如何使用安全管理器

安全管理器是用于管理应用程序的安全性的工具。它可以控制应用程序的访问权限，确保只有经过授权的用户可以访问应用程序的敏感信息。下面介绍如何使用安全管理器。

步骤1：创建安全策略文件

要使用安全管理器，首先需要创建安全策略文件。安全策略文件中定义了应用程序的安全规则和策略。在安全策略文件中，我们可以定义如下规则：

• 允许/拒绝特定用户或用户组访问应用程序
• 限制用户对应用程序的哪些部分具有访问权限
• 限制用户的操作权限

我们可以使用以下命令在Java平台上创建安全策略文件：

$ echo 'grant { permission java.security.AllPermission; };' > mypolicy.policy

该命令将创建一个名为mypolicy.policy的策略文件，该文件授予了所有的权限。

步骤2：启用安全管理器

要启用安全管理器，需要在应用程序中添加以下代码：

System.setSecurityManager(new SecurityManager());

该代码将在当前线程中启用安全管理器。

步骤3：在安全策略文件中定义安全规则

在安全策略文件中定义的规则将用于控制应用程序的访问权限。例如，以下代码将允许用户组"MyGroup"访问应用程序：

grant codeBase "file:/path/to/my/app.jar" signedBy "mykey" {
    permission java.security.AllPermission;
    permission java.net.SocketPermission "*", "accept, connect, listen, resolve";
    permission java.util.PropertyPermission "*", "read, write";
    permission org.apache.derby.security.SystemPermission "engine", "usederbyinternals";
    permission org.apache.derby.security.DatabasePermission "derbyDB", "create";
    permission com.sun.jndi.ldap.LdapPermission "localhost:10389", "connect";
    permission javax.management.MBeanServerPermission "*", "createMBeanServer, createClassLoader, registerMBean, getClassLoaderRepository, setClassLoaderRepository, getClassLoader, getClassLoaderFor, getClassLoaderRepository, queryNames, queryMBeans, invoke, getAttribute, setAttribute";
    permission java.lang.RuntimePermission "accessDeclaredMembers";
    permission java.awt.RobotPermission "*";
    permission java.sql.SQLPermission "setLog";
    permission java.lang.management.ManagementPermission "monitor";
    permission java.io.FilePermission "/opt/application/logs/-", "read, write, delete";
    permission java.io.FilePermission "/tmp/*", "read, write";
    permission java.lang.reflect.ReflectPermission "suppressAccessChecks";
    permission java.security.SecurityPermission "putProviderProperty.BC";
};

该代码使用了一些Java的安全规则，比如java.net.SocketPermission、java.io.FilePermission、java.sql.SQLPermission等。我们可以在安全策略文件中定义自己的规则和权限控制。但注意，不要将权限授予给未被授权的用户或用户组。

示例如下：

示例1： 限制特定用户访问Java API

将以下代码添加到“$JAVA_HOME/jre/lib/security/java.policy”文件中，可限制只有特定的用户可以访问Java API：

grant codeBase "file:/path/to/my/app.jar" {
    permission java.security.AllPermission;
};

grant {
    permission java.util.PropertyPermission "*", "read, write";
    permission java.net.SocketPermission "*", "connect, accept";
    permission java.io.FilePermission "C:/tmp/*", "read, write";
    permission java.lang.RuntimePermission "getClassLoader";
    permission java.security.SecurityPermission "getProperty.jceks.info";
    permission javax.crypto.CryptoPermission "javax.crypto.Cipher.implAES";
    permission javax.crypto.CryptoPermission "javax.crypto.Cipher.SECRET_KEY";
    permission javax.crypto.CryptoPermission "javax.crypto.Cipher.de/AES";
};

grant principal bob {
    permission java.util.PropertyPermission "user.home", "read";
    permission java.net.SocketPermission "*", "connect";
    permission java.io.FilePermission "C:/test.txt", "read";
};

上述策略文件中，我们允许应用程序完全操作本地计算机（所有权限），并且只允许用户Bob访问“user.home”系统属性、访问主机（通过SocketPermission）并读取文件“ C:/test.txt”。

此时，在运行应用程序时，如果用户不是Bob，那么对策略文件中定义的权限将发生访问被拒绝的异常。

示例2： 限制应用程序执行特定操作

例如，webservice应用程序的Java EE 6规范中，我们可以使用EJB的“@RolesAllowed”注释来限制用户的操作权限。实现限制用户访问特定的应用程序资源（例如，方法，一个web服务等）。

以下代码将只允许角色为“admin”的用户访问web服务：

@RolesAllowed("admin")
@WebMethod(operationName = "HelloWorldOperation")
public String sayHelloWorld() {
    return "Hello World!";
}

这是一个简单的例子。在具有更多复杂操作的应用程序中，策略文件和处理必须做的事情更多。

总结

在这个攻略中，我们介绍了如何使用Java安全管理器保护应用程序的安全性。除了授予访问权限外，Java安全管理器还可以限制应用程序的行为（例如，限制应用程序执行某些特定的操作），以降低应用程序被攻击的几率。创建一个有效的策略文件和授权用户以使用它是非常重要的一步。