Java安全之认证与授权
来源:互联网 发布:gta5 n卡优化 编辑:程序博客网 时间:2024/06/11 03:06
http://blog.csdn.net/xtayfjpk/article/details/45872161
Java平台提供的认证与授权服务(Java Authentication and Authorization Service (JAAS)),能够控制代码对敏感或关键资源的访问,例如文件系统,网络服务,系统属性访问等,加强代码的安全性。主要包含认证与授权两部分,认证的目的在于可靠安全地确定当前是谁在执行代码,代码可以是一个应用,applet,bean,servlet;授权的目的在于确定了当前执行代码的用户有什么权限,资源是否可以进行访问。虽然JAAS表面上分为了两大部分,而实际上两者是密不可分的,下面看一段代码:
- public class App {
- public static void main(String[] args) {
- System.out.println(System.getProperty("java.home"));
- }
- }
非常简单只是输出java.home系统属性,现在肯定是没有任何问题,属性会能正常输出。把上述代码改为如下后:
- public class App {
- public static void main(String[] args) {
- //安装安全管理器
- System.setSecurityManager(new SecurityManager());
- System.out.println(System.getProperty("java.home"));
- }
- }
抛出了如下异常:java.security.AccessControlException: access denied ("java.util.PropertyPermission" "java.home" "read"),异常提示没有对java.home的读取权限,系统属性也是一种资源,与文件访问类似;默认情况下对于普通Java应用是没有安装安全管理器,在手动安装安全管理器后,如果没有为应用授权则没有任何权限,所以应用无法访问java.home系统属性。
授权的方式是为安全管理器绑定一个授权策略文件。由于我是在eclipse Java工程中直接运行main方法,所以就在工程根目录下新建一个demo.policy文件,文件内容如下:
- grant {
- permission java.util.PropertyPermission "java.home", "read";
- };
该授权的效果是任何用户运行的任何程序都有对java.home的读权限,policy文件的具体格式请参看:http://docs.oracle.com/javase/7/docs/technotes/guides/security/PolicyFiles.html
为安全管理器绑定policy文件的方式有两种:一、在运行程序的时候加入-Djava.security.policy=demo.policy虚拟机启动参数;二、执行System.setProperty("java.security.policy", "demo.policy");其实两者的效果一样,都是在设置系统属性,其中demo.policy是路径,这里为了简单指定的是相对路径,绝对路径当然也没问题。再次运行程序不再抛出异常,说明程序拥有了对java.home系统属性的读取权限。在Java中权限有很多,具体可参考:http://docs.oracle.com/javase/7/docs/technotes/guides/security/spec/security-spec.doc3.html#17001
在上述过程中虽然完成了授权,但授权的针对性不强,在程序绑定了该policy文件后,无论是哪个用户执行都将拥有java.home系统属性的读权限,现在我们希望做更加细粒度的权限控制,这里需要用到认证服务了。
认证服务有点“麻烦”,一般情况下主要都涉及到了LoginContext,LoginModule,CallbackHandler,Principal,后三者还需要开发者自己实现。这里先解释一下这几个类的作用:
1.LoginContext:认证核心类,也是入口类,用于触发登录认证,具体的登录模块由构造方法name参数指定
2.LoginModule:登录模块,封装具体的登录认证逻辑,如果认证失败则抛出异常,成为则向Subject中添加一个Principal
3.CallbackHandler:回调处理器,用于搜集认证信息
4.Principal:代表程序用户的某一身份,与其密切相关的为Subject,用于代表程序用户,而一个用户可以多种身份,授权时可以针对某用户的多个身份分别授权
下面看一个认证例子:
- package com.xtayfjpk.security.jaas.demo;
- import javax.security.auth.login.LoginContext;
- import javax.security.auth.login.LoginException;
- public class App {
- public static void main(String[] args) {
- System.setProperty("java.security.auth.login.config", "demo.config");
- System.setProperty("java.security.policy", "demo.policy");
- System.setSecurityManager(new SecurityManager());
- try {
- //创建登录上下文
- LoginContext context = new LoginContext("demo", new DemoCallbackHander());
- //进行登录,登录不成功则系统退出
- context.login();
- } catch (LoginException le) {
- System.err.println("Cannot create LoginContext. " + le.getMessage());
- System.exit(-1);
- } catch (SecurityException se) {
- System.err.println("Cannot create LoginContext. " + se.getMessage());
- System.exit(-1);
- }
- //访问资源
- System.out.println(System.getProperty("java.home"));
- }
- }
- package com.xtayfjpk.security.jaas.demo;
