JVM-简介

最新推荐文章于 2024-09-17 23:20:04 发布

芝麻\n

最新推荐文章于 2024-09-17 23:20:04 发布

阅读量666

点赞数 23

分类专栏： JVM 文章标签： jvm

本文链接：https://blog.csdn.net/weixin_51456741/article/details/141262111

版权

JVM 专栏收录该内容

4 篇文章 0 订阅

订阅专栏

JVM的体系结构

下面是简易的结构图
加粗样式
在这里插入图片描述
栈中不会有垃圾回收

大部分JVM调优都是在堆内存上进行调优

详细的结构图如下
在这里插入图片描述

沙箱安全机制

java安全模型的核心就是java沙箱（sandbox）。沙箱是一个限制程序运行的环境。沙箱机制就是将java代码限定在JVM特定的运行范围内，并且严格限制代码对本地资源的访问，通过这样的措施来保证对代码的有效隔离，防止对本地系统造成破坏。沙箱主要限制系统资源（CPU，内存，文件系统，网络）访问。不同级别的沙箱对这些资源的限制就不一样

所有的java程序运行都可以指定沙箱，可以指定安全策略。

在java中，将执行过程分为本地代码和远程代码两部分，本地代码是默认可信任的，而远程代码则被看做是不受信任的。对于授予信任的本地代码，可以访问一切本地资源。而对于非授予信任的远程代码在早期的java实现中，完全依赖于java沙箱机制。下图是jdk1.0的安全模型

在这里插入图片描述

但是如此严格的安全机制也给程序的功能拓展带来了障碍，比如用户希望远程代码访问本地资源的时候，就会被沙箱机制所拒绝。所以在后来的jdk1.1版本中，针对安全机制做出了改进，增加了安全策略，允许用户指定代码对本地资源的访问权限。下图是jdk1.1的安全模型

在这里插入图片描述

在jdk1.2的版本中，再次引进安全机制，增加了代码签名，不论是本地代码还是远程代码，都会按照用户的安全策略设定，由类加载器加载到JVM中权限不同的运行空间，来实现差异化的代码执行权限控制。下图是jdk1.2的安全模型

在这里插入图片描述

当前最新的安全机制实现，则引入了域（domain）的概念。JVM会把所有的代码加载到不同的系统和应用域，系统域部分专门负责与关键资源进行交互，而各个应用域部分则通过系统的部分代理来对各种需要的资源进行访问。虚拟机中不同的受保护域（Protected Domain），对应不一样的权限（Permission）。存在于不同域中的类文件就具有了当前域的全部权限。下图是jdk1.6的安全模型

在这里插入图片描述

组成沙箱的基本组件:

字节码校验器(bytecode verifier):确保java类文件遭循java语言规范。这样可以帮助ava程序实现内存保
护。但并不是所有的类文件都会经过字节码校验，比如核心类。
类装载器(classloader):其中类装载器在3个方面对java沙箱起作用
- 它防止恶意代码去干涉善意的代码;
- 它守护了被信任的类库边界;
- 它将代码归入保护域，确定了代码可以进行哪些操作。

虚拟机为不同的类加载器载入的类提供不同的命名空间，命名空间由一系列唯一的名称组成，每一个被装载的类将有一个名字，这个命名空间是由ava虚拟机为每一个类装载器维护的，它们互相之间甚至不可见。

类装载器采用的机制是双亲委派模式。

从最内层IVM自带类加载器开始加载，外层恶意同名类得不到加载从而无法使用;
由于严格通过包来区分了访问域，外层恶意的类通过内置代码也无法获得权限访问到内层类，破坏代码就自然无法生效。

存取控制器(access controller):存取控制器可以控制核心API对操作系统的存取权限，而这个控制的策略
设定，可以由用户指定。
安全管理器(security manager):是核心API和操作系统之间的主要接口。实现权限控制，比存取控制器优先级高。
安全软件包(security package):javasecurity下的类和扩展包下的类，允许用户为自己的应用增加新的安全特性，包括:
- 安全提供者
- 消息摘要
- 数字签名
- 加密
- 鉴别