如何在安全管理器下运行Java8的nashorn

Question

我正在寻找沙盒Java 8的Nashorn javascript引擎。我已经发现了--no-java标志，这很有帮助，但我还发现了以下链接，其中指出需要“在启用SecurityManager的情况下运行”：http://mail.openjdk.java.net/pipermail/nashorn-dev/2013-September/002010.html

我还没有找到留档说明如何与Nashorn一起完成，那么应该如何安全地完成呢？

Answer 1

与java命令不同，似乎不可能通过设置java来启用安全管理器。安全jjs命令行上的manager属性。（这可能是一个bug。）但是，您可以从JavaScript调用Java API来启用安全管理器。在Java中，这是

System.setSecurityManager(new SecurityManager());

在JavaScript/Nashorn中，除了提供完全限定的类名之外，它几乎是一样的：

java.lang.System.setSecurityManager(new java.lang.SecurityManager())

（或者，您可以导入名称。）您可以将这一行放到应用程序脚本中，也可以将其放到应用程序脚本之前的jjs命令行中。

例子：

$ cat userhome.js
print(java.lang.System.getProperty("user.home"))
$ jjs userhome.js
/Users/xyzzy
$ cat secmgr.js
java.lang.System.setSecurityManager(new java.lang.SecurityManager())
$ jjs secmgr.js userhome.js
Exception in thread "main" java.security.AccessControlException: access denied ("java.util.PropertyPermission" "user.home" "read")
    at java.security.AccessControlContext.checkPermission(AccessControlContext.java:457)
    [...snip...]

但是，在命令行上设置策略文件确实有效：

$ cat all.policy
grant {
    permission java.security.AllPermission;
};
$ jjs -Djava.security.policy=all.policy secmgr.js userhome.js
/Users/xyzzy

或者，您可以在启用安全管理器之前添加等效的setProperty调用：

$ cat secmgr.js
java.lang.System.setProperty('java.security.policy', 'all.policy')
java.lang.System.setSecurityManager(new java.lang.SecurityManager())

Answer 2

可以使用启用安全管理器的jjs执行脚本。

jjs -J-Djava.security.manager myscript.js

或

jjs -J-Djava.security.manager

用于交互模式。请注意，如果您只使用-Djava。安全管理器，则该选项由jjs工具处理。要将选项传递给VM，必须使用-J前缀。除了启动工具“java”之外，任何其他JDK bin工具都是如此。

Answer 3

我知道你可能不再需要它了，但对于那些来到这里寻找在沙盒中运行nashorn的简单方法的人来说：如果你只是想阻止脚本使用反射，那么设置一个类过滤器。这样，您可以只允许使用一些可用的类。。。或者根本没有。

NashornScriptEngineFactory factory = new NashornScriptEngineFactory();
ScriptEngine scriptEngine = factory.getScriptEngine(
    new String[] { "--no-java" }, //a quick way to disable direct access to java API
    null, //a ClassLoader, let's just ignore it
    new ClassFilter() { //this one simply forbids use of any java classes, including reflection
        @Override
        public boolean exposeToScripts(String string) {
            return false;
        }
    }
);