确保方法只能由所选方法执行答案

【问题标题】：Make sure that a method is only executable by chosen methods确保方法只能由所选方法执行
【发布时间】：2018-04-17 14:27:05
【问题描述】：

我需要确保类中的方法仅由来自不同包的选定方法执行。

package myApp.security;
public class SecurityStuff{
    public static final SecurityStuff security = new SecurityStuff();
    public KeyStore getKeyStore(){
        //if invoked by MySock.getTLSServerSocket()
        return keyStore;
        //if not, should return null
    }
}

package myApp.socks;
public class MySock{
    public void getTLSServerSocket(){
        KeyStore keyStore = SecurityStuff.security.getKeyStore();
    }
}

对于上述 2 个类，我如何确保 SecurityStuff.getKeyStore() 将返回 KeyStore 如果它来自我允许的类和方法？

请注意 jar 稍后会被混淆。

【问题讨论】：

听起来像XY Problem。
GhostCat - 混淆会使该解决方案无用。阅读最后一段，谢谢。
是的，重新考虑您的设计。这是一个坏主意。多想想objects——你应该考虑谁能接触到objects。如果您阻止将对象分发给无效的“持有者” - 那么您会隐式阻止调用方法！
那么请您更明确地说明您已经研究过其他答案！而且我仍然认为给 DUP 的第二个答案是你应该关注的！
我猜SecurityManager 可能会派上用场。这些secure coding guidelines for Java SE 解释了如何正确使用它。另请参阅this SO post。

标签： java

【解决方案1】：

看看StakTraceElement。您可以像这样获得堆栈跟踪：

StackTraceElement[] stack = Thread.currentThread().getStackTrace();

然后就可以使用getMethodName()获取调用方法名了。因此，您可能可以将要访问的方法列入白名单并为它们返回keystore。对于所有其他情况，您可以返回 null。希望这会有所帮助。

【讨论】：

这就是我之前指出的重复问题中所建议的。它不适用于 OP，因为这些类将被混淆。因此，方法名称在运行时会有所不同。

【解决方案2】：

你可以请求发送者的对象：

 public KeyStore getKeyStore(Object obj){
        if (!obj instanceof MyClassThatIsAllowedToCall) return;
        //execute code
 }

并且当你调用 getKeyStore 时总是提供参数：

getKeyStore(this);

这似乎是您想要的，但它并不安全！您可以轻松伪造发件人。因此，如果您实际上是在处理机密数据，那么这不是您要走的路。

【讨论】：