Запрещать скрипты от доступа к определенным классам Java с помощью Java диспетчера безопасности

Question

Я уже использую Java 8 и это Nashorn JavaScript двигателя. И в моем приложении я получаю доступ к файлам сценариев javaScript из Java classess для различных целей. И все же можно получить доступ к Java-классам из кодов javaScript. Но так как JavaScripts в моих приложениях также может быть написан третьей стороной, Я хочу ограничить их (сценарии JS) от доступа к модулям Java. (В частности, запретить некоторые классы Java)

Я не хочу ограничивать доступ к классам Java, просто ищу способ ограничить или запретить некоторые определенные классы Java.

В Nashorn мы можем сделать это с помощью ClassFilters (overiding 'exposeToScripts()' метод), как показано ниже.

class MyCF implements ClassFilter { 
    @Override 
    public boolean exposeToScripts(String s) { 
     if (s.compareTo("myPackage.MyClass") == 0) return false; 
     return true; 
    } 
} 

Но , как мы можем использовать диспетчер безопасности Java, чтобы сделать то же самое, или путь, используя ClassFilter (упомянутую выше) достаточно, чтобы поймать и ограничить все нежелательный доступ класса Java.

Answer 1

ClassFilter не является заменой для менеджера безопасности! Страница ClassFilter JEP ->http://openjdk.java.net/jeps/202 делает это понятным в разделе non целей:

/[Это не делает] Менеджеры безопасности избыточны для скриптов. Внедрение приложений должно по-прежнему включать управление безопасностью, прежде чем оценивать скрипты из ненадежных источников. Только фильтрация классов не предоставляет полный сценарий «песочница»./

ClassFilter - это более тонкое управление над диспетчером безопасности. Например, вы можете избежать создания потоков из сценариев, запретив доступ к классу java.lang.Thread [и это подклассы по имени].