启用安全管理器时 URLClassLoader 发出的 ClassNotFoundException

Question

对于一个实验项目，我正在尝试使用启用了安全管理器的 URLClassLoader 加载一个类。尽管 URL 和类确实存在，但代码总是失败并出现 ClassNotFoundException。

至少在以下 Java 版本（我的系统上可用的版本，MacOSX Mojave 10.14.6；尚未在 Windows 或 Linux 或其他 Java 实现上测试）观察到此行为：

java版本“1.8.0_181” Java(TM) SE 运行时环境 (build 1.8.0_181-b13) Java HotSpot(TM) 64 位服务器 VM（内部版本 25.181-b13，混合模式）

java版本“10.0.2” 2018-07-17 Java(TM) SE 运行时环境 18.3 (build 10.0.2+13) Java HotSpot(TM) 64 位服务器 VM 18.3（内部版本 10.0.2+13，混合模式）

java版本“12.0.1” 2019-04-16 Java(TM) SE 运行时环境 (build 12.0.1+12) Java HotSpot(TM) 64 位服务器 VM（内部版本 12.0.1+12，混合模式，共享）

经过数小时的故障排除（检查路径、查找路径中的不可见字符、阅读类加载器上的文档等），我意识到只有在启用安全管理器时才会发生异常。当我禁用它时，发现该类没有问题。我会期待某种安全异常，但不是 ClassNotFoundException。

显然，缺少安全管理器严重限制了类加载器的实用性（尤其是如果您想加载不受信任的签名类和 jar 文件）。创建类加载器的权限显然是在安全策略中授予的。

下面的代码是重现问题所需的最少代码。

我对 Java 比较陌生。我可能正在做一些愚蠢的事情。以前有人观察过这种行为吗？是故意的吗？我错过了什么吗？

感谢您的帮助。

.
├── ClassLoaderTest.class
├── ClassLoaderTest.java
├── Makefile
├── security.policy
└── untrusted
    ├── Makefile
    ├── Untrusted.class
    └── Untrusted.java

1 directory, 7 files

// ClassLoaderTest.java

import java.net.URLClassLoader;
import java.net.URL;

public class ClassLoaderTest {

    public static void main(String[] args) throws Exception {
        URL[] urls = new URL[1];
        urls[0] = new URL("file:./untrusted/"); // untrusted/ could be anywhere; for the purpose of the test, it is in the working directory
        URLClassLoader loader = new URLClassLoader(urls);
        Class<?> cl = loader.loadClass("Untrusted"); // one tries to load: untrusted/Untrusted.class
        cl.getConstructor().newInstance(); // or cl.getDeclaredConstructor().newInstance()
        System.exit(0);
    }
}

public class Untrusted {
    public Untrusted() {
        System.out.println("Instantiation of Untrusted");
    }

    public static void main(String args[]) {
        Untrusted u = new Untrusted();
    }
}

// security.policy
// permissions granted to any code (no matter where it came from or whether it is signed)
// THIS IS OBVIOUSLY FOR TESTING ONLY, only trusted sources should be granted a createClassLoader permission
grant {
  permission java.lang.RuntimePermission "createClassLoader";
};

这是程序的结果：

没有安全管理器：工作

$ java ClassLoaderTest
Instantiation of Untrusted

启用安全管理器：失败！

$ java -Djava.security.manager -Djava.security.policy=security.policy ClassLoaderTest
Exception in thread "main" java.lang.ClassNotFoundException: Untrusted
    at java.base/java.net.URLClassLoader.findClass(URLClassLoader.java:436)
    at java.base/java.lang.ClassLoader.loadClass(ClassLoader.java:588)
    at java.base/java.lang.ClassLoader.loadClass(ClassLoader.java:521)
    at ClassLoaderTest.main(ClassLoaderTest.java:10)

Answer 1

将问题提交给 Oracle 后，他们解决了问题，这要归功于以下非常有用的标志（对于与安全管理器一起工作的人）： -Djava.security.debug=access

https://bugs.java.com/bugdatabase/view_bug.do?bug_id=JDK-8229532

问题就更清楚了：

// ... more lines above (skipped for clarity)
access: access denied ("java.util.PropertyPermission" "user.dir" "read") // shows up only in debug mode
Exception in thread "main" java.lang.ClassNotFoundException: Untrusted
...

因此必须向 security.policy 文件添加权限：

grant {
  permission java.lang.RuntimePermission "createClassLoader";
  permission java.util.PropertyPermission "user.dir", "read"; // new line
};

它解决了问题。

因此，该问题被 Oracle 的受让人标记为不存在并关闭。虽然他的回复很有帮助，但我仍然认为存在一个错误，即 SDK（而不是应用程序）抛出了错误的异常：ClassNotFoundException 而不是 Permission 或 Security Exception。

对于不了解 -Djava.security.debug=access 属性的人（以及生产环境中的用户或管理员），这可能会产生误导和混淆。

无论如何，我的问题已经结束，我希望这个解决方案对遇到类似问题的其他人有所帮助。

最好的问候大家。