java虚拟机学习笔记——java安全模型

安全模型简介安全模型使Java成为网络环境的技术，因为它们建立了对网络移动代码安全执行的必要的可信机制。Java安全模型侧重于保护终端用户免受从网络下载的、来至于不可靠来源的、恶意程序的侵犯。而“沙箱”机制成为了这一目的的支持机制，在“沙箱”中存放不可信的Java程序。“

FG2006

1494人浏览 · 2011-08-08 00:36:21

FG2006 · 2011-08-08 00:36:21 发布

安全模型简介

安全模型使Java成为网络环境的技术，因为它们建立了对网络移动代码安全执行的必要的可信机制。

Java安全模型侧重于保护终端用户免受从网络下载的、来至于不可靠来源的、恶意程序的侵犯。而“沙箱”机制成为了这一目的的支持机制，在“沙箱”中存放不可信的Java程序。“沙箱”对不可靠的程序的活动进行了限制，程序可以在“沙箱”的安全边界内做任何事，但是不能进行任何跨越这些边界的举动。

比如说,在版本1.0中的沙箱对于很多不可靠的applet进行了如下限制：

a. 对本地硬盘的读写

b. 进行任何网络连接，但是不能连接到提供这个applet的源主机

c. 创建新的进行

d. 装载新的动态链接库

但是，基于版本1.0的沙箱模型过于严格，有些善意（但是不可靠）的代码常常无法进行有效的工作，所以，在版本1.1，“沙箱”模型得到了改进，引入了基于代码签名和认证的信任模型。

基本沙箱

Java沙箱的基本组成组件有：

1．类加载器结构

2．Class文件检验器

3．内置于Java虚拟机的安全特性

4．安全管理器及Java API

其中最重要的特点是：组件当中的类加载器以及安全管理器是可以由用户定制的。

起到第一道安全保障作用的"双亲委派类加载模型"

双亲委派方式的类加载，指的是优先从顶层启动类加载器开始，自顶向下的方式加载类的模型（参见第一条类装载器体系结构）。

这种模型的好处是，底层的类装载器装载的类无法与顶层类装载器装载的类相互调用。
哪怕是同包下的类，只要他们不属于同一类装载器，都是相互隔绝的。这对一些有安全隐患的类起到了安全隔离的作用。使它不能冒充系统类来破坏程序正常运作。

此外，不同的类装载器，也有自己的类装载范围。比如启动类装载器，它只会装在jdk/lib目录下的包/类，因此，系统级的类是相对安全的。

class文件校验器，通过四趟扫描，保证了class文件正确

第一趟是，在类被加载时进行，检查class文件的结构是否正确。比较典型的就是，检查class文件是否以魔数OxCAFEBABE打头。

通过这趟检查，可以过滤掉大部分可能损坏的，或者压根就不是class的文件，来冒充装载。

第二趟是，在连接过程中进行，称为类型数据的语义检查，检查它是否符合java语言特性里的编译规则。比如发现一个类的超类不是Object，就抛出异常。检查每个方法描述符是否符合特定的语法、格式。

第三趟是，在连接过程中进行，称为字节码验证，检查字节码是否能被JVM安全的执行，而不会导致JVM崩溃。 字节码流代表了java的方法，它是由称为操作码的单字节指令组成的序列，每一个操作码后都跟着一个或多个操作数。操作数用于在java虚拟机执行操作码指令时提供所需的额外的数据。执行字节码时，依次执行每个操作码，这就在java虚拟机内构成了执行的线程。每一个线程被授予自己的java栈，这个栈是由不同的栈帧构成的。每一个方法调用将获得一个自己的栈帧(也就是一个方法对应一个栈帧)——栈帧其实就是一个内存片断，其中存储着方法中的局部变量和计算的中间结果。用于存储方法中间结果的部分称为该方法的操作数栈。在执行一个操作码时，除了可以使用紧随其后的操作数，虚拟机还可以使用操作数栈中的数据，或局部变量中的数据。

第四趟是，符号引用验证。是在动态链接时进行，一个类文件，它会包含它引用的其他类的全名和描述符，并跟他们建立符号引用（一种虚拟的，非物理连接的方式）。当程序第一次执行到需要符号引用的位置时，jvm会检查这个符号链接的正确性，然后建立真正的物理引用(直接引用)。由于第四趟扫描必须检查被检测的class文件以外的其他类，所以这次扫描可能需要装载新的类。 动态连接是将符号引用解析为直接引用的过程。当java虚拟机执行字节码时，如果它遇到一个操作码，这个操作码在第一次使用一个指向另一个类的符号引用，那么虚拟机就必须解析这个符号引用。在解析时虚拟机执行两个基本任务：1.查找被引用的类(如果必要的话就装载它)。2.将符号引用替换为直接引用，例如一个指向类、字段或方法的指针或偏移量。