中文网站站长博客 [ZH-CN]: 五月 2011

中文网站站长博客。

Google中文网站站长博客为广大站长提供关于Google网页抓取、收录、搜索引擎优化以及其他相关的站长资讯。

即时预览（Instant Previews）中的Flash支持

2011年5月26日星期四

发表者：Raj Krishnan，产品经理原文：Flash support in Instant Previews通过即时预览（Instant Previews），用户可以在点击搜索结果之前就能看到其快照。自该功能于去年十一月推出之后，我们已经做了大量改进，如果您是网站站长，那么现在对您来说最为有用的一点就是即时预览已经可以支持Flash显示。

带有丰富显示内容的即时预览
在大多数情况下，页面预览通过我们的常规抓取来产生，如今我们将能够显示页面上任意Flash组件的快照。这将取代此前出现的用于指示Flash组件的“拼图块”图标，并且能够提高预览的准确性。

然而，对于用户代理 Google 网页预览要求而抓取的页面，我们将生成不带有Flash的预览，以最小化延迟时间。在这种情况下，预览将显示为仿若有人通过不支持Flash的浏览器来访问页面，并且预览中可能出现“安装Flash”的消息，这是否出现取决于您的网站如何处理不支持Flash的用户浏览器。

为了改进对这些响应式显示的预览，下面提供一些在您网站上使用Flash的指导：
• 确保您的网站为使用不支持Flash显示的浏览器用户提供舒适、无缝的访问体验。这涉及到需要为那些无法观看Flash用户创建基于Flash内容的HTML等值内容。这将有助于提供一个良好的网站体验,并改进网站预览,使您网站的访问者感到轻松愉快。
• 如果Flash组件正在渲染但是显示为正在加载屏幕而非实质内容，那么试试为该组件减少加载时间。这很可能使我们可以更准确地显示。
• 如果您的网站上有Flash视频，那么请考虑提交一个视频网站地图，它将帮助我们在即时预览中为您的视频生成缩微图。
• 如果大部分页面都正确渲染，但是您仍然能看到某些小型组件显示为拼图块，那么这些问题将在今后对您页面的抓取中进行修复。
如果您还有其他问题，请随时在我们的网站站长帮助论坛上发帖询问。

一如既往地，在我们继续对即时预览进行改进的同时，我们将随时告知您最新进展。

Google

站长的网站安全保护

2011年5月19日星期四

发表者:Gary Illyes，Webmaster趋势分析师(Trends Analyst)原文: Website Security for Webmasters用户们都被教育通过安装复杂的杀毒软件来保护自己免受恶意程序的侵扰，但是通常他们还可能将私人信息委托给您这样的网站，这时保护他们的数据就变得十分重要。而保护您自己的数据也非常关键；如果您有一个在线商店，您可不希望它遭到洗劫。多年来，公司和网站站长们认识到——通常是在经过艰难的体验后——网络应用程序安全并非儿戏；我们曾见证过由于SQL注入攻击而使用户密码泄漏、通过跨站脚本XSS使cookie失窃，以及由于输入验证的疏忽而使网站被黑客控制。现在我们将向您展示一些例证，说明如何充分利用网络应用程序从而学到一些方法；为此我们将使用Gruyere，这是一款我们用来进行内部安全训练的、专门设置的应用程序。请不要在未经允许的情况下探测他人的网站寻求漏洞，因为这可能被认为是黑客攻击；但是欢迎——不，是鼓励您——在Gruyere上进行相应的测试。
客户状态控制 – 如果我修改URL将会发生什么？假设您有一个图片主机站点并且您使用PHP script来显示用户上传的图片：http://www.example.com/showimage.php?imgloc=/garyillyes/kitten.jpg如果我将URL修改成这样并且userpasswords.txt是一个实际的文件，那么该应用程序将会怎么做？http://www.example.com/showimage.php?imgloc=/../../userpasswords.txt我会取得userpasswords.txt的内容吗？客户状态控制的另一个例证是当表单域无效时。例如，假设您有这样的表单：

看起来提交人的用户名存储在一个隐藏的输入域。这样就太好了！这是否意味着如果将那个域的值修改为另一个用户名，我就能作为该用户提交表单了呢？这种情况很可能会发生；用户输入显然没有获得证明，例如一个能够在服务器上核实的令牌。请想象这样一种情况，如果那份表单是您购物车的一部分，而我将一件1000美元的商品价格修改成了1美元，之后提交订单。保护您的应用程序免受此类攻击的侵扰并非易事；请参看Gruyere的第三部分，学习几条如何保护您应用程序的小技巧。跨站脚本（XSS）- 用户输入无法被信任

