Question

我有一个与Java Applet安全相关的问题/问题。
我使用必须从服务器（ASP.NET）获取文件并从中表示信息的Applet。 Applet使用代码获取文件：

URL u = new URL(getCodeBase(), filename);
BufferedReader d = new BufferedReader(new InputStreamReader(u.openStream()));

此代码出现在两个地方：

Init()方法
从JavaScript手动调用的另一种方法Test()

因此，当我尝试使用URL http://127.0.0.1:8000/Test.aspx加载带有Applet的页面时，一切正常，我可以从两种方法中读取文件内容。但是，如果我更改http://localhost:8000/上的URL，只有第一种方法正常工作，我可以获取文件内容，而第二种方法我在JavaConsole中得到了下一条错误消息：

java.security.AccessControlException：拒绝访问（java.net.SocketPermission 127.0.0.1:8000连接，解析）

这种情况有什么区别？为什么在这种情况下'localhost'是不可能的？有没有办法如何授予对“localhost”的访问权限，与127.0.0.1相同？

这是最简单的applet示例：

public class TestApplet extends Applet {

    public void init()
    {
        System.out.println( "init...");

        readDocument();
    }

    public void readDocument()
    {
        System.out.println( "read test.txt file...");

        URL base = getCodeBase();
        String filename = "test.txt";
        try {
            URL u = new URL(base, filename);
            BufferedReader d = new BufferedReader(new InputStreamReader(u.openStream()));
            System.out.println(d.readLine());
            System.out.println("Done!");
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

以及客户端使用的下一个代码：

<applet archive="/Content/test.jar" code="test.TestApplet.class" name="testApplet" mayscript></applet>

<script language="javascript" type="text/javascript">
    $(document).ready(function () {
        var testApplet = document.testApplet;
        testApplet.readDocument();
    });
</script>

当我尝试使用http://127.0.0.1:8000/Test.aspx时，此代码可以正常运行用户http://localhost:8000/Test.aspx时无效。我在java控制台上看到下一个：

init...
read test.txt file...
some text...
Done!
read test.txt file...
java.security.AccessControlException: access denied (java.net.SocketPermission 127.0.0.1:8000 connect,resolve)
    at java.security.AccessControlContext.checkPermission(Unknown Source)
    at java.security.AccessController.checkPermission(Unknown Source)
    at java.lang.SecurityManager.checkPermission(Unknown Source)
    at java.lang.SecurityManager.checkConnect(Unknown Source)
    at sun.plugin2.applet.Applet2SecurityManager.checkConnect(Unknown Source)
    at java.net.Socket.connect(Unknown Source)
    at sun.net.NetworkClient.doConnect(Unknown Source)
    at sun.net.www.http.HttpClient.openServer(Unknown Source)
    at sun.net.www.http.HttpClient.openServer(Unknown Source)
    at sun.net.www.http.HttpClient.<init>(Unknown Source)
    at sun.net.www.http.HttpClient.New(Unknown Source)
    at sun.net.www.http.HttpClient.New(Unknown Source)
    at sun.net.www.protocol.http.HttpURLConnection.getNewHttpClient(Unknown Source)
    at sun.net.www.protocol.http.HttpURLConnection.plainConnect(Unknown Source)
    at sun.net.www.protocol.http.HttpURLConnection.connect(Unknown Source)
    at sun.net.www.protocol.http.HttpURLConnection.getInputStream(Unknown Source)
    at java.net.URL.openStream(Unknown Source)
    at test.TestApplet.readDocument(TestApplet.java:30)
    at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
    at sun.reflect.NativeMethodAccessorImpl.invoke(Unknown Source)
    at sun.reflect.DelegatingMethodAccessorImpl.invoke(Unknown Source)
    at java.lang.reflect.Method.invoke(Unknown Source)
    at sun.plugin.javascript.JSInvoke.invoke(Unknown Source)
    at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
    at sun.reflect.NativeMethodAccessorImpl.invoke(Unknown Source)
    at sun.reflect.DelegatingMethodAccessorImpl.invoke(Unknown Source)
    at java.lang.reflect.Method.invoke(Unknown Source)
    at sun.plugin.javascript.JSClassLoader.invoke(Unknown Source)
    at sun.plugin2.liveconnect.JavaClass$MethodInfo.invoke(Unknown Source)
    at sun.plugin2.liveconnect.JavaClass$MemberBundle.invoke(Unknown Source)
    at sun.plugin2.liveconnect.JavaClass.invoke0(Unknown Source)
    at sun.plugin2.liveconnect.JavaClass.invoke(Unknown Source)
    at sun.plugin2.main.client.LiveConnectSupport$PerAppletInfo$DefaultInvocationDelegate.invoke(Unknown Source)
    at sun.plugin2.main.client.LiveConnectSupport$PerAppletInfo$3.run(Unknown Source)
    at java.security.AccessController.doPrivileged(Native Method)
    at sun.plugin2.main.client.LiveConnectSupport$PerAppletInfo.doObjectOp(Unknown Source)
    at sun.plugin2.main.client.LiveConnectSupport$PerAppletInfo$LiveConnectWorker.run(Unknown Source)
    at java.lang.Thread.run(Unknown Source)

P.S。：Applet签名。

Answer 1

问题是来自JavaScript的调用。如果您使用JavaScript来调用您的方法，则调用的权限将归结为JavaScript桥的权限（即没有任何内容）和您自己代码的权限的交集 - 即使您自己的代码已签名。

要避免这种情况，并使用applet代码的完整权限，请将与安全相关的部分放在AccessController.doPrivileged(...)调用中。（当然，您的applet应该首先检查这不能做任何恶意行为。）

如果您直接使用IP地址而不是localhost，我不知道为什么会这样做。

Answer 2

localhost 是 127.0.0.1 的别名，因此您可能需要在环境中设置/修复它。在Windows下，您必须编辑文件 C：\ Windows \ System32 \ drivers \ etc \ hosts 。

Answer 3

localhost通常解析为::1和127.0.0.1，并且通常会设置OS / libc，以便在这些情况下首选IPv6。

因此，您可能只允许127.0.0.1而不是::1的IPv6连接。

对于Java Applet，http：// localhost：8000 /和http://127.0.0.1:8000/之间有什么区别

3 个答案: