知识大全 jvm学习:策略和保护域

Posted 2022-07-19 知

篇首语：遇到一些人，知道一些事，才能懂的理解与珍惜，才能看清自己的方向。本文由小常识网(cha138.com)小编为大家整理，主要介绍了知识大全 jvm学习:策略和保护域相关的知识，希望对你有一定的参考价值。

　　前面一节我们做了一个简单的实验来说明什么是策略文件在文章的最后也顺带的讲了一下什么是策略还有策略的作用

　　为了引出另外一个很重要的概念ProtectionDomain（保护域）所以我们还是要先来回顾一下什么是策略

　　首先什么是策略今天的东西纯粹是比较概念的当然如果你读过笔记九今天的东西就真的是soso

　　策略与策略文件

　　java对应用程序的访问控制策略是由抽象类java security Policy的一个子类的单例所表示任何时候每个应用程序实际上只有一个Policy对象 Policy对象对应着策略文件类装载器利用这个Policy对象来帮助他们决定在把一段代码导入虚拟机时应该给予什么权限

　　上面那段话告诉我们一个应用程序对应一个策略对象一个策略对象对应一个策略文件

　　那么策略文件除了对我们笔记九中一个文件夹下的所有文件起限制作用外还能对什么主体起作用呢？先来看看下面的策略文件myPolicy txt

　　keystore ijvmkeys

　　grant signedby friend

　　permission java io FilePermission d:/testPolicy txt read write ;

　　;

　　grant signedby stranger

　　permission java io FilePermission d:/testPolicy txt read write ;

　　;

　　grant codeBase file:D:/workspace/TestPolicy/bin/*

　　permission java io FilePermission d:/testPolicy txt read write ;

　　;

　　简单的解读一下

　　第一行 keystore ijvmkeys 这一行的意思密钥对存放在当前目录一个叫ijvmkeys的文件里（记得笔记八做过的jar包签名实验吗）

　　第二行 grant signedby friend grant是授权的意思这一行的意思是给一个被 friend 的密钥对签名的文件授权

　　第三行 permission java io FilePermission d:/testPolicy txt read write ;这行的意思是对于d:/testPolicy txt赋予读写的权限

　　倒数第三行 grant codeBase file:D:/workspace/TestPolicy/bin/* 这一句我们笔记九的时候见过就是对D:/workspace/TestPolicy/bin/*下的所有文件赋予权限

　　重点一到这里我们应该可以知道策略文件可以给一系列被签名的代码库（ friend stranger 都是代码库）授权也可以给一个代码来源（一个具体的路径或者说url就是一个代码来源）授权

　　重点二策略文件不仅可以存储在文件中（后缀名是什么不重要）还可以存放在数据库里

　　到了这里我们对策略有一个比较完整的概念了但是你有没有这么一个疑问前面我们总说一个应用程序对应一个策略单例一个策略单例对应一个策略文件它到底怎么对应的？下面我们就来探究一下

　　在探究之前我们先引入一个新的概念叫保护域（ProtectionDomain）在笔记三的时候我们提到过类装载器将class文件load内存的时候会将它放置到一个保护域中是滴今天我就来说说什么是保护域

　　什么是保护域

　　当类装载器将类型装入Java虚拟机时它们将为每个类型指派一个保护域保护域定义了授予一段特定代码的所有权限（一个保护域对应策略文件中的一个或多个Grant子句）装载入Java虚拟机的每一个类型都属于一个且仅属于一个保护域

　　类装载器知道它装载的所有类或接口的代码库和签名者它利用这些信息来创建一个CodeSource对象它将这个CodeSource对象传递个当前Policy对象的getPermissions（）方法得到这个抽象类java security PermissionCollection的子类实例这个PermissinCollection包含了到所有Permission对象的引用（这些Permission对象由当前策略授予指定代码来源）利用它创建的CodeSource和它冲Policy对象得到的PermissionCollection 它可以实例化一个新的ProtectDomain对象它通过将合适的ProtectionDomain对象传递给defineClass（）方法来将这段代码放到一个保护域中

　　如果你对上面这段话理解不了看下面这个图

　　好了看完上面的这整个过程之后你是否已经理解什么是保护域了

　　下面我们在整理一下内容概念有点多一个一个的来

　　codeSource:代码源这个是类装载器生成的java security CodeSource的一个对象 classLoader通过读取class文件 jar包得知谁为这个类签过名（可以有过个签名者关于签名请查看笔记七和八）而封装成一个签名者数组赋给codeSource对象的signers成员通过这个类的来源（可能来自一个本地的url或者一个网络的ur 对应了grant笔记九里myPollicy里的 friend 或者file::…l）赋给codeSource的location成员还有这个类的公钥证书赋给codeSource的certs成员（通常一个jar是能够被多个团体或者机构担保的也就是我们说的认证在java 的默认安全管理器还有访问控制体系结构都只能对证书起作用而不能对赤裸的公钥起作用而实际上我们用keytool生成密钥对时同时会生成一个自签名证书所以keytool生成的密钥对并不是赤裸的）如果你有疑问我们看一下jdk里的代码

　　public class CodeSource implements java io Serializable

　　private static final long serialVersionUID = L;

　　/**

　　* The code location

　　* @serial

　　private URL location;//本地代码库

　　* The code signers

　　private transient CodeSigner[] signers = null;//签名者

　　* The code signers Certificate chains are concatenated

　　private transient java security cert Certificate certs[] = null;//证书

　　Policy:策略就是用来读取策略文件的一个单例对象通过传入的CodeSource对象（由于codeSource对象里包含了签名者和代码来源）所以他通过读取grant段取出一个个的Perssiom然后返回一个PerssiomCollection 这个类里有一个很重要的成员变量

　　// Cache mapping ProtectionDomain to PermissionCollection

　　private WeakHashMap pdMapping;

　　这个成员为什么重要我们来看一个方法

　　private static void initPolicy （final Policy p）

　　……

　　if （policyDomain getCodeSource（） != null）

　　……

　　synchronized （p pdMapping）

　　// cache of pd to permissions

　　p pdMapping put（policyDomain policyPerms）

　　return;

　　我们主要看关键代码这个pdMapping就是把保护域对象当做key将权限集合当做value存在在了这个map里所以我们说一个保护域对应多个策略文件的grant子句的permission

　　ProtectionDomain:保护域前面我们已经介绍过了他就是用来容纳class文件还有perssiom codeSource的一个对象如果你对此还有什么疑问我们也看看它的代码来验证一下我们的结论

　　public class ProtectionDomain

　　/* CodeSource */

　　private CodeSource codesource ;//代码源

　　/* ClassLoader the protection domain was consed from */

　　private ClassLoader classloader;//类装载器

　　/* Principals running as within this protection domain */

　　private Principal[] principals;

　　/* the rights this protection domain is granted */

　　private PermissionCollection permissions;//权限集合

　　Permission:权限这个对应了我们笔记九里的grant子句里的一个permission 它的结构也很简单权限名和动作就好像我们笔记九里的java io FilePermission是一个权限名

　　而动作则是read和write 在Permission中它对应一个字符串

　　现在我们用一张图来把上面几个概念串联起来

cha138/Article/program/Java/hx/201311/26831