java - 在 SecurityManager 下授予脚本访问系统属性

Question

我想允许沙箱中的脚本访问系统属性，但我收到 AccessControlException。这是代码:

import static org.junit.Assert.*;
import java.security.AccessControlContext;
import java.security.AccessController;
import java.security.CodeSource;
import java.security.Permission;
import java.security.Permissions;
import java.security.PrivilegedAction;
import java.security.ProtectionDomain;
import java.security.cert.Certificate;
import java.util.PropertyPermission;
import org.junit.Test;

public class AccessControlTest {

    @Test
    public void testAccessControl() throws Exception {

        PrivilegedAction<String> action = new PrivilegedAction<String>() {

            @Override
            public String run() {
                System.getProperty( "java.version" ); // doesn't work
                return System.getProperty( "foo" ); // doesn't work
            }
        };


        SecurityManager sm = new SecurityManager() {
            @Override
            public void checkPermission( Permission perm ) {

                if( "setSecurityManager".equals( perm.getName() ) ) {
                    return;
                }

                System.out.println( perm );
                super.checkPermission( perm );
            }
        };

        Permissions perms = new Permissions();
        perms.add( new PropertyPermission( "foo", "read" ) );
//        perms.add( new PropertyPermission( "java.version", "read" ) );

        ProtectionDomain domain = new ProtectionDomain( new CodeSource( null, (Certificate[]) null ), perms );
        AccessControlContext context = new AccessControlContext( new ProtectionDomain[] { domain } );

        try {
            System.setSecurityManager( sm );

            Object result = AccessController.doPrivileged( action, context );
            assertEquals( Boolean.TRUE, result );
        } finally {
            System.setSecurityManager( null );
            System.out.println( "setSecurityManager( null )" );
        }


    }

}

调试时，我看到以下输出:

...
policy:   granting (java.lang.RuntimePermission stopThread)
policy:   granting (java.net.SocketPermission localhost:1024- listen,resolve)
policy:   granting (java.util.PropertyPermission java.version read)
...
(java.util.PropertyPermission java.version read)
java.lang.Exception: Stack trace
    at java.lang.Thread.dumpStack(Thread.java:1249)
    at java.security.AccessControlContext.checkPermission(AccessControlContext.java:323)
    at java.security.AccessController.checkPermission(AccessController.java:549)
    at java.lang.SecurityManager.checkPermission(SecurityManager.java:532)
    at com.avanon.script.AccessControlTest$2.checkPermission(AccessControlTest.java:39)
    at java.lang.SecurityManager.checkPropertyAccess(SecurityManager.java:1285)
    at java.lang.System.getProperty(System.java:650)
...
access: domain 0 ProtectionDomain  (null <no signer certificates>)
 null
 <no principals>
 java.security.Permissions@78ce5b1c (
 (java.util.PropertyPermission foo read)
)


access: domain 1 ProtectionDomain  (file:/.../project/target-eclipse/test-classes/ <no signer certificates>)
 sun.misc.Launcher$AppClassLoader@5d0385c1
 <no principals>
 java.security.Permissions@6ddf073d (
 (java.io.FilePermission /.../project/target-eclipse/test-classes/- read)
 (java.lang.RuntimePermission exitVM)
)


access: access denied (java.util.PropertyPermission java.version read)

(使用 -Djava.security.debug=all 调用代码以获得相同的输出)

第一个 block 来自 JRE 附带的全局 java.policy 文件。

下一个 block 是代码尝试检查对 java.version 的访问的时间。

最后一个 block 显示此操作失败。

这让我感到惊讶，因为策略文件中允许访问该属性。

为了提供帮助，我启用了注释行，为 java.version 添加了 PropertyPermission。现在第一个 System.getProperty( "java.version") 通过了。

但第二个仍然失败:

access: domain that failed ProtectionDomain  (file:/.../project/target-eclipse/test-classes/ <no signer certificates>)
 sun.misc.Launcher$AppClassLoader@5d0385c1
 <no principals>
 java.security.Permissions@6ddf073d (
 (java.io.FilePermission /.../project/target-eclipse/test-classes/- read)
 (java.lang.RuntimePermission exitVM)
)

我真的被这个问题难住了。从代码来看，Java 似乎总是按顺序检查所有 ProtectionDomain(我有四个)。如果其中任何一个人不喜欢您的访问权限，则会被拒绝。

但我不知道第二个域如何允许访问任何属性，因此我预计要么都失败，要么都成功。

我错过了什么？

Answer 1

看看 ProtectionDomain.implies():

if (!staticPermissions && 
    Policy.getPolicyNoCheck().implies(this, permission))
    return true;

这意味着对于动态 ProtectionDomain，将应用当前的策略。安装 SecurityManager 后，默认策略会加载一些授予访问系统属性的权限。

要为您的 ProtectionDomain 启用相同的功能，您需要使用不同的构造函数:

    public ProtectionDomain(CodeSource codesource,
            PermissionCollection permissions,
            ClassLoader classloader,
            Principal[] principals)

这将使您成功:现在将通过对系统属性的访问。

但是对属性 foo 的第二次访问将通过第一个保护域，而对于其他保护域则失败。

要解决此问题，您必须安装自己的默认策略，该策略允许访问 java.version 和 foo。

如果您这样做，那么您就不再需要自定义 ProtectionDomain 了；有政策就够了。