一个简单、无害的URL:http://google-gruyere.appspot.com/611788451095/%3Cscript%3Ealert('0wn3d')%3C/script%3E但它真的是无害的吗？如果我将百分比编码字符解码，我将得到：与很多带有自定义错误页面的网站一样，Gruyere专门包含了HTML页面中的路径组件。这可以引起安全错误，例如XSS，因为它将用户输入直接引入到了网络应用程序的已渲染HTML页面。您可能会说，“这只是个警告框，又能怎么样？”问题是，如果我能引入一个警告框，我就很可能也能引入其他东西，并且可能盗取能够用来以您的身份登入您网站的cookie。另一例证是当储存的用户输入未经审查时。假设我在您的博客上写下一条评论；评论很简单：如果其他用户点击我的无害链接，我就有了他们的cookie：

在Gruyere的第二部分，您可以学习如何在您自己的网络应用程序中寻找XSS漏洞以及如何修复它们；或者，如果您是一位高级开发者，那就请参看我们在在线安全博客上发表的关于模板系统中的自动转义功能博文。跨站伪造请求（XSRF）- 我是否应该信任来自evil.com的请求？哎呀，一个断开的图片。这不会构成危险——毕竟它断开了——这意味着该图片的URL返回了一个404或仅仅是格式错误。那么所有情况下都如此吗？

不，绝非如此！您可以指定任何URL作为图片源，不论其内容类型。它可以是一个HTML页面、一个JavaScript文件，或某些其他潜在的恶意源。在这种情况下，图片源就是一个简单页面的URL：

该页面仅在我登录并且设置了某些cookie时起作用。由于我实际登录了应用程序，因此当浏览器试图通过进入图片源URL获取图片时，它同时删除了我的首个片断。这听起来不是很危险，但是如果我对应用程序有一点熟悉，我还可以请求一个能够删除用户信息或使管理员为其他用户授予权限的URL。为了保护您的应用程序免遭XSRF的侵害，您不应当允许通过GET来要求更改状态的活动；POST方法的发明就是为了应对此种状态更改请求。这一更改本身可能能够减轻以上的攻击，但是通常这并不够，您还需要在所有状态更改请求中包含一个不可预测的值来防范XSRF。如果您希望了解更多有关XSRF的知识，请查询Gruyere。跨站脚本包含（XSSI）- 您所有的脚本都是我们的现在很多网站都能通过可以返回JSON数据的异步JavaScript请求动态更新页面内容。有时，JSON能够包含敏感数据，而如果没有正确的预防措施，那么很可能攻击者就能盗取此敏感信息。让我们想象一下以下的情境：我创建了一个标准HTML页面并给您发送了链接；由于您很信任我，您就访问了我发送的链接。该页面仅包括几行内容：<script>function _feed(s) {alert("Your private snippet is: " + s['private_snippet']);}</script><script src="http://google-gruyere.appspot.com/611788451095/feed.gtl"></script>由于您登入到了Gruyere并且您有一个私人片断，您将在我的页面看到一个警告框，告知您有关您片断的内容。如往常一样，如果我设法启动一个警告框，我就能为所欲为；在这里，它仅是一个简单的片断，但是它也很可能是您最大的秘密。防御您的应用程序不受XSSI的危害并不十分困难，但仍然需要谨慎的思考。您可以使用XSRF部分所解释的令牌、将您的脚本设置为仅回应POST请求，或简单地开启带有‘\n’的JSON响应以确保脚本无法执行。SQL注入 – 仍然认为用户输入很安全吗？如果我试图使用如下的用户名登入您的应用程序，将会发生什么？无名氏’; 删除表成员;--（JohnDoe’; DROP TABLE members;--）虽然这个具体的例证不会暴露用户数据，但由于它可能将您应用程序储存有成员信息在其上的SQL表完全移除，因此还是能造成很大的问题。通常，您可以通过主动思考和输入确认来保护您的应用程序免受SQL注入的侵害。首先，您是否能确认SQL用户需要拥有许可来执行“DROP TABLE members”吗？仅授予选择权限不是足够了吗？通过谨慎设置SQL用户的许可，您可以避免遭受痛苦的困扰和大量的麻烦。您还可以以另外一种方式配置错误报告，这样如果查询失败，则数据库和它的表的名字将不会遭到暴露。第二，正如我们在XSS情形中所了解到的，永远都不要信任用户输入：对您来说看起来像是登陆表格的，对攻击者来说就是一个潜在的入口。对于即将储存在数据库中的输入，永远要进行审查和确认，并且在任何可能的情况下，要利用在大多数数据库编程接口都能获取的、被称为有准备的或被参数化的声明。了解网络应用程序如何得到利用是理解如何保护它们的第一步。因此，我们鼓励您参加Gruyere课程、参加其他来自Google编程学院的网络安全课程，并且，如果您正需要一款自动的网络应用程序安全测试工具的话，不妨试试skipfish。如果您还有其他问题，请在我们的网站站长帮助论坛发帖提出。

