验证Jar签名

Question

我正在尝试以编程方式验证jar文件是否未被明显篡改。我有2个要防止的用例。1）修改现有类2）在罐子中添加新类

我使用jarsigner签名了罐子。当我用jarsigner验证以上两种情况之一时，它的工作方式就与我期望的一样。

当我尝试使用如何以编程方式验证用jarsigner签名的jar 或如何通过自签名的jar验证签名中的示例以编程方式进行操作时
？但是，我没有任何SecurityExceptions …或与此相关的任何异常。

由于这些片段似乎对其他人有用，因此不确定我在做什么错。有任何想法吗？这是JDK 1.6 BTW。

编辑：按照下面的要求，代码示例…提供您自己的修改后的jar ：） ``

    JarFile myJar;

    try
    {
        //Insert the full path to the jar here      
        String libPath =  ""
        stature = new JarFile(libPath,true);

        //Don't really need this right now but was using it to inspect the SHA1 hashes

        InputStream is = myJar.getInputStream(myJar.getEntry("META-INF/MANIFEST.MF"));
        Manifest man = myJar.getManifest();            
        is.close();

        verifyJar(myJar);

    }
    catch (IOException ioe)
    {
        throw new Exception("Cannot load jar file", ioe);
    }


private void verifyJar(JarFile jar) throws Exception
{
    Enumeration<java.util.jar.JarEntry> entries = jar.entries();
    while (entries.hasMoreElements())
    {
        java.util.jar.JarEntry entry = entries.nextElement();

        try
        {
            jar.getInputStream(entry);

            //Also tried actually creating a variable from the stream in case it was discarding it before verification
            //InputStream is = jar.getInputStream(entry);
            //is.close();
        }
            catch (SecurityException se)
            {
                /* Incorrect signature */                    
                throw new Exception("Signature verification failed", se);
            }
            catch (IOException ioe)
            {
                throw new Exception("Cannot load jar file entry", ioe);
            }
    }
}

Answer 1

我弄清楚了为什么这会发生在我身上……这是一个愚蠢的错误。

我有被篡改的带签名的jar，但是我编译过所有相同的类，因为这是我的开发环境。因此，类加载器选择了jar类上的已编译类。没有针对已编译类的清单，因此未生成任何安全错误。

删除编译的类后，我得到了预期的安全性异常。