java rmi认证&安全。 exportObject 使其公开？

Question

问题：

当您UnicastRemoteObject.exportObject(instance)时。该实例现在是否可供所有客户公开使用？即使找到它的端口需要一点技巧。

情况是这样的：

我有一个 java RMI 客户端/服务器设置，我想添加一些身份验证。允许客户端在任何其他 RPC 调用工作之前使用用户/密码组合。

我在网上发现了一个简单的建议，乍一看似乎是个好主意。

interface LoginService implements Remote {
  public MainService login(String username, char[] password) throws RemoteException;
}

interface MainService implements Remote {
  /* all my real rpc calls go here */
}

这个想法是，创建一个远程对象来体现对 RPC 的经过身份验证的访问。并通过执行身份验证的第一层访问它。

LoginServiceImpl.login() 必须看起来像这样。

public MainService login(String username, char[] password) throws RemoteException {
  /* verify username and password */
  MainService service = new MainServiceImpl();
  MainService stub = UnicastRemoteObject.exportObject(service, 0);
  return stub;
}

因此，每个调用 login() 的客户端都会获得自己专用的 MainService 远程实例。当然，我会将整个内容封装在 ssl 中以保护纯文本密码。

这就是问题所在：

似乎在我导出新的 MainServiceImpl 实例后，它现在已公开可用。任何其他知道要查找内容的客户端都可以连接到它并调用该 MainServiceImpl 实例。

我必须在创建 MainService 之后将其导出，否则 RMI 不会将存根发送到客户端。相反，它会尝试序列化 MainService 实例。

我可以将用户名粘贴在 MainService 中，但这实际上没有帮助。

Answer 1

在切换到 JRMP（RMI 有线协议）之前，您需要进行身份验证。有一个 JSR 可以解决这个问题，但它被否决了。 JERI 为 JINI 做这件事。

Answer 2

SSL 与客户端身份验证可以解决这个问题。