Google

404会损害我的网站吗？

2011年5月11日星期三

发表者：Susan Moskwa，Webmaster趋势分析师(Trends Analyst)原文：Does 404s hurt my site?
您坐在电脑前，关注着自己的工作，使用网站站长工具欣赏着自己的网站是多么的了不起……可是，等等！抓取错误页面满是"404 找不到"错误！出现这样的情况时，是否灾难就此来临？？

请不要担心，年轻的朋友们。让我们一起来了解一下404，看看它们是如何影响您的网站的（或者不会造成影响）：
问：网站站长工具中报告的404错误会影响我的网站排名吗？答：404是网络中一个极其正常的组成部分；互联网总是在不断变化，新的内容诞生，旧的内容消失，而当旧内容消失的时候，它（在理想状况下）会返回一个404 HTTP响应代码。搜索引擎会察觉到这点；正如您在上图中所看到的，我们在自己的网站上也有404错误，并且整个网络上都存在。事实上，我们建议，当您在网站上去掉一个页面的时候，您最好确保它返回一个适当的404或410响应代码（而不是“软 404”）。请记住，为了让我们的网络爬虫能够看到一个URL的HTTP响应代码，它就必须能够抓取那个URL——如果该URL被您的robots.txt文件所阻挡，那么我们将无法抓取并看到它的响应代码。如果您网站上的某些URL不复存在 ,返回404，并不会影响您网站的其他URL（这些URL会返回200 (成功)）在我们搜索结果中的表现。
问：这么说404一点都不会影响我的网站吗？答：如果您网站上的某些URL出现了404，这一现象本身并不会损害到您或对您在谷歌的搜索结果造成负面影响。然而，在某些情况下可能出现其他原因而让您希望解决某些类型的404。例如，如果有些出现了404的页面是您十分在意的，您就应该看看为什么我们在抓取它们的时候会看到404! 如果您发现了一个合法URL的拼写错误（www.example.com/awsome而非www.example.com/awesome），那么很有可能是有人想要链接到您的页面而仅是犯了个打字错误。这时可以不返回404，您可以将拼写错误的URL 301重新指向至正确的URL，并捕捉来自该链接的有意通信。并且，当用户确实登陆至您网站的一个404页面时，您还可以确保您帮助用户找到他们所要寻找的内容，而不是仅仅是显示“404 找不到该页面”。
问：请再介绍一些“软 404”的有关内容。答：软 404是指网络服务器对于一个不存在的URL返回的除404（或410）之外的响应代码。一个常见的例子就是当一位网站所有者希望为其用户返回一个带有有用信息的漂亮404页面，并认为为了向用户提供该内容他就必须返回一个200响应代码。其实并非如此！您可以返回一个404响应代码而同时向用户提供您希望的任何内容。另一个例子就是网站将所有未知的URL重新指向至其首页，而非返回404。这两种情况都可能为我们对您网站的理解和索引造成负面影响，因此我们建议应确保您的服务器针对不存在的内容返回合适的响应代码。请记住，仅仅因为页面显示“404 找不到该页面”并不代表它确实返回了404 HTTP响应代码——请使用网站站长工具中的像Googlebot一样抓取功能再次确认。如果您不了解如何配置服务器从而返回正确的响应代码，则请查看您的网络主机帮助文件。
问：我如何知道一个URL应该返回404、301还是410？答：当您从网站上移除一个页面时，请考虑一下该内容是将被移动到其他地方，或者您不再打算在网站上再显示该类内容。如果您要将此内容移动到一个新的URL，那么您应该将旧的URL301重新指向至新的URL——这样当用户连接至旧的URL寻找该内容时，他们就能被自动重新指向至与他们寻找的内容有关的页面。如果您打算完全删掉该类内容，并且不再在网站上提供能够满足相同用户需求的内容，那么旧的URL应该返回一个404或410。目前，Google将410（已删除）与404（找不到该页面）同等对待，因此您返回404还是410对我们来说并不重要。
问：我的大部分404都是从未在我的网站上存在过的奇怪URL。这是怎么回事？它们是从哪里来的？答：如果Google在网络的某个地方找到一个指向您的域上的URL的链接，则它可能试图抓取该链接，不论内容是否实际存在；而当这种情况发生时，如果找到不该内容，则您的服务器应该返回一个404。这些链接可能由以下原因造成，如某些人在链接至您网站时出现的打字错误、某些类型的错误配置（如果链接是自动生成的，例如由CMS自动生成），或由于Google在识别并抓取嵌入在JavaScript的链接或其他嵌入内容时造成；再或者，它们可能是我们了解您的服务器如何处理未知URL时所做的快速检查的一部分，等等。如果您在网站站长工具看到针对您网站上不存在的URL报告的404，您可以放心地忽略它们。我们不知道哪些URL对您来说是重要的，而哪些应该返回404，因此我们会向您显示所有在您网站上找到的404，并且如果需要的话，让您来决定哪些应该引起您的注意。
问：有人抄袭了我的网站并且造成了很多404。它们都是附带有其他代码的“真正的”URL，例如http://www.example.com/images/kittens.jpg" width="100" height="300" alt="kittens"/></a...这样会损害我的网站吗?

