Java 2 安全性答案

【问题标题】：Java 2 SecurityJava 2 安全性
【发布时间】：2011-04-14 13:58:27
【问题描述】：

我们在 WebSphere 6.1 上启用了 java 2 安全性，并部署了我们的 test.ear 和 was.policy，它具有以下代码。

grant codeBase "file:/opt/TEST/EAR/test.ear/test.war/WEB-INF/lib/system.jar" {
  permission java.security.AllPermission;
  permission java.io.FilePermission "/opt/TEST/SYSTEM/config.client.xml", "read, write, execute";
};

然后我们重新启动了部署管理器、节点代理和节点管理器。

但我们仍然在 IBM 日志中收到以下错误。

0000002b SecurityManag W   SECJ0314W: Current Java 2 Security policy reported a potential violation of Java 2 Security Permission. Please re
fer to InfoCenter for further information.

权限：

  /opt/TEST/SYSTEM/config.client.xml : access denied (java.io.FilePermission /opt/TEST/SYSTEM//config.client.xml read)

代码：

 com.test.system.server.common.base.ControllerBase  in  {file:/opt/TEST/EAR/test.ear/test.war/WEB-INF/lib/system.jar}

堆栈跟踪：

java.security.AccessControlException: access denied (java.io.FilePermission /opt/TEST/SYSTEM/config.client.xml read)
        at java.security.AccessControlContext.checkPermission(AccessControlContext.java:264)
        at java.security.AccessController.checkPermission(AccessController.java:427)
        at java.lang.SecurityManager.checkPermission(SecurityManager.java:532)
        at com.ibm.ws.security.core.SecurityManager.checkPermission(SecurityManager.java:213)
        at java.lang.SecurityManager.checkRead(SecurityManager.java:871)
        at java.io.File.exists(File.java:700)
        at com.test.system.server.common.base.ControllerBase.fileNotExists(ControllerBase.java:286)
        at com.test.system.server.common.base.ControllerBase.readConfigFromSystemProperty(ControllerBase.java:267)
        at com.test.system.server.common.base.ControllerBase.createConfigStream(ControllerBase.java:227)
        at com.test.system.server.common.base.ControllerBase.readConfigFile(ControllerBase.java:556)
        at com.test.system.server.common.base.ControllerBase.init(ControllerBase.java:374)
        at com.test.system.client.servlet.FrontController.init(FrontController.java:96)
        at com.ibm.ws.webcontainer.servlet.ServletWrapper.init(ServletWrapper.java:227)
        at com.ibm.ws.wswebcontainer.servlet.ServletWrapper.init(ServletWrapper.java:340)
        at com.ibm.ws.webcontainer.servlet.ServletWrapper.handleRequest(ServletWrapper.java:435)
        at com.ibm.ws.wswebcontainer.servlet.ServletWrapper.handleRequest(ServletWrapper.java:524)
        at com.ibm.ws.webcontainer.webapp.WebApp.handleRequest(WebApp.java:3548)
        at com.ibm.ws.webcontainer.webapp.WebGroup.handleRequest(WebGroup.java:269)
        at com.ibm.ws.webcontainer.WebContainer.handleRequest(WebContainer.java:818)
        at com.ibm.ws.wswebcontainer.WebContainer.handleRequest(WebContainer.java:1478)
        at com.ibm.ws.webcontainer.channel.WCChannelLink.ready(WCChannelLink.java:125)
        at com.ibm.ws.http.channel.inbound.impl.HttpInboundLink.handleDiscrimination(HttpInboundLink.java:458)
        at com.ibm.ws.http.channel.inbound.impl.HttpInboundLink.handleNewInformation(HttpInboundLink.java:387)
        at com.ibm.ws.http.channel.inbound.impl.HttpInboundLink.ready(HttpInboundLink.java:267)
        at com.ibm.ws.tcp.channel.impl.NewConnectionInitialReadCallback.sendToDiscriminators(NewConnectionInitialReadCallback.java:214)
        at com.ibm.ws.tcp.channel.impl.NewConnectionInitialReadCallback.complete(NewConnectionInitialReadCallback.java:113)
        at com.ibm.ws.tcp.channel.impl.AioReadCompletionListener.futureCompleted(AioReadCompletionListener.java:165)
        at com.ibm.io.async.AbstractAsyncFuture.invokeCallback(AbstractAsyncFuture.java:217)
        at com.ibm.io.async.AsyncChannelFuture.fireCompletionActions(AsyncChannelFuture.java:161)
        at com.ibm.io.async.AsyncFuture.completed(AsyncFuture.java:136)
        at com.ibm.io.async.ResultHandler.complete(ResultHandler.java:196)
        at com.ibm.io.async.ResultHandler.runEventProcessingLoop(ResultHandler.java:751)
        at com.ibm.io.async.ResultHandler$2.run(ResultHandler.java:881)
        at com.ibm.ws.util.ThreadPool$Worker.run(ThreadPool.java:1497)

请帮助我们解决问题。

提前致谢，

【问题讨论】：

标签： java websphere policy

【解决方案1】：

尝试以下操作（除非您正在部署分解的 ear 文件）

grant codeBase "jar:file:/opt/TEST/EAR/test.ear!/test.war/WEB-INF/lib/system.jar" {
    permission java.security.AllPermission; 
};

关键位是codeBase位置前面的“jar：”，以及“.ear”后面的感叹号（“！”）

我已经删除了显式 FilePermission- 如果您授予 AllPermission，则也无需授予显式 FilePermissions。（但是，如果您授予 AllPermission，那么您为什么要首先打开 Java 2 安全性？）

【讨论】：

WAS 始终使用分解的 EAR 文件运行。使用 jar: 语法不起作用。

【解决方案2】：

在 was.policy 中使用相对路径。以下 sn-p 对我有用：

grant codeBase "file:test.war" {  
  permission java.security.AllPermission;
};

有关详细信息，请参阅信息中心主题 Configuring the was.policy file for Java 2 security。

注意：我同意 DaveHowes 的观点，即启用 Java 2 安全性但授予 AllPermission 毫无价值。

【讨论】：