起因
最近在写一个Elastic Search的插件，调试的时候遇到了下面的异常
Caused by: java.security.AccessControlException: access denied ("java.lang.RuntimePermission" "loadLibrary.alilt_ws_jni")
at java.security.AccessControlContext.checkPermission(AccessControlContext.java:472) ~[?:1.8.0_112]
at java.security.AccessController.checkPermission(AccessController.java:884) ~[?:1.8.0_112]
at java.lang.SecurityManager.checkPermission(SecurityManager.java:549) ~[?:1.8.0_112]
at java.lang.SecurityManager.checkLink(SecurityManager.java:835) ~[?:1.8.0_112]
at java.lang.Runtime.loadLibrary0(Runtime.java:876) ~[?:1.8.0_112]
at java.lang.System.loadLibrary(System.java:1143) ~[?:1.8.0_112]
at alilt_ws.AliLTWSjni.<clinit>(AliLTWSjni.java:30) ~[?:?]
... 43 more
对应的代码是
System.loadLibrary("alilt_ws_jni");
什么是Security Manager
SecurityManager在Java中被用来检查应用程序是否能访问一些有限的资源，例如文件、套接字(socket)等等。它可以用在那些具有高安全性要求的应用程序中。通过打开这个功能， 我们的系统资源可以只允许进行安全的操作。
通过查看System.loadLibrary源码
public static void loadLibrary(String libname) {
Runtime.getRuntime().loadLibrary0(Reflection.getCallerClass(), libname);
}
synchronized void loadLibrary0(Class<?> fromClass, String libname) {
SecurityManager security = System.getSecurityManager();
if (security != null) {
security.checkLink(libname);
}
if (libname.indexOf((int)File.separatorChar) != -1) {
throw new UnsatisfiedLinkError(
"Directory separator should not appear in library name: " + libname);
}
ClassLoader.loadLibrary(fromClass, libname, false);
}
可以看出loadLibrary0里面调用了SecurityManager来检查是否有权限。
怎么开启SecurityManager呢？
当Java虚拟机启动时，它首先通过检查系统属性java.security.manager来确定SecurityManager是否打开了。如果打开了，那么SecurityManager实例将被创建，它可以被用来检查不同的权限。默认情况下，SecurityManager是关闭的，但是这里有一些方法可以打开SecurityManager。
- 1、指定 -Djava.security.manager
当我们运行一个程序，我们可以指定JVM命令 -Djava.security.manager 使SecurityManager运行。
java -Djava.security.manager <class_name>
这是打开SecurityManager最常见的方式。java.security.manager是一个系统属性，您可以使用System.getProperty(“java.security.manager”)检查该系统属性是否被设置。
在这里，你可能会认为，我们可以使用System.setProperty(“java.security.manager”)打开SecurityManager，但是并不能这么设置。因为先前我们提到，这个系统属性是在当JVM启动时进行检查的。如果我们用程序手动设置该属性，并不能奏效，因为JVM已经启动了，已经过了检查系统属性的步骤了。
- 2、通过程序打开SecurityManager
现在，如果我们真的想通过我们的程序打开SecurityManager，我们也能做到。 System类中有一个叫 setSecurityManager() 的方法可以做到这一点。这个方法的参数是一个SecurityManager实例。
SecurityManager sm=new SecurityManager();
System.setSecurityManager(sm);
通过这个,我们可以打开SecurityManager.。如果之后我们想要关闭SecurityManager, 我们该怎么做? 下面的代码能做到吗？
SecurityManager sm=System.getSecurityManager();
if(sm!=null){
System.setSecurityManager(null);
}
注意：
上面的代码只有你在位于${JAVA_HOME}/jre/lib/security目录下或者其他指定目录下的java.policy文件中指定了一个权限才会奏效。 这个权限是:
permission java.lang.RuntimePermission "setSecurityManager";
上面的一行将被用来允许代码设置SecurityManager
- 3、在build文件中
我们想打开SecurityManager，如果我们使用Ant构建应用程序时, 我们可以加上
<sysproperty key="java.security.manager" value="" />
我们通过Ant创建单元测试的时候非常有用。
如何允许某些操作的权限
针对开篇遇到的异常，可以通过添加文件plugin-security.policy并在调用命令行里面指定policy文件路径-Djava.security.policy=file:///pathto/plugin-security.policy来授权操作权限
grant{
permission java.lang.RuntimePermission "loadLibrary.*";
};
permission探究
下面来看一下jre/lib/security/java.policy里面的permission
The first section - grant codeBase, is about which code can be executed; the second - grant, is about specific permissions.
grant codeBase "file:${{java.ext.dirs}}/*" {
permission java.security.AllPermission;
};
// default permissions granted to all domains
grant {
// Allows any thread to stop itself using the java.lang.Thread.stop()
// method that takes no argument.
// Note that this permission is granted by default only to remain
// backwards compatible.
// It is strongly recommended that you either remove this permission
// from this policy file or further restrict it to code sources
// that you specify, because Thread.stop() is potentially unsafe.
// See the API specification of java.lang.Thread.stop() for more
// information.
permission java.lang.RuntimePermission "stopThread";
// allows anyone to listen on dynamic ports
permission java.net.SocketPermission "localhost:0", "listen";
// "standard" properies that can be read by anyone
permission java.util.PropertyPermission "java.version", "read";
permission java.util.PropertyPermission "java.vendor", "read";
permission java.util.PropertyPermission "java.vendor.url", "read";
permission java.util.PropertyPermission "java.class.version", "read";
permission java.util.PropertyPermission "os.name", "read";
permission java.util.PropertyPermission "os.version", "read";
permission java.util.PropertyPermission "os.arch", "read";
permission java.util.PropertyPermission "file.separator", "read";
permission java.util.PropertyPermission "path.separator", "read";
permission java.util.PropertyPermission "line.separator", "read";
参考文章
https://docs.oracle.com/javase/7/docs/technotes/guides/security/overview/jsoverview.html
https://blog.frankel.ch/java-security-manager/#gsc.tab=0
