大内存为512MB。
另 外需要考虑的是Java提供的垃圾回收机制。虚拟机的堆大小决定了虚拟机花费在收集垃圾上的时间和频度。收集垃圾可以接受的速度与应用有关，应该通过分析 实际的垃圾收集的时间和频率来调整。如果堆的大小很大，那么完全垃圾收集就会很慢，但是频度会降低。如果你把堆的大小和内存的需要一致，完全收集就很快， 但是会更加频繁。调整堆大小的的目的是最小化垃圾收集的时间，以在特定的时间内更大化处理客户的请求。在基准测试的时候，为保证更好的性能，要把堆的大小 设大，保证垃圾收集不在整个基准测试的过程中出现。
如果系统花费很多的时间收集垃圾，请减小堆大小。一次完全的垃圾收集应该不超过 3-5 秒。如果垃圾收集成为瓶颈，那么需要指定代的大小，检查垃圾收集的详细输出，研究 垃圾收集参数对性能的影响。一般说来，你应该使用物理内存的 80% 作为堆大小。当增加处理器时，记得增加内存，因为分配可以并行进行，而垃圾收集不是并行的。
Tomcat 5常用优化和配置
1、JDK内存优化：
Tomcat默认可以使用的内存为128MB,Windows下,在文件{tomcat_home}/bin/catalina.bat，Unix下，在文件{tomcat_home}/bin/catalina.sh的前面，增加如下设置：
JAVA_OPTS='-Xms[初始化内存大小] -Xmx[可以使用的更大内存]
一般说来，你应该使用物理内存的 80% 作为堆大小。
2、连接器优化：
在tomcat配置文件server.xml中的配置中，和连接数相关的参数有：
maxThreads：
Tomcat使用线程来处理接收的每个请求。这个值表示Tomcat可创建的更大的线程数。默认值150。
acceptCount：
指定当所有可以使用的处理请求的线程数都被使用时，可以放到处理队列中的请求数，超过这个数的请求将不予处理。默认值10。
minSpareThreads：
Tomcat初始化时创建的线程数。默认值25。
maxSpareThreads：
一旦创建的线程超过这个值，Tomcat就会关闭不再需要的socket线程。默认值75。
enableLookups：
是否反查域名，默认值为true。为了提高处理能力，应设置为false
connnectionTimeout：
*** 连接超时，默认值60000，单位：毫秒。设置为0表示永不超时，这样设置有隐患的。通常可设置为30000毫秒。
maxKeepAliveRequests：
保持请求数量，默认值100。
bufferSize：
输入流缓冲大小，默认值2048 bytes。
compression：
压缩传输，取值on/off/force，默认值off。
其中和更大连接数相关的参数为maxThreads和acceptCount。如果要加大并发连接数，应同时加大这两个参数。web server允许的更大连接数还受制于*作系统的内核参数设置，通常Windows是2000个左右，Linux是1000个左右。
3、tomcat中如何禁止和允许列目录下的文件
在{tomcat_home}/conf/web.xml中，把listings参数设置成false即可，如下：
servlet
...
init-param
param-namelistings/param-name
param-valuefalse/param-value
/init-param
...
/servlet
4、tomcat中如何禁止和允许主机或IP地址访问
Host name="localhost" ...
...
Valve className="org.apache.catalina.valves.RemoteHostValve"
allow="*.mycompany.com,"/
Valve className="org.apache.catalina.valves.RemoteAddrValve"
deny="192.168.1.*"/
...
