签名的 Java Applet 在连接到 Web 服务时引发安全异常

Question

我有一个在 tomcat 5.5 上运行的 java 小程序。它已签名（-selfcert）。当我的 Applet 尝试连接到 Web 服务（已经在这一行中）时，我仍然收到 java.security.AccessControlException: access returned (java.lang.RuntimePermission createClassLoader) 异常：

ws_locator = new My_WebserviceLocator(ws_adress + "?wsdl",
                new javax.xml.namespace.QName("http://impl.webservice", "My_Webservice"));

因为有一些类似的这里有问题，我读过它们：

• 是的，小程序已签名。我用 -verify 检查过。

• Tomcat 安全异常，可能是，但我已添加到 catalina.policy：

  grant codeBase "file:/home/me/apache-tomcat-5.5.27/webapps/myapplet/-" {
      权限 java.security.AllPermission; };
  

  授予 codeBase "file:/home/me/apache-tomcat-5.5.27/webapps/myapplet/applet.jar" { 权限 java.security.AllPermission; };

并且通常的东西也在那里：

grant codeBase "file:${java.home}/jre/lib/ext/-" {
        permission java.security.AllPermission;
};

没有结果。

好的，快速更新，添加：

grant{
        permission java.security.AllPermission;
};

到本地 java.policy 文件修复了问题。但这不是我想要的，小程序应该在普通机器上运行，并带有默认的 java.policy 文件。因此必须从代码中修复它。

Answer 1

您是从 applet 主线程还是从使用 javascript 调用 applet 方法启动的线程调用 WS？

请参阅下面的示例。

希望有帮助。

public class MyApplet extends JApplet {

    @Override
    public void start() {
        // It will work if your applet is signed
        callWebService();
    }

    public void methodCalledFromJavascriptWrong() {
        // It will NOT work even if your applet is signed
        callWebService();

    }

    public void methodCalledFromJavascriptGood() {
        AccessController.doPrivileged(new PrivilegedAction() {

            public Object run() {
                // It will work if your applet is signed
                callWebService();
                return null;
            }

        });

    }

    private void callWebService() {
        //Here you call your web service
    }
}

Answer 2

在服务器上设置权限并不是解决方案。抱怨的是浏览器中的安全管理器。

建议使用 AccessManager 确实是强制性的，否则将会失败。
但是，当从 start() 或 init() 调用 Web 服务时，您也需要执行相同的操作。

请问：WebService 调用是您拥有小程序的唯一原因吗？最好放置一个代理 servlet 以避免相同域策略限制。然后就可以在浏览器中使用纯HTML + Javascript了。

如果在小程序完全启动之前从 JS 调用小程序可能会失败，因此您应该等待小程序准备就绪。

Answer 3

如果您正在使用小程序中的其他库（jar），它们会与任何受限资源发生交互，那么它们也应该被签名。
因此，请提供整个堆栈跟踪和 My_WebserviceLocator。 （并且不要使用下划线）。例如，尝试签署 axis.jar。

Answer 4

作为临时解决方法，您可以禁用 SecurityManager。当然，这会带来一些安全问题，但至少您可以将其追踪到 SecurityManager（即权限问题）。

System.setSecurityManager(null);

如果这确实有效，我的猜测是您配置了错误的策略文件。当从浏览器运行小程序时，我几乎确信小程序启动器将是常规的消费者 JRE，而不是与 JDK 捆绑在一起的 jre。