远程协议-RMI协议

远程服务框架可以基于rmi协议组件来实现rpc调用。基于rmi的远程服务组件的调用模式如下:

 

 

1.1.1.1             RMI协议配置

Mina协议的配置文件为:org/frameworkset/spi/manager-rpc-rmi.xml

被导入在rpc基础配置文件manager-rpc-service.xml:

<managerimport file="org/frameworkset/spi/manager-rpc-rmi.xml" /> 

下面具体介绍rmi配置:

1.1.1.1.1       rmi服务请求和响应处理类

   

    <property name="rpc.rmi.RPCServerIoHandler" singlable="true"

       class="org.frameworkset.spi.remote.rmi.RMIBaseRPCIOHandler">

       <construction>

           <property name="name" value="RPCServerIoHandler" class="String" />

           <property name="request_handler" refid="attr:rpc.request_handler" />        

       </construction>

    </property>  

1.1.1.1.2       RMI服务器组件

    <!--

       rmi服务器组件

     -->

    <property name="rpc.rmi.server" singlable="true"

       class="org.frameworkset.spi.remote.rmi.RMIServer">

       <construction>

           <property name="rmi.params" refid="attr:rpc.protocol.rmi.params" />         

       </construction>

    </property>  

      

        

1.1.1.1.3      RMI的链接参数配置

        <!-- 

           rmi框架的链接参数

       -->

    <property name="rpc.protocol.rmi.params">

       <map>

           <!-- 连接超时时间,默认值60秒,单位:秒,对应rmi暂不起作用 -->

           <property name="connection.timeout" value="60" />

          

              <!--

                  服务器绑定端口

               -->

           <property name="connection.bind.port" value="1092" />

              <!--

                  服务器绑定ip

                -->

           <property name="connection.bind.ip" value="172.16.17.216" />

           <!—

              目前这个属性已经做废

              当多个应用公用统一的注册中心时,用来区分每个服务器的协议组件名称的唯一标识

              注册的语法如下:

              address = "//" + ip + ":" + PORT + "/" + serveruuid + "/rpcService";

              serveruuid的默认值为default

            -->

           <property name="server_uuid" value="app1"/>

          

          

       </map>

    </property>

1.1.1.2             RMI协议使用方法

 

1.1.1.2.1       服务组件配置

客服端和服务器端配置组件:

<property name="rpc.test" singlable="true" class="org.frameworkset.spi.remote.RPCTest"/>

 

1.1.1.2.2       启动服务器

先在配置服务器上配置好以下参数:

    <!--

                  服务器绑定端口

               -->

           <property name="connection.bind.port" value="1099" />

              <!--

                  服务器绑定ip

               -->

           <property name="connection.bind.ip" value="172.16.17.216" />

 

在服务器端启动RMI服务器协议,启动后客服端即可进行远程服务调用。启动RMI服务器方法如下:

org.frameworkset.spi.remote.RPCHelper.getRPCHelper().startRMIServer();

 

1.1.1.2.3       获取远程组件实例

*         单点调用

RPCTestInf testInf = (RPCTestInf)BaseSPIManager.getBeanObject("(rmi::172.16.17.216:1099)/rpc.test");

*         多点调用

RPCTestInf testInf = (RPCTestInf)BaseSPIManager.getBeanObject("(rmi::192.168.11.102:1099;192.168.11.102:1092)/rpc.test");

*         组播调用

RPCTestInf testInf = (RPCTestInf)BaseSPIManager.getBeanObject("(rmi::all)/rpc.test");

 

*         单点调用-传递认证信息

RPCTestInf testInf = (RPCTestInf)BaseSPIManager.getBeanObject("(rmi::172.16.17.216:1099)/rpc.test?user=admin&password=123456");

*         多点调用-传递认证信息

RPCTestInf testInf = (RPCTestInf)BaseSPIManager.getBeanObject("(rmi::192.168.11.102:1099;192.168.11.102:1092)/rpc.test?user=admin&password=123456");

*         组播调用-传递认证信息

RPCTestInf testInf = (RPCTestInf)BaseSPIManager.getBeanObject("(rmi::all)/rpc.test?user=admin&password=123456");

1.1.1.2.4       远程方法调用

Object count = testInf.getCount();

1.1.1.2.5       调用结果处理

单点调用的结果就是服务接口返回的值,无需处理。如果方法调用失败,系统将抛出具体的远程异常。

多点调用和组播调用的结果处理方法一样,以多点调用为例:

RPCTestInf testInf = (RPCTestInf)BaseSPIManager.getBeanObject("(rmi::192.168.11.102:1186;192.168.11.102:12346)/rpc.test?User=admin&password=123456");

