如何拒绝客户端解除RMI注册表的绑定？

Question

我写了一个简单的RMI应用程序。我发现客户端在获得RMI-Registry后可以成功执行Registry.unbind（）方法。在我看来，这是一种安全风险。为什么允许客户端在远程注册表中取消绑定名称？一个邪恶的人可以通过修改代码来做到这一点，而我的所有其他客户端都无法连接到我的服务器，因为绑定已被删除。

是否有可能在Java策略中否认这一点？

Answer 1

来自 Javadoc for Registry：

注册表实现可以选择限制对其某些或所有方法的访问（例如，改变注册表绑定的方法可能被限制为来自本地主机的调用）。如果注册表方法选择拒绝对给定调用的访问，其实现可能会抛出AccessException，这（因为它扩展了RemoteException）将在远程客户端捕获时封装在ServerException中。

如果您愿意，可以选择阻止此行为（它实际上是大多数注册表实现的默认行为）。

Answer 2

仅当客户端在与注册表相同的主机中运行时，才会发生这种情况。如果您在自己的客户端遇到安全问题，那么您遇到的问题比RMI可以为您解决的任何问题都要大得多。