Question

我遇到了Java安全问题。我有一个代理，它使用pdfbox-1.7.1.jar来解密我知道密码的PDF。 jar已经放在服务器和我的客户端上的/ jvm / lib / ext中，我得到了堆栈跟踪的这个小美：

java.lang.SecurityException
at java.lang.SecurityManager.checkPermission(SecurityManager.java:582)
at COM.ibm.JEmpower.applet.AppletSecurity.checkSecurityPermission(AppletSecurity.java:1332)
at COM.ibm.JEmpower.applet.AppletSecurity.checkPermission(AppletSecurity.java:1613)
at COM.ibm.JEmpower.applet.AppletSecurity.checkPermission(AppletSecurity.java:1464)
at java.lang.SecurityManager.checkSecurityAccess(SecurityManager.java:1725)
at java.security.Security.insertProviderAt(Security.java:190)
at java.security.Security.addProvider(Security.java:210)
at org.apache.pdfbox.pdmodel.encryption.SecurityHandlersManager.getInstance(SecurityHandlersManager.java:146)
at org.apache.pdfbox.pdmodel.PDDocument.openProtection(PDDocument.java:1365)
at org.apache.pdfbox.pdmodel.PDDocument.decrypt(PDDocument.java:798)
at com.magerman.hremail.prep1docc.PDFDecryptor.decrypt(Unknown Source)
at com.magerman.hremail.prep1docc.MetaAttachment.decrypt(Unknown Source)
at com.magerman.hremail.prep1docc.MetaDocContainingAttachments.removePasswordOfPDFAttachments(Unknown Source)
at com.magerman.hremail.prep1docc.EPDFPreparerFactory.generateAttachmentsTriggerDocs(Unknown Source)
at com.magerman.hremail.prep1docc.EPDFPreparerFactory.run(Unknown Source)
at com.magerman.hremail.prep1docc.BaseClass.NotesMain(Unknown Source)
at lotus.domino.AgentBase.runNotes(Unknown Source)
at lotus.domino.NotesThread.run(Unknown Source)

客户端和服务器都使用8.5.3。代理安全级别设置为3。将罐子放入代理本身并没有帮助。代理的签名者是服务器上的完全管理员。安全性异常似乎指向“insertProviderAt”

这就是我的尝试：

推出

grant {
permission java.security.AllPermission;
}

解决了我的问题，但我永远不会让我的老鹰眼管理员过去。

我正在尝试将权限的范围缩小到只有数据库，但是这里的文档：http://docs.oracle.com/javase/7/docs/technotes/guides/security/PolicyFiles.html并没有真正告诉我如何输入注释数据库。

我在这里查看了Stephan Wissel关于Xpages Java安全性的文章：http://www.wissel.net/blog/d6plinks/SHWL-8JYAT5并将以下内容插入到我的/jvm/lib/security/java.policy文件中：

grant codeBase "xspnsf://server:0/development/hre-mail/hre-mail2_0/hre-mail_(2_0)_dev.nsf/-" { 
permission java.security.AllPermission;
};

但这也不起作用，我想因为我的codeBase语法对nsf数据库无效，但仅对网页有效。

我也在尝试将权限减少到真正需要的权限，并查看此处的文档：http://docs.oracle.com/javase/1.4.2/docs/guide/security/permissions.html

暗示我必须做类似

的事情

java.security.SecurityPermission "insertProvider.{name}"

但我不知道{name}应该是什么。

我还阅读了Mikkel关于http://lekkimworld.com/2013/06/20/java_in_notes_domino_explained_on_java_security_and_how_it_relates_to_notes_domino.html

的文章

但我的大脑在页面中间左右炸了。特别是，我不确定如何实际实现此方法。你能抓住我的手，让我走过吗？

虽然我很喜欢它，我是否正确地假设每当我在/ jvm / lib / ext中放入新罐子时，我需要做的就是

tell http restart

让JVM重新加载？我假设Domino使用单个JVM进行Xpages，代理和HTTP任务，这是正确的。

另外，我是否正确，我需要重启服务器以使java.policy中的任何新策略生效？

有什么想法吗？

Answer 1

感谢Richard，Simon，Mark Myers和giulio查看这个问题。

我终于理解了Mikkel的文章（通过慢慢阅读真的）：

http://lekkimworld.com/2013/06/20/java_in_notes_domino_explained_on_java_security_and_how_it_relates_to_notes_domino.html

解决方案比我想象的要容易，我对反射示例感到困惑。

这比修改java.policy文件（我没有管理，btw）更优雅。

我通过添加一个新方法dopriviledgeddecrypt（）修改了在我调用其decrypt（）方法时遇到麻烦的类，这个方法是导致麻烦的方法的狡猾包装器。然后我将所有调用者修改为PDFDecryptor.decrypt（），以便他们调用PDFDecryptor.dopriviledgeddecrypt（）。最后一步涉及将整个类导出到一个jar文件，然后将该文件放在您正在开发的计算机上（在客户端中）和运行此代码的所有服务器上的\ jvm \ lib \ ext文件夹中。

我也无法确定是否存在修改java.policy文件的语法，以便它只影响单个Notes数据库。（更新：我现在知道这是不可能的）

package com.magerman.hremail.prep1docc;

public class PDFDecryptor {

/**
 * Instantiates a new pDF decryptor.
 * 
 * @param inputFile
 *            the input file
 * @param inputPassword
 *            the input password
 */
public PDFDecryptor(final File inputFile, final String inputPassword) {
originalFile = inputFile;
password = inputPassword;
}

/**
 * Decrypt. Given an inputted PDF File, will try to remove the security of
 * the PDF and save in-place. Done after the attachments have been extracted
 */
public final void decrypt() {
// naughty code here
}


public final void doproviledgeddecrypt() throws Exception {
AccessController.doPrivileged(new PrivilegedExceptionAction() {
    public Object run() throws Exception {
    PDFDecryptor.this.decrypt();
    return null;
    }
});
}

}

Domino Agent使用/ jvm / lib / ext中的第三方jar来解决Java安全问题

1 个答案: