java - 安装 SecurityManager 时 MQQueueManager 构造函数挂起

Question

主机 foo 是一个 IBM MQ 客户端(即通过 TCP/IP 的客户端模式连接)。主机栏是运行队列管理器的系统。 Bar 授予 foo 实例化 com.ibm.mq.MQQueueManager 对象的权限(通过 IP 地址)，但不授予主机 foobar 的权限。

因此，我将所有 IBM MQ 联系人封装到一个在 foo 上运行的新应用程序中。与 foobar 一起，客户端/服务器应用程序正在形成，使用套接字，其中 foo 是服务器，foobar 是客户端。和以前一样，Foo 仍然是 IBM MQ 客户端。

到目前为止，我在新应用程序(与 MQ 相关)中尝试对 foo 执行的所有操作都是实例化 MQQueueManager 对象。这是成功的，直到我引入 java.lang.SecurityManager。

通过 java 命令执行的本地应用程序，例如 foo 上的这个应用程序，默认情况下不会在安装 SecurityManager 的情况下运行。现在它在安装了 SecurityManager 的情况下运行。原因是控制对在 foo 上运行的这个应用程序的访问。安全策略接受来自 foobar (java.net.SocketPermission) 的连接。这行得通。 foo 的所有者现在可以控制授予 foobar 的权限。

但是我们在 foo 和 bar 之间的交互中遇到了一些干扰。干扰来自 SecurityManager。不要在安装了 SecurityManager 的情况下运行，foo 可以实例化 MQQueueManager。使用 SecurityManager 运行，foo 在 MQQueueManager 构造函数中挂起。

Foo 正在使用 https://docs.oracle.com/javase/7/docs/technotes/guides/security/PolicyFiles.html 中描述的策略引用实现

对 foo 的以下权限导致 MQQueueManager 构造函数挂起。

permission java.net.SocketPermission "bar", "connect, accept";

-Dcom.ibm.msg.client.commonservices.trace.status=ON

-Djava.security.debug="access,failure"

... access denied ("java.util.PropertyPermission" "mqs.disable.all.intercept" "read") [java.security.AccessControlException] ...

... access denied ("java.util.PropertyPermission" "mqs.intercept.serializeconn" "read") [java.security.AccessControlException] ...

Answer 1

IBM MQ v8 KC 有一个页面“Running IBM MQ classes for Java applications under the Java Security Manager”。

本页声明与 MQ 客户端连接相关:

//For the client transport type.
permission java.net.SocketPermission "*","connect,resolve";

我唯一注意到的是与您发布的内容相比，上面的示例中缺少空格，您也不需要提供 accept 权限，我还在 sun 文档中注意到 resolve 隐含在 connect 中，因此不应特别需要。

还有许多与您可能需要的其他权限相关的其他设置，因此我建议您查看上面的页面以了解更多细节。

---

您可以使用以下 Java 系统属性获取 IBM MQ Classes for Java 跟踪:

-Dcom.ibm.msg.client.commonservices.trace.status=ON

默认情况下，跟踪将输出到当前目录中名为 mqjms_%PID%.trc 的文件，其中 %PID% 被替换为您的 java 的进程 ID过程。

如果您想指定不同的文件名或路径，您可以添加以下 java 系统属性:

-Dcom.ibm.msg.client.commonservices.trace.outputName=/tmp/x/y/z/mqjms_%PID%.trc 

两者的示例命令:

java -Dcom.ibm.msg.client.commonservices.trace.status=ON -Dcom.ibm.msg.client.commonservices.trace.outputName=mqjms_%PID%.trc SomeJavaApp

---

java 安全管理器跟踪可能会有帮助，您可以通过添加以下 java 系统属性来打开它:

-Djava.security.debug="access,failure"