Java 小程序 - LiveConnect 安全警告弹出窗口

Question

即使小程序已签名且已设置 Caller-Allowable-Codebase 属性，我们的应用程序仍会遇到 LiveConnect 安全警告:

第二个问题是 Application 和 Publisher 字段在 IE、FF 和 Chrome 中设置为 UNKNOWN。显示的第一个安全信息似乎是从证书中获取信息。

我的 list 文件:

Manifest-Version: 1.0
Implementation-Vendor: xxx xxx Buildings AB
Implementation-version: 1.5.0.49829
Application-Library-Allowable-Codebase: *
Application-Name: Building Operation WebStation
Permissions: all-permissions
Created-By: 1.7.0 (Sun Microsystems Inc.)
Caller-Allowable-Codebase: *
Specification-Version: 1.0
Codebase: *

我阅读了有关 security changes with LiveConnect 的 Oracle 博客文章.

我也曾尝试添加 Application-Library-Allowable-Codebase: * 属性但没有成功。它甚至在 security attributes guide 中似乎没有任何区别。 .

选中该复选框不会执行任何操作，下次我们导航到该小程序时，警告将再次弹出。

jarsigner.exe 输出“jar 已验证”。

检查我们签署的证书显示了整个链 - 我们的公司 > RapidSSL CA > GeoTrust Global CA。我已将证书导入多个 Windows 证书存储区，即使仅由受信任的根 CA 签名就足够了。

我们正在最新的 JRE 上进行测试，我们在 JRE 8 上得到了相同的结果 Java 插件 10.67.2.01 使用 JRE 版本 1.7.0_67-b01 Java HotSpot(TM) 客户端虚拟机

有没有人知道

1. 如何在仍然允许 LiveConnect 调用的同时摆脱弹出窗口？
2. 如果不是，如何填充对话框中的两个 UNKNOWN 字段？

Answer 1

您收到第一个弹出窗口(LiveConnect 警告)的原因是您对 Caller-Allowable-Codebase 使用了通配符 *:

Caller-Allowable-Codebase: *

您可能需要将 * 替换为javascript 文件所在的域名或 IP 地址。

您可能还需要对 codebase 属性执行类似的操作。

参见 Codebase Attribute 有关此属性的更多信息。

---

调用者允许的代码库属性

See Codebase Attribute for a description of the values that are allowed. If a stand-alone asterisk (*) is specified as the value for the Caller-Allowable-Codebase attribute, then calls from JavaScript code to your RIA show a security warning, and users have the choice to allow the call or block the call. An option to remember the choice is also provided, and if selected, the warning is no longer shown when the RIA is launched.

来源Caller-Allowable-Codebase Attribute

---

Java applet list - 允许所有 Caller-Allowable-Codebase

Removing the Trusted-Library attribute seems to be mandatory to get Caller-Allowable-Codebase working, no more warnings. However, this breaks Java 7 Update 21 - 40 which treated JavaScript code that calls code within a signed applet running with all permissions as mixed code and warning dialogs are raised if the signed JAR files are not tagged with the Trusted-Library=true attribute.

来源Java applet manifest - Allow all Caller-Allowable-Codebase , 通过 Nikolas Pooch 回答