使用 AllPermission 启用 Java SecurityManager

Question

我试图让自己熟悉SecurityManager，但即使是这个简单的场景也失败了。当我从 IDE 内部或命令行运行以下命令时，我得到以下 exception;

access denied ("java.util.PropertyPermission" "java.home" "read")

我以为我允许使用此代码进行所有操作：

Policy.setPolicy(new Policy() {

    @Override
    public PermissionCollection getPermissions(CodeSource codesource) {
        Permissions perm = new Permissions();
        perm.add(new AllPermission());
        return perm;
    }
});
System.setSecurityManager(new SecurityManager());
System.out.println(System.getProperty("java.home"));

这与来自 JVM 的派生策略有关吗？我怎样才能干净地setPolicy()？

下面的代码似乎也发生了同样的误解：

System.setSecurityManager(new SecurityManager());
final Permissions allPermission = new Permissions();
allPermission.add(new AllPermission());
AccessController.doPrivileged((PrivilegedAction<Void>) () -> {
    System.out.println(System.getProperty("java.home"));
    return null;
}, new AccessControlContext(new ProtectionDomain[]{new ProtectionDomain(null, allPermission)}));

更新：第二种情况是可以理解的，因为提供的权限只是进一步的限制：（javadoc）该操作是通过调用者的保护域拥有的权限的交集来执行的，以及指定AccessControlContext所代表的域所拥有的人

Answer 1

您在上面的哪个上下文中运行您的代码？

从带有简单 JVM 的命令行或在某个 JavaEE 容器之上运行的 web 应用程序中？在哪个操作系统上？使用哪个 JVM（Oracle、OpenJDK、IBM J9...）以及哪个版本？

如果您从命令行运行，请查看位于 JVM 安装路径中的 java.policy 文件。它的内容可能会缩小你的授权范围，从而阻止你访问这个特定的系统变量？

Answer 2

我能够在 Policy.setPolicy() 调用之前使用额外的 Policy.getPolicy() 重新创建您的案例，它影响行为的原因是，通过 get policy 调用，您触发了默认策略创建，以及来自 @987654324 的权限@ 已设置，但没有 setSecurityManager()，它们不会被激活，这就是当您执行自定义 AllPermission 策略集时，您仍然会遇到 "java.util.PropertyPermission" "java.home" "read" 问题，因为许多此类默认策略没有被覆盖制定政策。确实非常混乱的结构。

Policy.getPolicy();
Policy.setPolicy(policyWithAllPermission);
System.setSecurityManager(new SecurityManager());
System.out.println(System.getProperty("java.home"));
// results in 'access denied ("java.util.PropertyPermission" "java.home" "read")'

但如果您使用以下自定义策略；

Policy allPermissionPolicy = new Policy() {

    @Override
    public boolean implies(ProtectionDomain domain, Permission permission) {
        return true;
    }
};

它会覆盖所有权限定义，并允许所有操作通过，这可能会解决这种混乱。