有谁知道如何实现类似于 Google App Engine 的白名单类访问方法？答案

【问题标题】：Does anyone know how a white-list class access approach similar to Google App Engine can be implemented?有谁知道如何实现类似于 Google App Engine 的白名单类访问方法？
【发布时间】：2011-01-23 00:18:11
【问题描述】：

我正在编写一个容器框架，它可以在容器中动态部署一个包含用户开发类的 Jar 文件，然后使用 Web 界面从 Jar 文件中执行某些类。

其他一切都设置妥当，包括验证。但是，要求是只允许从用户开发的类访问某些 JDK 和其他库类。显然，这是因为容器需要确保有人（有意或无意地）最终运行一段导致“不良”行为的 Java 代码。

一般来说，我在 Google 上可以找到几乎所有主题的资料。在这种情况下，我不能:(

【问题讨论】：

标签： java google-app-engine whitelist

【解决方案1】：

请注意，自定义类加载器不足以对抗恶意人员 - 他/她可以访问父类加载器并通过它加载受限制的类。除了自定义类加载器之外，您还应该设置 security manager 并撤销 getClassLoader 权限（也许还有其他一些权限）。

【讨论】：

【解决方案2】：

见Can i deny access to a jvm class by configuring java.policy file?

它建议使用自定义类加载器

【讨论】：