java - SecurityManager 惊喜

Question

我想创建一个非常严格的安全管理器，所以我扩展了 SecurityManager 并覆盖了所有自定义的 checkXXX 方法。

但后来我发现我的安全管理器没用，因为任何人都可以:

System.setSecurityManager(null);

所以我要补充:

@Override    public void checkPermission(Permission perm)  {
    if (perm.getName().equals("setSecurityManager")) {
        throw new SecurityException("You shall have no other security manager but me!");
    }
}

还有惊喜吗？我必须做的任何其他事情才能使我的 SecurityManager 密封吗？

Answer 1

至少有几件事我能想到:

1. 有人可以使用反射将 System.security 字段设置为可访问，然后将其设置为他们想要的任何值。

2. 有人可以使用 sun.misc.Unsafe用他们想要的任何随机东西直接覆盖内存中的实例。

我认为您的 SecurityManager 可以防范这些事情，因为它们都依赖于对 Field.setAccessible() 的调用。但最好对其进行测试以确保。