Java 小程序 : Caller-Allowable-Codebase does not work

Question

我在内部自签名小程序上收到可怕的 LiveConnect 警告。我正在使用 Java 1.7.0_45。根据我读过的内容，我应该能够通过将 Caller-Allowable-Codebase * 添加到我的 list 并删除 Trusted-Library 属性来摆脱这些。我用于构建 applet 的 ant 目标如下所示:

<jar destfile="MyApplet.jar">
  <manifest>
    <attribute name="Main-Class" value="com.mycompany.MyApplet"/>
    <attribute name="Permissions" value="all-permissions"/>
    <attribute name="Codebase" value="*"/>
    <attribute name="Caller-Allowable-Codebase" value="*"/>
  </manifest>
  [...]
</jar>
<signjar jar="MyApplet.jar" [...] />

不幸的是，这没有效果；我仍然收到警告。我已经验证我正在运行 1.7.0_45，并且浏览器没有使用小程序的旧缓存副本。客户端是在 OS X 10.7.5 上运行的 Firefox 25.0，物有所值...任何想法将不胜感激!

Answer 1

我观察到相同的行为。我的测试表明 Caller-Allowable-Codebase list 属性仅在 JAR 由受信任的证书签名时才会生效。 (我用不受信任的证书签署了一个 JAR，警告出现了。我用受信任的证书签署了同一个 JAR，但没有出现警告)。

如果您不能使用来自已受信任的 CA 的证书，您可以尝试将本地 Java 安装配置为信任您的证书，或使用部署规则集来抑制警告。