/Host
服务器的配置
JAVA_OPTS='-server -Xms512m -Xmx768m -XX:NewSize=128m -XX:MaxNewSize=192m -XX:SurvivorRatio=8'
////////////////////////////////
////////Sixi. Let it be.../////
//////////////////////////////
如何让eclipse启动更快
可以参考如下几个提升eclipse启动速度的技巧：
技巧一：运行最新版本的JDK和Eclipse
通常，新版本的JDK和Eclipse都会有性能上的优化。请确保你使用的是64位Eclipse并且使用了Oracle的JDK。对于 *** 开发，需要使用Eclipse for Java EE而不是Eclipse for Java。
技巧二：调整Eclipse的Preferences
General Startup and Shutdown : 移除所有在启动时加载的插件。
General Editors Text Editors Spelling : 关闭拼写检查。
General Validation 勾选“Suspend all validator”。
Window Customize Perspective 移除所有用不到或不想用的内容（尽量使用快捷键），菜单栏也是如此（你用过几次菜单栏的打印按钮？）。
Install/Update Automatic Updates 取消勾选“Automatically find new updates and notify me”。
General Appearance 取消勾选“Enable Animations”。
使用默认的主题。其他主题可能会降低运行速度。
我自己还关闭了自动提示，这样在输入代码时不会拖累我。替代方案是使用Ctrl+Space在需要的使用手动提示。可以通过下面的配置来完成：（译者注：Ctrl+Space？中国人不会答应的）。
Java Editor Content Assist 禁用“Enable Auto Activation”。在Advanced中移除所有不需要的内容（在Eclipse 4.2.2中没找到）。
技巧三：将JDK放在内存盘（RAM Disk）上
内存盘是将计算机内存的作为虚拟磁盘或硬盘使用。用来加速位于其中的软件的IO性能。内存中创建的RAM盘就像是计算机上的一块硬盘。由于这些内存当作硬盘使用，所以其他程序就不能使用这些内存空间。我们只是将JDK放到那里，300MB就足够了。
警告：不要将任何内容永久性的放到内存盘中，每次重启时，里面的内容都会消失并重新创建。
对于Linux用户：
这个链接中有详细的描述。
对于Mac用户：
使用diskutil工具创建内存盘
1. 创建一个新的脚本，例如：~/tools/batch/ramdisk.sh
将其中的x、y、z替换为你的JDK版本：
#!/bin/bash
diskutil erasevolume HFS+ 'JDK RAMDISK' `hdiutil attach -nomount ram://614400`
cp -r /Library/Java/JavaVirtualMachines/jdk1.x.y_z.jdk /Volumes/JDKRAMDISK
（注意：diskutil期望的参数是512字节扇区的整数倍：对于300MB，应该是300 * 1024 ^ 2 / 512 = 614400）
2. 保存脚本，将其改为可执行模式：
chmod 755 ~/tools/batch/ramdisk.sh
运行ramdisk.sh将创建内存盘：
$ ramdisk.sh
Started erase on disk4
Unmounting disk
Erasing
Initialized /dev/rdisk4 as a 300 MB case-insensitive HFS Plus volume
Mounting disk
Finished erase on disk4 JDKRAMDISK
现在用Finder应该能发现一个名为JDKRAMDISK的新设备，其中含有的就是JDK。点击“弹出”按钮可以移除RAM Disk并释放相应的内存。
如果想使用这个技巧，那么每次启动Eclipse都需要有这个内存盘，不然会看到“A Java Runtime … must be available in order to run Eclipse”错误。可以配置系统，用Automator或一个unchtl守护程序确保每次启动时会自动执行ramdisk.sh脚本。
对于Windows用户：
1. 下载并安装名为imdisk的工具
2. 创建一个新的批处理文件，如：C:/tools/batch/ramdisk.bat
将其中的x、y、z替换为你的JDK版本号：
@echo Placing JDK on Virtual Disk N:/
@echo off
sc config imdisk start= auto
