The Java Security Manager

起因

最近在写一个Elastic Search的插件，调试的时候遇到了下面的异常

Caused by: java.security.AccessControlException: access denied ("java.lang.RuntimePermission" "loadLibrary.alilt_ws_jni")
    at java.security.AccessControlContext.checkPermission(AccessControlContext.java:472) ~[?:1.8.0_112]
    at java.security.AccessController.checkPermission(AccessController.java:884) ~[?:1.8.0_112]
    at java.lang.SecurityManager.checkPermission(SecurityManager.java:549) ~[?:1.8.0_112]
    at java.lang.SecurityManager.checkLink(SecurityManager.java:835) ~[?:1.8.0_112]
    at java.lang.Runtime.loadLibrary0(Runtime.java:876) ~[?:1.8.0_112]
    at java.lang.System.loadLibrary(System.java:1143) ~[?:1.8.0_112]
    at alilt_ws.AliLTWSjni.(AliLTWSjni.java:30) ~[?:?]
    ... 43 more

对应的代码是

System.loadLibrary("alilt_ws_jni");

什么是Security Manager

SecurityManager在Java中被用来检查应用程序是否能访问一些有限的资源，例如文件、套接字(socket)等等。它可以用在那些具有高安全性要求的应用程序中。通过打开这个功能， 我们的系统资源可以只允许进行安全的操作。

通过查看System.loadLibrary源码

public static void loadLibrary(String libname) {
        Runtime.getRuntime().loadLibrary0(Reflection.getCallerClass(), libname);
    }

 synchronized void loadLibrary0(Class fromClass, String libname) {
        SecurityManager security = System.getSecurityManager();
        if (security != null) {
            security.checkLink(libname);
        }
        if (libname.indexOf((int)File.separatorChar) != -1) {
            throw new UnsatisfiedLinkError(
    "Directory separator should not appear in library name: " + libname);
        }
        ClassLoader.loadLibrary(fromClass, libname, false);
    }

可以看出loadLibrary0里面调用了SecurityManager来检查是否有权限。

怎么开启SecurityManager呢？

当Java虚拟机启动时，它首先通过检查系统属性java.security.manager来确定SecurityManager是否打开了。如果打开了，那么SecurityManager实例将被创建，它可以被用来检查不同的权限。默认情况下，SecurityManager是关闭的，但是这里有一些方法可以打开SecurityManager。

• 1、指定 -Djava.security.manager

当我们运行一个程序，我们可以指定JVM命令 -Djava.security.manager 使SecurityManager运行。

java -Djava.security.manager 

这是打开SecurityManager最常见的方式。java.security.manager是一个系统属性，您可以使用System.getProperty(“java.security.manager”)检查该系统属性是否被设置。

在这里，你可能会认为，我们可以使用System.setProperty(“java.security.manager”)打开SecurityManager，但是并不能这么设置。因为先前我们提到，这个系统属性是在当JVM启动时进行检查的。如果我们用程序手动设置该属性，并不能奏效，因为JVM已经启动了，已经过了检查系统属性的步骤了。

• 2、通过程序打开SecurityManager

现在，如果我们真的想通过我们的程序打开SecurityManager，我们也能做到。 System类中有一个叫 setSecurityManager() 的方法可以做到这一点。这个方法的参数是一个SecurityManager实例。

SecurityManager sm=new SecurityManager();
System.setSecurityManager(sm);

通过这个,我们可以打开SecurityManager.。如果之后我们想要关闭SecurityManager, 我们该怎么做? 下面的代码能做到吗？

SecurityManager sm=System.getSecurityManager();
if(sm!=null){
    System.setSecurityManager(null);
}

注意：
上面的代码只有你在位于${JAVA_HOME}/jre/lib/security目录下或者其他指定目录下的java.policy文件中指定了一个权限才会奏效。 这个权限是:

permission java.lang.RuntimePermission "setSecurityManager";

上面的一行将被用来允许代码设置SecurityManager

• 3、在build文件中

我们想打开SecurityManager，如果我们使用Ant构建应用程序时, 我们可以加上

我们通过Ant创建单元测试的时候非常有用。

如何允许某些操作的权限

针对开篇遇到的异常，可以通过添加文件plugin-security.policy并在调用命令行里面指定policy文件路径-Djava.security.policy=file:///pathto/plugin-security.policy来授权操作权限

grant{
    
      permission java.lang.RuntimePermission "loadLibrary.*";
};

permission探究

下面来看一下jre/lib/security/java.policy里面的permission

The first section - grant codeBase, is about which code can be executed; the second - grant, is about specific permissions.

grant codeBase "file:${{java.ext.dirs}}/*" {
        permission java.security.AllPermission;
};

// default permissions granted to all domains

grant {
        // Allows any thread to stop itself using the java.lang.Thread.stop()
        // method that takes no argument.
        // Note that this permission is granted by default only to remain
        // backwards compatible.
        // It is strongly recommended that you either remove this permission
        // from this policy file or further restrict it to code sources
        // that you specify, because Thread.stop() is potentially unsafe.
        // See the API specification of java.lang.Thread.stop() for more
        // information.
        permission java.lang.RuntimePermission "stopThread";

        // allows anyone to listen on dynamic ports
        permission java.net.SocketPermission "localhost:0", "listen";

        // "standard" properies that can be read by anyone

        permission java.util.PropertyPermission "java.version", "read";
        permission java.util.PropertyPermission "java.vendor", "read";
        permission java.util.PropertyPermission "java.vendor.url", "read";
        permission java.util.PropertyPermission "java.class.version", "read";
        permission java.util.PropertyPermission "os.name", "read";
        permission java.util.PropertyPermission "os.version", "read";
        permission java.util.PropertyPermission "os.arch", "read";
        permission java.util.PropertyPermission "file.separator", "read";
        permission java.util.PropertyPermission "path.separator", "read";
        permission java.util.PropertyPermission "line.separator", "read";

参考文章

https://docs.oracle.com/javase/7/docs/technotes/guides/security/overview/jsoverview.html
https://blog.frankel.ch/java-security-manager/#gsc.tab=0