使用SecureASTCustomizer从groovy创建和删除限制等文件操作

Question

我希望限制文件操作，如创建文件、删除文件等。我已经与SecureASTCustomizer进行了检查，但这仅限于导入包级别。如果任何一个在groovy类中直接使用而没有导入包，那么它就是允许脚本和允许do操作，这就是我们面临的问题。我尝试过这一点，但没有成功。

MethodCallExpression methodCall = new MethodCallExpression(new VariableExpression("file"), "delete", MethodCallExpression.NO_ARGUMENTS);
           List l= new ArrayList<>();
            l.add(methodCall);
           secure.setExpressionsBlacklist(l);

是否可以仅限制特定类的少数方法，如文件的删除方法、新文件创建等。？请建议使用groovy实现这一点的任何方法。

Answer 1

据我所知，您不能禁止调用某些类，但您可以使用Groovy metaClass全局替换对某些方法的调用。

例如，在评估您可能拥有的任何脚本之前，可以将此代码段添加到其文本中：

File.metaClass.delete = {
    println "We ain't deleting no files!"
    return false
}

当一些Groovy代码调用File#delete（）时，它将运行这个lambda而不是实际的方法。

示例：

final shell = new GroovyShell()

final result = shell.evaluate '''
// our "protection"
File.metaClass.delete = {
    println "We ain't deleting no files!"
}

// the actual script
def f = new File('hello.txt')
def deleted = f.delete()
if (deleted) 'DELETED THE FILE!!'
else "File exists? ${f.isFile()}"
'''

println result

运行此命令将打印此内容（假设工作目录中存在hello.txt）：

We ain't deleting no files!
File exists? true

这对于DSL来说已经足够好了，但是它很容易绕过。

旁路示例：

File.metaClass.delete = {
    println "We ain't deleting no files!"
}

// malicious scripts
@groovy.transform.CompileStatic
class NonGroovy {
    static deleteFile(File f) {
        f.delete()
    }
}
def f = new File('hello.txt')
def deleted = NonGroovy.deleteFile(f)
if (deleted) 'DELETED THE FILE!!'
else "File exists? ${f.isFile()}"

此打印：

DELETED THE FILE!!

有更多的旁路比你可能可以防御！

如果这是出于安全目的，我建议实际使用Java的SecurityManager，并仔细为脚本设置策略，或者告诉Groovy编译器使用您自己的类加载器实现，只加载可以安全使用的类（也可能很难做到，但加上您可以在SecureASTCustomizer上设置的限制，这可能是可以管理的）。

也检查这篇博文：https://levelup.gitconnected.com/secure-groovy-script-execution-in-a-sandbox-ea39f80ee87

它提到的这个GitHub项目试图在Jenkins CI的上下文中实现一个安全的沙盒：https://github.com/jenkinsci/groovy-sandbox