Kısıtlanmış izinlerle Java'da bir yöntem yürütme

Question

AccessController.doPrivileged'u AccessControlContext ile arası sınıfları/yöntemlerine erişim kısıtlamasıyla kullanabileceğim bir yöntem var mı? Dosya sistemine dokunmadan veya soket açmadan güvenilmeyen kodu arayabilen bir alt rutine sahip olmak isterim.

Belirli kullanım durumu, son kullanıcıların sınırlı izinlerle yürütülebilen kod veya komut parçaları (örneğin, Javascript veya Groovy) sağlamasına olanak tanır.

Aradığım şey, tüm JVM yerine kullanıcı tarafından sağlanan kodun kapsamına giren normal güvenlik ilkesi dosyası gibi bir şey.

Answer 1

Artık AccessController yolu hakkında değilim. Ama muhtemelen aşağıdaki şemayı kullanarak durumu kontrol edebilirsiniz. Birden fazla sınıf yükleyicisine sahip olmanız gerekir: önce sınıfları olduğu gibi yükler. İkinci sınıf (ya da güvenilmeyen kod kaynakları tarafından ideal olarak), sınıfları yamalı ya da normal sınıflar yerine özel yamalı baskısı yerine dönüştürecek. Ve aslında rutin yapacak olan Sistem Klasörü için son. Ayrıca, Classloader.getSystemClassLoader öğesini korumayı da unutmayın. Ve nesneleri dönüştürmek için java yansıma API'sini veya objectweb asm kütüphanesini kullanabilirsiniz.

Answer 2

bu bir şey mi

@PreAuthorize("hasRole('ROLE_USER')") 
public void create(Contact contact); 

Spring Security bir göz atmak isteyebilirsiniz

aradığınız ise, Expression-Based Access Control

Answer 3

Java-Sandbox tam bunun için bir araçtır. Kısıtlı yöntemler için yalnızca beyaz listedeki sınıf ve kaynak kümesine erişim sağlamak için kullanılabilir. Bunu başarmak için özel bir sınıf yükleyici ve güvenlik yöneticisi ile bir sistem kullanır. Bayt kod manipülasyonu veya benzeri numaralar gerekli değildir.

Kullanmıyorum ama iyi tasarlanmış ve makul şekilde iyi belgelenmiş görünüyor. kendi web sitesinden

örnek kod:

class Untrusted extends SandboxedEnvironment<Object>() { 
    @Override 
    public Object execute() { 
     /* untrusted code */ 
     return null; 
    } 
}; 

service.runSandboxed(Untrusted.class, context);