- import java.io.IOException;
- import java.security.Principal;
- import java.util.Iterator;
- import java.util.Map;
- import javax.security.auth.Subject;
- import javax.security.auth.callback.Callback;
- import javax.security.auth.callback.CallbackHandler;
- import javax.security.auth.callback.NameCallback;
- import javax.security.auth.callback.PasswordCallback;
- import javax.security.auth.callback.UnsupportedCallbackException;
- import javax.security.auth.login.FailedLoginException;
- import javax.security.auth.login.LoginException;
- import javax.security.auth.spi.LoginModule;
- public class DemoLoginModule implements LoginModule {
- private Subject subject;
- private CallbackHandler callbackHandler;
- private boolean success = false;
- private String user;
- private String password;
- @Override
- public void initialize(Subject subject, CallbackHandler callbackHandler, Map<String, ?> sharedState, Map<String, ?> options) {
- this.subject = subject;
- this.callbackHandler = callbackHandler;
- }
- @Override
- public boolean login() throws LoginException {
- NameCallback nameCallback = new NameCallback("请输入用户名");
- PasswordCallback passwordCallback = new PasswordCallback("请输入密码", false);
- Callback[] callbacks = new Callback[]{nameCallback, passwordCallback};
- try {
- //执行回调,回调过程中获取用户名与密码
- callbackHandler.handle(callbacks);
- //得到用户名与密码
- user = nameCallback.getName();
- password = new String(passwordCallback.getPassword());
- } catch (IOException | UnsupportedCallbackException e) {
- success = false;
- throw new FailedLoginException("用户名或密码获取失败");
- }
- //为简单起见认证条件写死
- if(user.length()>3 && password.length()>3) {
- success = true;//认证成功
- }
- return true;
- }
- @Override
- public boolean commit() throws LoginException {
- if(!success) {
- return false;
- } else {
- //如果认证成功则得subject中添加一个Principal对象
- //这样某身份用户就认证通过并登录了该应用,即表明了谁在执行该程序
- this.subject.getPrincipals().add(new DemoPrincipal(user));
- return true;
- }
- }
- @Override
- public boolean abort() throws LoginException {
- logout();
- return true;
- }
- @Override
- public boolean logout() throws LoginException {
- //退出时将相应的Principal对象从subject中移除
- Iterator<Principal> iter = subject.getPrincipals().iterator();
- while(iter.hasNext()) {
- Principal principal = iter.next();
- if(principal instanceof DemoPrincipal) {
- if(principal.getName().equals(user)) {
- iter.remove();
- break;
- }
- }
- }
- return true;
- }
- }
- package com.xtayfjpk.security.jaas.demo;
- import java.io.IOException;
- import javax.security.auth.callback.Callback;
- import javax.security.auth.callback.CallbackHandler;
- import javax.security.auth.callback.NameCallback;
- import javax.security.auth.callback.PasswordCallback;
- import javax.security.auth.callback.UnsupportedCallbackException;
- public class DemoCallbackHander implements CallbackHandler {
- @Override
- public void handle(Callback[] callbacks) throws IOException, UnsupportedCallbackException {
