一、文章的目的

　　這是一篇對Java安全管理器入門的文章，目的是簡單瞭解什麼是SecurityManager，對管理器進行簡單配置，解決簡單問題。

　　比如在閱讀原始碼的時候，發現這樣的程式碼，想了解是做什麼的：

SecurityManager security = System.getSecurityManager();
if (security != null) {
    security.checkWrite(name);
}

　　亦或者在本機執行正常，在伺服器執行報錯，想解決問題：

Exception in thread "main" java.security.AccessControlException: access denied (java.lang.RuntimePermission createSecurityManager)
    at java.security.AccessControlContext.checkPermission(AccessControlContext.java:
 
374)
    at java.security.AccessController.checkPermission(AccessController.java:549)
    at java.lang.SecurityManager.checkPermission(SecurityManager.java:532)
    at java.lang.SecurityManager.<init>(SecurityManager.java:282)
    at xia.study._01Thread.ThreadTest.creatThread1(ThreadTest.java:18)
    at xia.study._01Thread.ThreadTest.main(ThreadTest.java:
 
13)

　　這時候具備一些SecurityManager的基礎知識還是有必要的。

二、SecurityManager應用場景

　　當執行未知的Java程式的時候，該程式可能有惡意程式碼（刪除系統檔案、重啟系統等），為了防止執行惡意程式碼對系統產生影響，需要對執行的程式碼的許可權進行控制，這時候就要啟用Java安全管理器。

三、管理器配置檔案

3.1 預設配置檔案

　　預設的安全管理器配置檔案是 $JAVA_HOME/jre/lib/security/java.policy，即當未指定配置檔案時，將會使用該配置。內容如下：

// Standard extensions get all permissions by default

grant codeBase 
 
"file:${{java.ext.dirs}}/*" {
    permission java.security.AllPermission;
};

// default permissions granted to all domains

grant { 
    // Allows any thread to stop itself using the java.lang.Thread.stop()
    // method that takes no argument.
    // Note that this permission is granted by default only to remain
    // backwards compatible.
    // It is strongly recommended that you either remove this permission
    // from this policy file or further restrict it to code sources
    // that you specify, because Thread.stop() is potentially unsafe.
    // See the API specification of java.lang.Thread.stop() for more
        // information.
    permission java.lang.RuntimePermission "stopThread";

    // allows anyone to listen on un-privileged ports
    permission java.net.SocketPermission "localhost:1024-", "listen";

    // "standard" properies that can be read by anyone

    permission java.util.PropertyPermission "java.version", "read";
    permission java.util.PropertyPermission "java.vendor", "read";
    permission java.util.PropertyPermission "java.vendor.url", "read";
    permission java.util.PropertyPermission "java.class.version", "read";
    permission java.util.PropertyPermission "os.name", "read";
    permission java.util.PropertyPermission "os.version", "read";
    permission java.util.PropertyPermission "os.arch", "read";
    permission java.util.PropertyPermission "file.separator", "read";
    permission java.util.PropertyPermission "path.separator", "read";
    permission java.util.PropertyPermission "line.separator", "read";

    permission java.util.PropertyPermission "java.specification.version", "read";
    permission java.util.PropertyPermission "java.specification.vendor", "read";
    permission java.util.PropertyPermission "java.specification.name", "read";

    permission java.util.PropertyPermission "java.vm.specification.version", "read";
    permission java.util.PropertyPermission "java.vm.specification.vendor", "read";
    permission java.util.PropertyPermission "java.vm.specification.name", "read";
    permission java.util.PropertyPermission "java.vm.version", "read";
    permission java.util.PropertyPermission "java.vm.vendor", "read";
    permission java.util.PropertyPermission "java.vm.name", "read";
};

3.2 配置檔案詳解

　　詳解見第五部分，此處知道有這個配置檔案即可。

四、啟動安全管理器

　　啟動安全管理有兩種方式，建議使用啟動引數方式。

4.1 啟動引數方式

　　啟動程式的時候通過附加引數啟動安全管理器：

-Djava.security.manager

　　若要同時指定配置檔案的位置那麼示例如下：

-Djava.security.manager -Djava.security.policy="E:/java.policy"

4.2 編碼方式啟動

　　也可以通過編碼方式啟動，不過不建議：

System.setSecurityManager(new SecurityManager());

　　通過引數啟動，本質上也是通過編碼啟動，不過引數啟動使用靈活，專案啟動原始碼如下（sun.misc.Launcher）：

// Finally, install a security manager if requested
String s = System.getProperty("java.security.manager");
if (s != null) {
    SecurityManager sm = null;
    if ("".equals(s) || "default".equals(s)) {
        sm = new java.lang.SecurityManager();
    } else {
        try {
            sm = (SecurityManager)loader.loadClass(s).newInstance();
        } catch (IllegalAccessException e) {
        } catch (InstantiationException e) {
        } catch (ClassNotFoundException e) {
        } catch (ClassCastException e) {
        }
    }
    if (sm != null) {
        System.setSecurityManager(sm);
    } else {
        throw new InternalError(
            "Could not create SecurityManager: " + s);
    }
}

　　可以發現將會建立一個預設的SecurityManager；

五、配置檔案簡單解釋

5.1 配置基本原則

　　在啟用安全管理器的時候，配置遵循以下基本原則：

1. 沒有配置的許可權表示沒有。
2. 只能配置有什麼許可權，不能配置禁止做什麼。
3. 同一種許可權可多次配置，取並集。
4. 統一資源的多種許可權可用逗號分割。

5.2 預設配置檔案解釋

　　第一部分授權：

grant codeBase "file:${{java.ext.dirs}}/*" {
    permission java.security.AllPermission;
};

　　授權基於路徑在"file:${{java.ext.dirs}}/*"的class和jar包，所有許可權。

　　第二部分授權：

grant { 
    permission java.lang.RuntimePermission "stopThread";
    ……   
}

　　這是細粒度的授權，對某些資源的操作進行授權。具體不再解釋，可以檢視javadoc。如RuntimePermission的可授權操作經檢視javadoc如下：

5.3 可配置項詳解

　　當批量配置的時候，有三種模式：

• directory/ 表示directory目錄下的所有.class檔案，不包括.jar檔案
• directory/* 表示directory目錄下的所有的.class及.jar檔案
• directory/- 表示directory目錄下的所有的.class及.jar檔案，包括子目錄

　　可以通過${}來引用系統屬性，如：

"file:${{java.ext.dirs}}/*"

六、問題解決

　　當出現關於安全管理的報錯的時候，基本有兩種方式來解決。

6.1 取消安全管理器

　　一般情況下都是無意啟動安全管理器，所以這時候只需要把安全管理器進行關閉，去掉啟動引數即可。

6.2 增加相應許可權

　　若因為沒有許可權報錯，則報錯資訊中會有請求的許可權和請求什麼許可權，如下：

Exception in thread "main" java.security.AccessControlException: access denied (java.io.FilePermission E:\pack\a\a.txt write)

　　上面例子，請求資源E:\pack\a\a.txt，的FilePermission的寫許可權沒有，因此被拒絕。

　　也可以開放所有許可權：

grant { 
    permission java.security.AllPermission;
};

評論列表