net start imdisk
imdisk -a -t vm -s 300m -m n:
format n: /q /Y
call xcopy C:path_jdkjdk1.x.y_z N:jdk1.x.y_z /S /E /Y /Q
label n: JDK RAMDISK
运行ramdisk.bat后，将看到创建了一个名为“JDK RAMDISK”的新磁盘N，其中含有的就是JDK。
3. 确保文件以管理员模式运行。右击文件，选择“属性——兼容性——勾选“以管理员身份运行此程序”。
如果想使用这个技巧，那么每次启动Eclipse都需要有这个内存盘，不然会看到“A Java Runtime … must be available in order to run Eclipse”错误。可以配置系统，将ramdisk.bat脚本放到启动文件夹中。
为了让技巧3能够工作，需要在eclipse.ini文件中添加-vm设置（详见下一节）。
技巧四：调整你的eclipse.ini
在Eclipse的优化中，这是最令人困惑的地方。网上有海量的文章介绍不同的配置方案。我只是介绍我自己的配置方案。
找到你的eclipse.ini文件：
Windows/Linux：位于$ECLIPSE_HOME（译者注：$ECLIPSE_HOME是Eclipse的路径，这里假设Linux下也是自行安装，而不是通过源安装）
MacOS：位于$ECLIPSE_HOME/Eclipse.app/Contents/MacOS
明白接下来的工作的含义……
eclipse.ini中有两种类型的属性：与Eclipse应用相关的属性；与JVM相关的属性。这些选项具体取决于JDK和Eclipse的版本。下面的是我在网上找到的最新的列表。
要理解这些属性，首先要了解Oracle JVM的内存布局。一般来说，JVM内存分成几个内存池，对象根据不同存在时间位于不同的内存池中。
Eden空间（堆）是用于许多刚创建的对象。垃圾收集器每趟一般都是在这里处理”新代的“对象，并移除所有不再使用的对象。
Survivor空间（堆）含有那些在Eden空间中GC两三趟都没有销毁的对象。这些对象依然属于新生代，但将其移动到更安全的地方，被收集的风险大大降低。垃圾收集器在这里运行的频率要低很多（GC根据以往的经验来判断这里的对象都是经常使用的）。
Tenured空间（堆）含有在Survior空间存活相当一段时间的对象。
永生代（非堆）含有JVM的元数据，如类属性、 *** 、枚举等。由于这些数据可以在多个JVM间共享。所以永生代分只读和读写两个区域。
代码缓存（非堆）提供了用于编译并存储代码的内存空间。
如果你对此感兴趣，Oracle含有一篇很不错的关于配置垃圾收集的文章，其中详细介绍了所有这些空间的用途。
在eclipse.ini中，可以控制每个内存池的大小。下面的配置是针对我的16G内存设定的，但也可用于8G的内存。
使用位于RAM Disk中的JDK（使用在步骤三中的版本号）：
-vm /Volumes/JDKRAMDISK/jdk1.x.y_z.jdk/Contents/Home/
-vm N:/jdk1.x.y_z/bin
禁用字节码验证（有风险）
这是跳过了class文件的验证（class文件的验证的信息参见这里），意味着JVM不会检测使用的class文件。如果使用的class文件被修改过，会有安全风险。自己承担风险（我仅仅是玩的时候用，不会在工作中启用这个选项）。
打开编译器性能优化
-XX:+AggressiveOpts
增加永生代空间（分配新对象的地方）（译者注：在JDK 8中，取消了永生代）
-XX:PermSize=512m
-XX:MaxPermSize=512m
增加最小更大堆的空间（含有新生代和年老代）
-Xms2048m
-Xmx2048m
为新生代增加堆的大小
-Xmn512m
为每个线程设置栈大小
-Xss2m
调整垃圾收集
-XX:+UseParallelOldGC
最后，这里列出其他可能在网上看到的选项。就我个人而言，这些选项都没有加速效果，所以仅仅是用来参考。读者可以在网上找到相应的文档，来了解并使用对应的选项：
-XX:MaxGCPauseMillis=10
-XX:+UseG1GC
-XX:CompileThreshold=5
-XX:MaxGCPauseMillis=10
-XX:MaxHeapFreeRatio=70
-XX:+CMSIncrementalPacing
-XX:+UseFastAccessorMethods
-server
最后，移除所有重复的选项，包括launcher.XXMaxPermSize，因为启用了XX:MaxPermSize选项后，这个选项就没用了。
技巧五：关闭杀毒软件
如果有杀毒软件，要确保这些软件不会检查代码文件夹。将JDK、Eclipse、你的.m2/jar代码库和代码文件夹添加到杀毒软件的白名单。
技巧六：不要在Eclipse中运行SVN和GIT
