Java 策略文件 - 拒绝对代码库的权限

Question

在 Java 策略文件中，grant codeBase 语法指定应授予哪个代码库哪些权限。例如，

grant codeBase "file:/C:/abc.jar" { permission java.security.AllPermission; };

授予 AllPermission 到 abc.jar 中的代码

以类似的方式，有没有办法拒绝特定语法的权限？像这样:

deny codeBase "file:/C:/def.jar" { permission java.io.FilePermission; };

以便 def.jar 中的代码获得除 FilePermission 之外的所有其他权限？

这可能吗？

我知道这可以使用 SecurityManager 类轻松完成，但我只想知道仅使用策略文件是否可行。

Answer 1

我意识到这几乎晚了一年，但我想我正在尝试做类似的事情。

有一种方法可以设置运行时权限，这样 Java 就不会授予全局权限。然后您可以仅指定您希望为您的应用授予的权限。关键是使用以下选项运行您的应用。

java -Djava.security.manager -Djava.security.policy==policyFile.txt MyClass

注意双等号 -Djava.security.policy==policyFile.txt。双等号 == 表示仅使用命名文件中的权限，而不是单个等号 -Djava.security.policy=policyFile.txt 这意味着除了继承的全局权限之外还使用这些权限。

然后创建一个排除您要拒绝的权限的策略文件:

// policyFile.txt
grant codeBase "file:/C:/abc.jar" {

    // list of permissions minus the ones you want to deny
    // for example, the following would give the application
    // ONLY AudioPermission and AWTPermission.  Other
    // permissions such as java.io.FilePermission would be
    // denied.

    permission javax.sound.sampled.AudioPermission;
    permission java.awt.AWTPermission;

}