在浏览器沙箱中运行时，签名的 Java 小程序是否可以访问 USB 外围设备？

Question

我已经实现了一个 Java 包，其功能是操作通过 USB 连接到工作站的 POS 打印机和现金抽屉。我还实现了一个小程序来利用该包的功能，希望能够由 POS 网站调用它。

当小程序在 Eclipse 中运行时，一切顺利。当小程序在浏览器中运行时，我的包似乎无法访问通过 USB 连接的外围设备。我从第三方 (JavaPOS) 代码收到一条错误，指出：

jpos.JposException：设备 通讯渠道无法 打开，检查设备并重试。

该小程序使用自认证进行签名。我会发布一些代码，但错误是从埋藏在正在使用的 POS 打印机的制造商特定驱动程序中的某个地方引发的。

我假设问题是，在浏览器沙箱内，小程序无法访问通过 USB 连接的外围设备。
可能是这样吗？如果是这样，是否可以从签名的 Applet 中访问 USB 外围设备？
如果小程序无法访问 USB 外围设备，那么网站如何调用可以访问 USB 外围设备的代码呢？

Answer 1

在浏览器沙箱中运行时，签名的 Java 小程序是否可以访问 USB 外围设备？

为了解决这个具体问题（并避免下面的评论中涉及的具体技术），是的，签名的 Java Applet 可以访问 USB 外设。 “沙箱”是当您运行签名的小程序时您有能力“突破”的地方。

但出于安全原因，仅对小程序进行签名并不会自动授予对沙箱之外的项目的访问权限。

PrivelegedAction 似乎是访问特权系统组件（例如打印机）的首选方法。 Oracle 在此处提供了有关这些特权操作的更多信息：http: //docs.oracle.com/javase/7/docs/api/java/security/AccessController.html

此外，从 Web 浏览器执行此类操作时需要考虑几个因素，因为 Java 关心操作的来源从。

public function writeFile() {
    ...
    FileWriter fw = new FileWriter(...);
    ...
}


public void init() {
    writeFile();
}

例如，如果您要使用小程序 init() 方法中的 FileWriter 类将文件写入文件系统（即 $HOME/Desktop/text.txt），签名的 Applet通常会允许它。将其包装到 PrivilegedAction 中会更好，并且首先使用 AccessController.checkPermission(...) 检查权限将是理想的选择。

但是，当直接从 JavaScript（而不是从 init()）调用时，FileWriter 会被阻止：

var myapplet = document.getElementById('myapplet');
myapplet.writeFile(); // Blocked by Security Framework

为了规避此问题，有些人选择使用 PrivelegedAction，但是如果该操作采取很长一段时间后，您会注意到它会阻塞 UI，这在网页中是非常糟糕的做法（并且可能导致浏览器死锁）。

public void init() {
   ...
   AccessController.doPrivileged(new PrivilegedAction() {
      public Object run() {
         writeFile();
         return null;
      }
   });
   ...
}

此外，您的问题具体询问了有关访问 USB 外围设备的问题，这通常是通过迭代人机接口设备来完成的。 HID 并不是 Java 本身直接支持的东西（截至编写本文/JRE7 为止）。所以，是的，签名的小程序可以与您的 USB 外围设备通信，但您需要使用某种形式的 Java 本机接口 (JNI) 来正确“访问”它们。 JNI 在支持跨平台方面可能会很混乱（即使用 JAR 分发 DLL 和 SO），所以...

大多数 Java Applet 所做的就是访问本地安装的打印机并使用标准 Java 打印库。这就是我们在 qz-print 项目中的做法，您可以在这里自由查看我们的源代码：https://github.com/qzindustries/qz-print/tree/master/qz-print/src/qz 它使用由 init() 触发的线程和触发所有特权函数的布尔标志。

Answer 2

我不确定你的问题的答案，但有一个实验应该可以进一步阐明这个问题。

在 Applet.init() 的开头几行调用 System.setSecurityManager(null)。然后尝试连接 USB。

• 如果小程序是受信任的，则对 setSecurityManager(null) 的调用将成功，并删除 SecurityManager 的最后残余部分。 （是的，即使受信任的小程序也有安全管理器，但它的限制比沙盒应用程序的安全管理器要少得多。）
• 如果现在发现 USB，则表明受信任的安全管理器发生了更改。最近发生了很多这样的变化。

请注意，我并不建议将这样的代码投入生产。如果您的小程序与其他小程序在同一 JRE 中运行，则取消 SM 也可能会提升其他小程序的权限。

Answer 3

我在 XP 和 Win7 32 位上使用 JRE 1.6 的 Epson TM-H6000III 也遇到了类似的问题。管理员可以使用该设备，但“用户”不能。 Java 控制台报告：

Sep 23, 2011 3:38:47 PM com.xxxx.printer.epson.EpsonPrinter findPrinter
INFO: Error opening PrinterIII: jpos.JposException: 
    Could not connect to service with logicalName = 
    PrinterIII: Exception.message=Property or stream open error.

JRE 安装似乎存在权限问题。重新安装JRE很快就解决了问题。

Answer 4

我收到了 Star Micronics 团队的反馈，他们的“...javapos 驱动程序不支持 Web 浏览器打印。”

顺便说一句，System.setSecurityManager(null) 被证明是消除我遇到的任何似乎与安全相关的问题的好方法。谢谢安德鲁。