答：通常情况下，您不必担心类似这样的“断开的链接”会损害您的网站。我们知道，网站所有者对抄袭他们网站或以奇怪方式链接至网站的人几乎无能为力。如果您是regex的能手，那么您可以考虑根据此处的说明将这些URL重新指向，但是通常这一情况无需您担心。请记住，当您认为有人正在从您的网站盗取原始内容时，您还可以提交从Google删除内容的申请。

问：上周我修复了网站站长工具报告的所有404，但是它们仍然在我的账户里有所显示。这是说我没有正确的修复它们吗？它们多长时间才能够消失？

答：请查看抓取错误页面的“上次检测到此错误的时间”一栏——这是我们检测到每个错误的最近的日期。如果该栏中的日期在您修复错误之前，这就意味着自该日期起我们还未遇到这些错误。如果这些日期距离较近，则说明我们在抓取时还在继续遇到这些404。

实施修复之后，您可以通过使用像Googlebot一样抓取检查一下我们的网络爬虫是否能够看到新的响应代码。利用几个URL进行测试，如果没有问题，则这些错误应该不久就将开始从您的抓取错误列表中消失了。

问：我是否能够使用Google的URL移除工具使404错误从我的账户中更快地消失？

答：不可以；URL移除工具是用来从Google的搜索结果而不是您的Webmaster Tools账户中移除URL的。该工具仅用于紧急的移除请求，并且如一个URL已经返回404则并没有必要使用此工具，就其本身而言，URL将随着时间的推移退出我们的搜索结果。请关注我们的博客文章的下半部分，了解URL移除工具能够为您提供的功能的详细信息。

还想了解更多有关404的信息？请查阅我们博客的404 代码专题周，或访问我们的网站站长帮助论坛。

Google

用于网站站长工具验证的WordPress插件

2011年5月4日星期三

发布者:软件工程师Kevin Marshall
原文:WordPress plugin for Webmaster Tools Verification

现在，拥有WordPress博客的网站站长可以使用网站站长工具的WordPress 插件实现全自动化的验证流程！您可以直接从WordPress博客自带的“安装插件”控制面板中直接安装，也可以从WordPress 插件站点下载压缩文件进行安装。该插件只能用于自托管的WordPress博客，而不能安装在wordpress.com托管的博客上。

在Webmaster Tools中验证站点所有权之后，您便可以接收Google直接发送的关于站点的特定数据统计和信息（例如相关的搜索查询、恶意软件警告等）。有关其他类型站点验证的最新消息，请查看最近的博文“快速通过安检”。

Google

博客归档

2020
- 十一月
- 九月
- 八月
- 七月
- 六月
- 五月
- 四月
- 三月
- 二月
- 一月

2019
- 十一月
- 十月
- 九月

2018
- 七月
- 五月
- 二月
- 一月

2017
- 十二月
- 十一月
- 六月
- 四月
- 三月

2016
- 十二月
- 十一月
- 十月
- 九月
- 八月
- 五月
- 三月
- 一月

2015
- 十二月
- 十一月
- 十月
- 九月
- 八月
- 七月
- 五月
- 四月
- 三月
- 二月
- 一月

2014
- 十一月
- 九月
- 八月
- 七月
- 六月
- 五月
- 四月
- 三月
- 二月
- 一月

2013
- 十二月
- 十一月
- 九月
- 八月
- 七月
- 六月
- 五月
- 四月
- 三月
- 二月
- 一月

2012
- 十二月
- 十一月
- 十月
- 九月
- 八月
- 七月
- 六月
- 五月
- 四月
- 三月
- 二月
- 一月

2011
- 十二月
- 十一月
- 十月
- 九月
- 八月
- 七月
- 六月
- 五月
- 四月
- 三月
- 二月
- 一月

2010
- 十二月
- 十一月
- 十月
- 九月
- 八月
- 七月
- 六月
- 五月
- 四月
- 三月
- 二月
- 一月

2009
- 十二月
- 十一月
- 十月
- 九月
- 八月
- 七月
- 六月
- 五月
- 四月
- 三月
- 二月
- 一月

2008
- 十二月
- 十一月
- 十月
- 九月
- 八月
- 七月
- 六月
- 五月
- 四月
- 三月
- 二月
- 一月

2007
- 十二月
- 十一月
- 十月
- 九月
- 八月
- 七月

Feed

Give us feedback in our Product Forums.

Google
Privacy
Terms