- NameCallback nameCallback = (NameCallback) callbacks[0];
- PasswordCallback passwordCallback = (PasswordCallback) callbacks[1];
- //设置用户名与密码
- nameCallback.setName(getUserFromSomeWhere());
- passwordCallback.setPassword(getPasswordFromSomeWhere().toCharArray());
- }
- //为简单起见用户名与密码写死直接返回,真实情况可以由用户输入等具体获取
- public String getUserFromSomeWhere() {
- return "zhangsan";
- }
- public String getPasswordFromSomeWhere() {
- return "zhangsan";
- }
- }
- package com.xtayfjpk.security.jaas.demo;
- import java.security.Principal;
- public class DemoPrincipal implements Principal {
- private String name;
- public DemoPrincipal(String name) {
- this.name = name;
- }
- @Override
- public String getName() {
- return this.name;
- }
- }
使用认证服务时,需要绑定一个认证配置文件,在例子中通过System.setProperty("java.security.auth.login.config", "demo.config");实现,当然也可以设置虚拟属性-Djava.security.auth.login.config=demo.config实现。配置文件内容如下:
- demo {
- com.xtayfjpk.security.jaas.demo.DemoLoginModule required debug=true;
- };
其中demo为配置名称,其内容指定了需要使用到哪登录模块(LoginModule),认证配置文件具体格式请参看:http://docs.oracle.com/javase/6/docs/technotes/guides/security/jgss/tutorials/LoginConfigFile.html
前面说到认证与授权密不可分,这里就可以说明,在创建LoginContext对象时就需要有createLoginContext.demo的认证权限,demo就是认证配置文件中的配置名称,该名称在构造LoginContext对象时指定。由于在DemoLoginModule中修改了Subject的principals集合,还需要有modifyPrincipals认证权限,所以授权策略文件内容变为:
- grant {
- permission javax.security.auth.AuthPermission "createLoginContext.demo";
- permission javax.security.auth.AuthPermission "modifyPrincipals";
- permission java.util.PropertyPermission "java.home", "read";
- };
再次运行程序,java.home系统属性正常输出,但此时我们还是没有针对某特定用户身份进行授权,这个就需要在授权文件中配置Principal,现在将授权文件改写为:
- grant principal com.xtayfjpk.security.jaas.demo.DemoPrincipal "zhangsan"{
- permission java.util.PropertyPermission "java.home", "read";
- };
- grant {
- permission javax.security.auth.AuthPermission "createLoginContext.demo";
- permission javax.security.auth.AuthPermission "modifyPrincipals";
- permission javax.security.auth.AuthPermission "doAsPrivileged";
- };
这就意味着只有以名为zhangsan的DemoPrincipal登录应用才会拥有java.home系统属性的读权限,此时读取java.home的代码需要做一定的修改,如下:
- Subject subject = context.getSubject();
- //该方法调用需要"doAsPrivileged"权限
- Subject.doAsPrivileged(subject, new PrivilegedAction<Object>() {
- @Override
- public Object run() {
- System.out.println(System.getProperty("java.home"));
- return null;
- }
- }, null);
因为在Subject中才有Principal信息,这样就可以针对每一种用户身份制定一套权限方案。
0 0
- Java安全之认证与授权
- Java安全之认证与授权
- Java安全之认证与授权
- 安全测试之认证授权
- kubernetes安全控制认证与授权(一)
- kubernetes安全控制认证与授权(二)
- 《白帽子讲web安全》笔记之认证与授权那些事
- Shiro入门之授权与认证
- JAAS:java授权与认证服务
- 安全之AAA服务器--路由器认证,授权,审计
- Java认证和授权服务 JAAS 之 授权
- Java认证和授权服务 JAAS 之 认证
- FluorineFx:认证与授权
- 认证与授权
- OAuth认证与授权
- Mosca认证与授权
- mongodb之认证授权
- cassandra 学习之旅<三> 内部认证与授权
- AIO原理
- UITableViewStyleGrouped的间距问题
- switch开关
- android内存优化的建议
- 通过URL Scheme打开Settings应用
- Java安全之认证与授权
- WEBLOGIC性能参数
- nyoj 素数环
- java面向对象
- Windows系统下php安装扩展mbstring
- Python网络操作之requests模块
- 第45条 通用程序设计——将局部变量的作用于最小化
- KMP算法
- Android混淆打包总结