为什么我不应该使用默认的java安全管理器

Question

我的项目的一部分需要允许参与者上传简单和非常基本的Java代码，我将运行他们的代码并返回结果。我通过限制Web用户帐户的权限，使用线程来控制超时情况，并使用安全管理器来沙箱委托程序来降低安全风险。

由于我不太了解哪种请求可能会导致意外危险，所以我决定使用默认策略。但大多数人都在谈论使用自定义策略。

我搜索了很多，但我仍然没有找到任何网站/文献/教程，谈论为什么我不应该使用默认安全管理器。在默认策略中存在自定义策略时是否可以避免任何错误？

我的意思是，是因为默认策略过于严格或无用，因此人们倾向于使用自定义策略。

我已经阅读了java.security，但我仍然希望确保这一点。

Answer 1

必须授权最低权利，而不是＆＃34;合理的默认值＆＃34;。

这取决于项目的详细信息。这些详细信息定义了您为客户代码提供的权限。 list of possible permissions是巨大的，知道你在做什么，你可以更紧密地调整它。至少，您应该查看默认策略文件，并认为可以另外禁用。