反射机制是否破坏了java中的安全性？请解释一下

Question

我听说反射机制破坏了Java中的安全性。请问谁能解释一下吗？

Answer 1

显然，如果反射 API 明显破坏了小程序的安全性，那么现在就有人会注意到了。

首先我们需要一些背景信息。不同寻常的是，Java 平台/可以/提供一个安全的环境来运行不受信任的代码（出现或出现奇怪的错误 - 如果发现错误，请务必告知 Oracle 安全响应团队）。然而，大多数 Java 的使用都忽略了这一点。

当安全运行时，反射 API 将不受信任的代码可以执行的操作大致限制为在没有反射的情况下可以执行的操作（除了一些标准 Java 安全检查之外，它还检查直接调用者 - 请参阅 Java 编程语言的安全编码指南）。例如，不受信任的代码可以访问同一包中的“包私有”类，但不能访问其他包中的类。

为什么要使用反射？通常是因为它允许您代表某些客户端代码以相同的方式对一组开放式类型进行操作。客户端代码通常位于其他包中，但反射 API 会根据使用反射的代码来限制访问。因此，除非使用反射的代码编写得当，否则客户端代码不应允许访问它。这是漏洞的丰富来源。

当不安全运行时，您可以读/写文件、运行程序等，所以谁在乎呢？

Answer 2

您可以访问私有字段和使用反射的对象方法

例如

public class Foo {

  private String privateString = null;

  public Foo(String privateString) {
    this.privateString = privateString;
  }
}

---

Foo privateObject = new Foo("The Private Value");

Field privateStringField = Foo.class.
            getDeclaredField("privateString");

privateStringField.setAccessible(true);

String fieldValue = (String) privateStringField.get(privateObject);
System.out.println("fieldValue = " + fieldValue);

Answer 3

使用 reflection 你几乎可以做任何事情：通过 将它们设置为可访问，并修改不可变对象

一个常见的示例是更改 String：

public static void main(String[] args) throws Exception {
    String s = "before";
    System.out.println(s);
    Field value = String.class.getDeclaredField("value");
    value.setAccessible(true);
    Field count = String.class.getDeclaredField("count");
    count.setAccessible(true);
    char[] after = {'a','f','t','e','r','\0' };
    value.set(s, after);
    count.set(s,5);
    System.out.println(s);
}

在此示例中 - 实际的字符串对象正在更改！

请注意，使用反射来更改不可变对象有其自身的问题，正如您在这篇文章中看到的那样