《Java安全编码标准》一1.9 安全管理器

1.9 安全管理器

SecurityManager?是Java中定义安全策略的类。当一个程序在没有安装安全管理器的环境中运行时，它是不受限制的，它可以使用任何Java API提供的类和方法。当使用安全管理器时，它会明确哪些不安全和敏感的操作是允许的。任何违反安全策略的操作都会导致抛出SecurityException异常，代码可以向安全管理器查询某些动作是否允许。同时，安全管理器可以控制受信的Java API能够执行的功能。当非受信的代码不允许读取系统类的时候，应该赋予这些类最低的权限，以防止特定包中的那些受信类被它们使用。而accessClassInPackage权限只提供那些所需要的功能。
某一类应用中存在着一些预先设定好的安全管理器。applet安全管理器就能够管理所有的Java applet。它拒绝除了赋予重要权限的所有applet，以防止不经意的系统修改、信息泄露以及用户模拟。
安全管理器不仅仅只限于对客户端应用的保护。对于Web服务器，如Tomcat和WebSphere，可以将安全管理器用来隔离servlets和JSP（Java Server Page）代码中出现的恶意木马，以及保护敏感的系统资源，使其不能被随便访问。
对于在命令行状态下运行的Java应用，一个自定义的安全管理器会被设置一个特殊的标识。同样，也可以通过编程式的方法安装一个安全管理器。这样就可以建立一个默认的沙箱，通过安全策略来允许或者拒绝那些敏感操作。
在Java 2平台之前，安全管理器是一个抽象类。在Java 2平台之后，由于不作为抽象类出现，所以应用时不需要显式重写它的方法。如果编程式地创建安全管理器，代码需要有运行态的权限来运行createSecurityManager?方法，从而实例化安全管理器并且通过运行setSecurityManager来安装SecurityManager。当已经安装安全管理器时，将会检查这些权限。当存在一个全局默认的安全管理器时，例如在虚拟宿主环境，或者在一个单独的宿主环境中，需要用一个定制的安全管理器来代替默认的安全管理器，从而拒绝以前那些能够通过的权限的情况。
安全管理器和AccessController类紧密相关。前者是一个访问控制中枢，而后者是访问控制算法的实际实现。安全管理器支持以下几种情况：
提供后向兼容性：历史遗留的代码通常包含许多定制化的安全管理器的实现，因为最开始安全管理器是被设计为抽象的。
设定自定义的策略：设计一个安全管理器的子类，以设定自定义的安全策略（例如，多层次、粗略或者细粒度的）。
在考虑实现和使用自定义的安全管理器的时候，对应于默认的安全管理器，在Java Security Architecture Specification[SecuritySpec 2008]中提到：
定制一个安全管理器（通过设计它的子类）应当是最后的手段，并且需要特别谨慎，我们鼓励在应用代码中使用AccessController?。此外，一个定制的安全管理器，比如它会在调用标准的安全检查之前做当天的时间检查，它可以而且应该适当的利用AccessControllerwhenever所提供的算法。
许多Java SE API在进行敏感操作之前会通过调用安全管理器来进行默认的检查。例如，在调用者不具备读文件权限的时候，?java.io.FileInputStream的构造函数会抛出SecurityException?异常。因为SecurityException?是RuntimeException的子类，一些API方法的声明并不需要声明它们抛出RuntimeException异常，但是一些API方法不能这样。例如，在java.io.FileReader中就没有声明它会抛出SecurityException?异常。除非在API方法文档里特别指明，否则应该避免依赖对安全管理器是否存在进行的检查。