是否可以仅对Runnable进行沙盒

Question

是否可以在 Java 中对我的 Runnable 进行沙盒处理？给定一个 Runnable，我希望它里面的代码（以及它生成的任何线程）在沙箱中运行，该沙箱只允许代码访问 fileystem 上的特定路径。一旦 Runnable 完成，线程应该返回到它拥有的任何正常权限，而任何剩余的生成线程仍将应用文件系统限制。

我想在运行时这样做。这意味着我想避免创建策略文件并将自定义参数传递给JVM。到目前为止，我已经能够将沙盒应用于我的整个应用程序，但我还没有找到一种方法将其范围缩小到当前线程中运行的Runnable…

if (System.getSecurityManager() == null) {
    System.setSecurityManager(new SecurityManager());
}

CodeSource nullSource = new CodeSource(null, (CodeSigner[]) null);

PermissionCollection perms = new Permissions();
perms.add(new FilePermission(path.toAbsolutePath().toString() + "/*", "read"));

ProtectionDomain domain = new ProtectionDomain(nullSource, perms);
AccessControlContext safeContext = new AccessControlContext(
        new ProtectionDomain[]{domain});

AccessController.doPrivileged((PrivilegedAction) () -> {
    try {
        r.run();
    } catch (Exception e) {
        throw new IllegalStateException(e);
    }
    return null;
}, safeContext);

Answer 1

限制权限的< code>doPrivileged技术仅适用于不滥用其位置的受信任代码(例如，通过调用< code>doPrivileged本身)。例如，作为一个对抗XML包含的层是非常有用的，但对于不受信任的插件却不是。

您可以使用自定义的＜code＞ClassLoader＜/code＞在运行时加载具有特定权限的代码，但如果需要权限，则必须重新加载代码。

对象能力模型给出了一个“纯”的动态解决方案。容器向插件传递一个能够执行特权动作的对象。在内部，对象的方法可以只是由< code>doPrivileged包围的操作。至关重要的是，这些动作只能通过一个实例来实现，非特权代码不允许实例化它。如果忽略< code>ServiceMangaer，这类似于JNLP/WebStart中的< code>FileOpenService。在JDK内部，您可能会看到类似< code>Unsafe和< code>SharedSecrets的内容，尽管这些内容更多的是为了避免重复的安全检查。