Object count = testInf.getCount();

Object count = testInf.getCount();

获取192.168.11.102:1186返回的结果:

Object count_1186 = BaseSPIManager.getRPCResult("192.168.11.102", "1186", count);如果返回值是异常,那么直接抛出该异常。

或者

Object count_1186 = BaseSPIManager.getRMIRPCResult

 ("192.168.11.102:1186", count);如果返回值是异常,那么直接抛出该异常。

或者

Object count_1186 =

    BaseSPIManager.getRPCResult("192.168.11.102:1186", count,

org.frameworkset.remote.Target.BROADCAST_TYPE_RMI);  如果返回值是异常,那么直接抛出该异常。

获取192.168.11.102:12346返回的结果:

Object count_12346 = BaseSPIManager.getRPCResult("192.168.11.102", "12346", count); 如果返回值是异常,那么直接抛出该异常。

或者

Object count_12346 = BaseSPIManager.getRMIRPCResult

 ("192.168.11.102:12346", count);

或者

Object count_12346 =

    BaseSPIManager.getRPCResult("192.168.11.102:12346", count,

org.frameworkset.remote.Target.BROADCAST_TYPE_RMI);  如果返回值是异常,那么直接抛出该异常。

### 回答1: Java RMI远程方法调用)是一种用于在分布式系统中进行远程通信的Java API。虽然它提供了方便的远程方法调用功能,但也存在一些安全漏洞。 其中一个漏洞是未经授权的远程方法调用(Unauthorized Remote Method Invocation)。在Java RMI中,远程对象可以通过URL公开,并接受来自任何Java虚拟机的调用。如果没有正确的安全措施,攻击者可以利用这个漏洞,通过发送恶意请求来执行未经授权的远程方法调用。这可能导致敏感数据泄露、服务拒绝、远程代码执行等安全风险。 另一个漏洞是远程代码执行(Remote Code Execution)。由于Java RMI允许将类作为参数传递给远程方法调用,攻击者可以通过构建恶意类来在远程系统中执行任意代码。这可能会导致远程系统被完全控制,从而对系统进行非法操作、运行恶意软件等。 为了防止这些漏洞,应采取以下安全措施: 1.授权策略:通过使用Java RMI的安全管理器,对远程调用进行授权验证。只允许受信任的主机或用户执行远程方法调用。 2.数据验证:在接受远程方法调用之前,对传入的数据进行验证和过滤,以防止恶意输入。 3.安全传输层:使用安全通信协议(如SSL/TLS)对Java RMI进行加密,以保护数据在网络传输过程中的安全性。 4.类过滤:限制远程对象所需的类只能从特定的类路径加载,以防止远程代码执行。 总之,Java RMI漏洞存在一定的风险,但通过使用适当的安全措施可以有效地减少这些风险。 ### 回答2: Java RMI (Remote Method Invocation)是Java中用于远程调用方法的技术,它允许在不同主机上的Java虚拟机之间进行通信和交互。然而,Java RMI中存在一些漏洞,可能导致安全问题。下面是一些常见的Java RMI漏洞: 1. 未授权访问:在没有适当访问控制的情况下,攻击者可能能够直接访问Java RMI服务,获取敏感信息或执行恶意操作。 2. 服务猝死:如果不正确地实现了Java RMI服务,攻击者可能通过发送恶意请求来导致服务崩溃或拒绝服务,导致系统不可用。 3. 反序列化漏洞:由于Java RMI使用Java序列化来传输对象,因此未进行适当的反序列化验证可能导致反序列化漏洞,攻击者可以利用此漏洞在目标系统上执行任意代码。 4. 中间人攻击:由于Java RMI缺乏加密机制,攻击者可能能够拦截和篡改Java RMI通信,以获取敏感信息或篡改数据。 为了解决这些漏洞,可以采取以下措施: 1. 实施访问控制:确保只有经过授权的用户能够访问Java RMI服务,并且只有必要的方法和数据暴露给客户端。 2. 安全配置:在构建Java RMI服务时,应遵循安全最佳实践,确保已正确配置安全管理器和策略文件,以限制服务的操作和访问范围。 3. 验证和过滤输入:在处理Java RMI请求时,始终进行输入验证和过滤,以防止恶意输入和攻击。 4. 反序列化信任:避免直接反序列化不受信任的数据,可以使用白名单或其他验证机制来限制反序列化操作。 5. 加密通信:考虑使用安全的通信协议(如SSL/TLS)来保护Java RMI通信的机密性和完整性,以防止中间人攻击。 总之,了解Java RMI漏洞并采取适当的防护措施是确保Java RMI应用程序安全的重要步骤。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值