这是个人偏好。有些人喜欢将Eclipse与团队协同工具结合起来。就我个人而言，这样速度很慢，我宁愿Eclipse专注于开发工作，而不是同时做许多事。我还非常喜欢SVN/GIT命令行。不管怎么说，我把这些工具从Eclipse中移除，发现响应速度更快了。
技巧七：使用键盘
Eclipse的一个有点是其中含有大量快捷键。读者可以自行设置相关快捷键。一般我会重新设置调试键，这样就和Visual Studio Chrome Dev Env的行为相同了。花点时间去学习快捷键。用的快捷键越多，使用Eclipse的体验就越快。
这里不会深入介绍快捷键，读者可以很容易的在网上找到相关资料。下面列出一些必备的快捷键：
Ctrl+Shift+R : jump to resource
Ctrl+Shift+T : jump to class
Ctrl+. : jump to next error
Ctrl+Shift+G : search for references
Ctrl+Shift+P : select matching bracket
Alt+Arrows : go forward / backwards
Ctrl+Space : autocomplete
Ctrl+Shift+F : format source
Ctrl+Shift+O : organize imports
Ctrl+D : delete line
哪里有比较好的 *** 相册？
（接受的格式 图片JPG,GIF,PNG, 还有FLASH动画的SWF，单一文件大小限制1024KB）
这个网站也可以接受注册成为会员，这样就有相册。
（文件格式只能为jpg、jpeg、gif和png格式，且文件不能超过650KB）
（文件格式只能为jpg、jpeg、gif和swf格式，且文件不能超过1MB）
（文件格式只能为jpg、bmp、gif和png格式，对文件大小好像没有限制，不过超过250KB的会被自动缩小）
（文件格式只能为jpg、jpeg、gif和png式，且文件不能超过1MB。这个空间也可以注册使用，对每个人的限制为100MB）
（文件格式可以为jpg、jpeg、gif、bmp、png和swf格式，但文件不能超过1MB）
（max. size: 4 MB ）
（max. size: 2MB ）
还有MSN的Space 贴图也不错 批量上传
也可以打开MSN7.0后点你名字的那个地方找到[添加到我的个人空间]
富图网
注册：需要注册！
介绍：无限空间，支持论坛帖图，图片1M！用来帖漫画很不错的！
*** ：选取图片——编辑——生成UBB代码
（呵呵~很方便吧！直接支持论坛帖图的相册）
现在发一些上传系统给大家，但漫画传到这里不能保证稳定和半年后能不能看哦
1.古城茶秀
注册：不需要注册！
介绍：文件的扩展名为jpg、gif、swf中的一种,文件质量小于500k
2.漫网专用图片上传区
注册：不需要注册！
介绍：以前很多人用的，后来这个不能用！现在又恢复上传！不能保证长时间保存
3.163相册
注册：需要注册！
介绍：容量无限，而且速度快、稳定！建议把漫画上传到这里！再发网址过来！不能外连
4.图图吧
注册：需要注册！
介绍：JPG,GIF,PNG格式文件都可，单幅图片限制250K
可以外连，但人多的时候也会看不到的！容量无限哦~
5.中国相册
注册：需要注册！（邮箱发密码）
介绍：100MB免费相册空间，相册连续6个月不使用，将删除！速度就一般
直接使用
6.dudu相册
注册：需要注册！
介绍：20MB免费相册空间.现在扩容中....
可以批量上传的^^!!(更大10Mb)
7.21cn相册
注册：需要注册！
介绍：8/10MB免费相册空间.(好像是8mb,不记得了，反正都是这个数字!!!)
如果你有21cn邮箱，那就不要浪费 *** 资源.....不用也是给你的!!
8.photobucket Albums
注册:需要申请!
每人只可以申请一个....不过只要ip与邮箱地址不同就可以申请了~~~明白我的意思吗??
--------对英文不熟悉可以找我，因为申请后要确认才可以使用....
介绍:我也不知道容量是多少，可以上传2,500张图片...(速度超快....)
一次过可以上传19张图片....
演示:
中文 *** 个人相册(按首字母排列)
21CN个人影集：
ttp://photo.21cn.com/
北方网10M免费电子相册：
碧聊 *** 相册：
福建热线网上冲印店：
公众信息网电子相册：
广州视窗电子相册：
快图美：
快乐海岸 *** 相册：
*** COS *** 相册：
漫网专用图片上传区：
Mushroom Grass：
PhotoStation(EPSON趣照乐园)：
三星摄影专业门户网站：
SonicAlbum电子相册：
搜狐动漫频道：
天津热线电子相册：
TOM相册：
网城在线相册：
UMAXOL：
网易相册：
微软MSN相册：
新浪相册：
Yahoo!相册：
易拍网数码冲印：
忆美网：
银箭彩色-网路冲洗：
章鱼网：
英文 *** 个人相册
HKNet：
Kodak：
PBase Photo Database：
PhotoIsland：
Sony ImageStation：
Streamload：