【第22期】观点:IT 行业加班,到底有没有价值?

Java安全机制

原创 2015年11月17日 22:31:14

Java安全机制

  1. 类装载器结构 (class loader)

  2. class文件检查器 (the class file verifier)

  3. 内置于Java虚拟机(及语言)的安全特性

  4. 安全管理器及Java API (security manager)

关于Java安全沙箱:
http://blog.csdn.net/miyao16/article/details/4909370

在Java沙箱中,类装载器体系结构是第一道防线。它在三个方面对Java的沙箱起作用:

  1. 它防止恶意代码区干涉善意的代码

  2. 它守护了被信任的代码的边界

  3. 它将代码归于某类(称为保护域),该类确定了代码可以进行哪种操作

Class文件检查器 (the class file verifier):

Class文件检查器保证装载的class文件内容有正确的内部结构,并且这些class文件互相间协调一致。Class文件检查器实现的安全目标之一就是程序的健壮性。如果某个有漏洞的编译器,或某个聪明的黑客,产生了一个class文件,而这个class文件中包含了一个方法,则合格方法的字节码中含有一条跳转到方法之外的指令,那么,一旦这个方法被调用,它将导致虚拟机的崩溃,所以,处于对健壮性的考虑,由虚拟机检验它装载的字节码的完整性非常重要。

Class文件检查器要进行四趟独立的扫描来完成它的操作。

第一趟:Class文件的结构检查

在这一趟扫描中,对每一段将被当做类型导入的字节序列,Class文件检查器都会确认它是否符合JavaClass文件的节本结构。在这一趟检查中检查器会进行很多检查例如:每个Class文件都必须以四个同样的字节开始:0xCAFEBABE。因为这个魔数Class文件分析器会很容易判断出某个文件具有明显问题而加以拒绝。检查器还必须确认在Class文件中声明的版本号和次版本号,这个版本号必须在这个虚拟机实现可以支持的范围之内。而且第一趟扫描还必须确认这个Class文件有没有被删减。总之第一趟扫描的目的就是保证这个字节序列正确的定义了一个新类型。

第二趟:类型数据的语义检查

第二趟扫描,检查器要查看每个组成部分,确认它们是否是其所属类型的实例,他们的结构是否正确。另外还要检查这个类本身是否符合特定的条件,它们是由Java编程语言规定的。例如,检查器强制规定除Object类以外的类必须有一个超类,或者检查final类有没有被子化等。

第三趟:字节码验证

这一趟是要确保采用任何路径在字节码流中都得到一个确定的操作码,确保操作数栈总是包含正确的数值以及正确的类型。

第四趟:符号引用的验证

在动态链接的过程中,如果包含在一个Class文件中的符号引用被解析时,Class文件检查器要进行第四趟检查。第四趟扫描仅仅是动态链接过程的一部分。当一个Class文件被装载时,它包含了对其他类的符号引用以及它们的字段和方法。一个符号引用是一个字符串,它给出了名字,并且可能还包含了其他关于这个被引用项的信息------这些信息必须足以唯一的识别一个类、方法、字段。这样对于其他类的符号引用必须给出这个类的全名;对于其他类的字段的符号引用必须给出类名、字段名以及字段描述符;对于其他类中的方法的引用必须给出类名、方法名以及方法的描述符。

所谓的动态链接是一个将符号引用解析为直接引用的过程。

此外,由于Java程序是动态链接的,所以Class文件检查器在进行第四次扫描中,必须检查相互引用类之间的兼容性。

除此之外,Java虚拟机还有一些内置的安全特性:

  1. 类型安全的引用转换

  2. 结构化的内存访问

  3. 自动垃圾收集(不必显式地释放被分配的内存)

  4. 空引用检查

    通过保证一个Java程序只能使用类型安全的、结构化的方法去访问内存,Java虚拟机使得Java程序更为健壮。

版权声明:本文为博主原创文章,未经博主允许不得转载。 举报

相关文章推荐

java安全机制的理解

Java的安全模式包括3层:Java语言本身,java编译器和run-time系统,SecurityManager类。 在语言层,java以不同的方式来实现它的安全性,什么原始类型的大小,对象的指针...

java 安全方面

记录一下 Java ACCJava ACC规范定义了授权策略模块和J2EE容器之间的实现规范,这样容器安全提供者就可以根据操作环境的要求提供J2EE容器的授权功能。Java ACC规范分为三个部分,分...

程序员升职加薪指南!还缺一个“证”!

CSDN出品,立即查看!

java安全机制

1,java.policy 设置文件访问权限:java.io.FilePermission eg: grant codeBase "http://www.pepress.com.cn/-"...

java在web开发安全性方面的总结

1.       客户输入的原始数据进行校验不依赖于Script。虽然JavaScript等等的客户端的输入数据的校验即使比较方便也不能使用因为安全性方面的原因。脚本是不安全的,用户可能屏蔽脚本,我们...

Java项目简单安全处理

简单安全处理
  • kxbhf
  • kxbhf
  • 2017-02-07 10:32
  • 85

java并发编程实践之安全发布和逸出

 前言  多线程并发环境下,线程安全极为重要。往往一些问题的发生都是由于不正确的发布了对象造成了对象逸出而引起的,因此如果系统开发中需要发布一些对象,必须要做到安全发布,以免造成安全隐患。 ...

Java WEB项目安全问题及解决方案

1.弱口令漏洞 解决方案:最好使用至少6位的数字、字母及特殊字符组合作为密码。数据库不要存储明文密码,应存储MD5加密后的密文,由于目前普通的MD5加密已经可以被破解,最好可以多重MD5加密,或...

WIN7 64位下设置了java安全,但还是阻止的问题解决

注意:win64位下运行javacpl.exe,不要开始——控制面板——程序——Java来打开,在“管理加载项”右键点击查看真正运行的jre插件 ------------------...

java 安全了解

基本的安全知识概念: 基本的安全知识概念: 提到java安全,有一个重要的体系叫JCA,java cryptography architecture (java的加密技术架构),包括加密,摘要,...

JAAS:灵活的Java安全机制

摘要:   Java Authentication Authorization Service(JAAS,Java验证和授权API)提供了灵活和可伸缩的机制来保证客户端或服务器端的Java程序。...
收藏助手
不良信息举报
您举报文章:深度学习:神经网络中的前向传播和反向传播算法推导
举报原因:
原因补充:

(最多只允许输入30个字)