java - 是否有可能实现类似设施的安全管理器来拦截对 Rhino 中 java 对象的调用

Question

我正在考虑将 Rhino 用作脚本语言，但想添加一个层以防止脚本执行任何操作。

在 Java 中，如果发现我们希望阻止的 API，则可以验证类并提示。例如，如果您不希望用户触摸文件系统，则在发现调用 java.io.File 等时提示。

类文件校验等价

• 是否有一个阶段可以在脚本加载后但在执行之前对其进行验证？
• 当给 eval 一个 String 时是否调用相同的回调？

这将是首选，因为每个脚本或 scriptlet 仅被检查一次，然后才被信任。

运行时拦截所有java方法调用

• Rhino 是否会在每次尝试执行函数调用时调用一些回调？
• 是否可以只在某些 api 上安装此检查器，例如当一个人试图访问 java 类时。

这将允许其他真正的 javascript 对象无障碍地执行...

有没有其他方法可以阻止调用 java 对象来执行我希望沙盒化的操作？

犀牛安全 Controller

我不太确定，必须尝试 callWithDomain() 方法。

Answer 1

解决我的问题的支持方法是注册一个 ClassShutter。