JavaJDK实现无钥签名根证书与沙箱安全机制

1，起因：接到项目经理的需求，项目有涉及文件的上传，需要把上传的文件进行数字签名，简称无钥签名，然后对签名后的文件进行无钥验证，对于从来没有听过无钥签名的我感觉很懵，后面就去上网查数字签名是java的哪一块，得到以下结果：

Java里其实有两大机制，第一是双亲委派机制，第二是沙箱安全机制，双亲委派机制相信大家学习jvm的类加载器时肯定都有做了解，那这个沙箱安全机制是什么呢

什么是沙箱安全机制

        Java安全模型的核心就是Java沙箱(sandbox)，什么是沙箱?沙箱是一个限制程序运行的环境。沙箱机制就是将Java代码限定在虚拟机(IVM)特定的运行范围中，并且严格限制代码对本地系统资源访问，通过这样的措施来保证对代码的有效隔离，防止对本地系统造成破坏.沙箱主要限制系统资源访问，那系统资源包括什么? CPU、内存、文件系统、网络。不同级别的沙箱对这些资源访问的限制也可以不一样。所有的Java程序运行都可以指定沙箱，可以定制安全策略。

Java沙箱演变的一个过程

在Java中将执行程序分成本地代码和远程代码两种，本地代码默认视为可信任的，而远程代码则被看作是不受信的。对于授信的本地代码，可以访问一切本地资源。而对于非授信的远程代码在早期的Java实现中，安全依赖于沙箱 (Sandbox) 机制。如下图所示 JDK1.0安全模型

但如此严格的安全机制也给程序的功能扩展带来障碍，比如当用户希望远程代码访问本地系统的文件时候，就无法实现。因此在后续的 Java1.1 版本中，针对安全机制做了改进，增加了安全策略，允许用户指定代码对本地资源的访问权限。如下图所示 JDK1.1安全模型

 在 Java1.2 版本中，再次改进了安全机制，增加了代码签名。不论本地代码或是远程代码，都会按照用户的安全策略设定，由类加载器加载到虚拟机中权限不同的运行空间，来实现差异化的代码执行权限控制。如下图所示 JDK1.2安全模型

当前最新的安全机制实现，则引入了域 (Domain) 的概念。虚拟机会把所有代码加载到不同的系统域和应用域，系统域部分专门负责与关键资源进行交互，而各个应用域部分则通过系统域的部分代理来对各种需要的资源进行访问。虚拟机中不同的受保护域 (Protected Domain)，对应不一样的权限 (Permission)。存在于不同域中的类文件就具有了当前域的全部权限，如下图所示 最新的安全模型(jdk 1.6)

组成沙箱的基本组件

1，字节码校验器(bytecode verifier):确保Java类文件遵循Java语言规范。这样可以帮助Java程序实现内存保护。但并不是所有的类文件都会经过字节码校验，比如核心类。

2，类装载器(class loader) :其中类装载器在3个方面对Java沙箱起作用

•         它防止恶意代码去干涉善意的代码;
•         它守护了被信任的类库边界;
•         它将代码归入保护域，确定了代码可以进行哪些操作。

        虚拟机为不同的类加载器载入的类提供不同的命名空间，命名空间由一系列唯一的名称组成，每一个被装载的类将有一个名字，这个命名空间是由Java虚拟机为每一个类装载器维护的，它们互相之间甚至不可见。

  类装载器采用的机制是双亲委派模式。

        1，从最内层JVM自带类加载器开始加载，外层恶意同名类得不到加载从而无法使用;

        2，由于严格通过包来区分了访问域，外层恶意的类通过内置代码也无法获得权限访问到内层类，破坏代码就自然无法生效。

3，存取控制器(access controller):存取控制器可以控制核心API对操作系统的存取权限，而这个控制的策略设定，可以由用户指定。

4，安全管理器(security manager):是核心API和操作系统之间的主要接口。实现权限控制，比存取控制器优先级高。

5，安全软件包(security package) : java.security下的类和扩展包下的类，允许用户为自己的应用增加新的安全特性，包括:

• 安全提供者
• 消息摘要
• 数字签名 keytool
• 加密
• 鉴别

我的应用

说了这么多，而我项目文件签名与验证功能涉及的就是组件安全软件包里的数字签名，接着我拿到拿到了给我的证书，安装证书才具备数字签名的环境。

 导入证书

前提是安装了java环境配置了环境变量

以管理员的身份运行cmd然后输入命令后输入y就会提示安装成功，Liunx命令如下

keytool -import -v -trustcacerts -alias aaa -file aaa.cer -storepass changeit -keystore $JAVA_HOME/jre/lib/security/cacerts

Windows：执行证书导入命令时，更新地址替换为%JAVA_HOME%/jre/lib/security/cacerts

第一个aaa代表是证书别名，第二aaa代表证书名称，-keystore后代表安装地址，其实装其他一些类型的证书是也可以发现关于一些安装证书安装都是安装在Java\jdk1.8.0_211\jre\lib\security下的java.security文件里的

注意：这里说一个踩过的坑，之前我证书已经导入成功，但是项目环境中就是不具备证书，然后提示我签名失败，无效的证书，

后面发现我项目运行环境是使用的jre，但是我安装的路劲是jdk下的jre下的文件导致一直提示我没有证书，然后我把环境切换成jdk 。问题得到解决

---

总结：数字签名数字验证里面怎么签怎么验的代码是由第三方提供的，我在开发中无权过问他们的代码，只是项目需要他们的远程代码的服务，导入证书目的就是为了让他们的代码让我们这边的环境给他个权限，能让他运行，这就与java的最新沙箱安全机制相关联起来了，

在此只介绍了为什么要进行导入证书和介绍了一下沙箱，相信小伙伴很关心我签和验的一个过程，其实这个过程也很简单，具备他们代码运行的环境后只需要知道他们各个接口是干什么的就可以完成项目经理的需求了，这里接口相关文档与调用相关代码就不方便公开，每个公司有每个公司的不同，谢谢大家理解！