验证 JAR 文件的完整性是否必要？

Question

我有一个 zip 文件，其中包含许多从 HTTPS 站点下载的 jar 文件。

这些 jar 文件构成了一个命令行驱动的服务器端应用程序。我有一个 Java 编写的应用程序安装程序，它会进行一些检查以验证 jar 是使用特定的受信任数字证书签名的，并且在传输过程中没有被修改。

是否有必要在收到 jar 文件时进行验证，或者这是否是 JVM 所做的事情？我知道 JVM 会验证字节码，但是 jar 签名呢？

Answer 1

这取决于罐子的使用方式。

如果 jar 最终由类加载器加载，则类加载器可能会执行签名验证。如果类加载器恰好是URLClassLoader 的实例，那么它将执行签名验证。

如果您使用 Java API 中的 JarFile 类来访问 JAR，那么使用接受字符串或文件参数的简单构造函数将导致执行验证。如果需要，必须明确关闭验证。