读 深入JAVA虚拟机第二版

读 深入JAVA虚拟机第二版

JAVA虚拟机

一 安全

沙箱安全模型
传统的安全模式中，运行一个软件前你必须信任他，而沙箱安全模型接收任何来源的代码，沙箱限制了此段代码进行可能破坏系统的任何动作
组成JAVA沙箱的基本组件如下：

• 类装载器体系结构
• class文件检验器
• 内置于JAVA虚拟机的安全特性
• 安全管理器及JAVA API

类装载器体系结构
他防止恶意代码去干涉善意的代码

1. 命名空间：
   在JAVA虚拟机中，在同一个命名空间的类，可以直接进行交互，而不同命名空间中的类，甚至不能察觉彼此的存在，除非提供了允许他们进行交互的机制。
   双亲委派
2. 双亲关系链：
   启动类装载器，标准扩展类装载器，类路径装载器，网络类装载器
   他们的优先级分别是启动类装载器，优先于标准扩展类装载器，优先于类路径装载器，优先于网络类装载器。
   这样在使用双亲委派链的方法中启动类装载器，会在最可信的类库～核心JAVAapi，首先检查每个被装载的类型，然后,才一次到标准扩展类路径上的本地文件中检查。

举例1. 当自定义的类java.lang.HashMap被装载时，首先将请求传递给双亲类装载器，然后这个类就一直被委派到启动类装载器，此时启动类装载器可以找到这个类，它就不会在已安装的扩展中查到这个类，也不必在类路径查找这个类型，同样也不必在网上下载这个类。2. 如果要求网络类装载器装载一个名为java.lang.Virus的类时，同样会被委派到启动类装载器，此时启动类装载器找不到这个类，已安装的扩展及类路径都找不到，则去网上下载这个类

说明：由于例2，这里引入运行时包的概念
同一个包下的类可以相互访问，但前提是加载类的类加载器也要相同。例2中的Virus类是由网络类加载器加载，而同一包下的其他类是由启动类加载器加载的。则Virus类对其java.lang包下的其他类没有访问权限。

3. 保护域：
   类装载器必须将每一个被装载的类放置在一个保护域中，一个保护域定义了这个代码在运行时将得到怎样的权限。

class文件检验器
保证装载的class文件内容有正确的内部结构，并且这些class文件相互协调一致。
文件检验器要进行四趟独立的扫描来完成它的操作，第一趟扫描是在内为装载时进行的，为了检验文件的内部结构，保证安全的编译，第二，第三趟扫描是在连接过程中进行的class文件，确认函数类型，遵从java编程语言，包括其字节码的完整性。第四趟扫描是在进行动态链接的过程中解析符号引用时进行的，Class文件检验器确认被引用的类，字段以及方法确实存在。

1. 第一趟：class文件的结构检查
   检查，导入文件是否是0xCAFEBABE开头的，以及版本号等
2. 第二趟：类型数据的语义检查
   检查器查看每个组成部分，确认他们是否是其所属类型的实例，他们的结构是否正确。例如：方法描述符的返回类型以及参数类型，检查final类没有被子类化，而且final方法没有被覆盖。
3. 第三趟：字节码验证
   字节码流：字节码流代表了JAVA的方法，它是由操作码的单字节指令组成序列，每一个操作码后都跟着一个或多个操作数。
   JAVA栈：栈桢其实就是一个内存片段，其中存储着局部变量和计算的中间结果(也叫该方法的操作速战) 在执行一个操作码时，除了可以使用紧随其后的操作数，还可以使用操作数栈中的数据，或者局部变量中的数据。
   停机问题：由于无法每个程序都安全，但可以识别出某些一定会停机的程序。
4. 第四趟：符号引用的验证
   在动态链接的过程中，如果包含在一个文件中的符号引用被解析时，文件检验器将进行第四套检查。类似懒加载，他并非紧跟第三趟检查。
   动态连接是一个将符号引用解析为直接引用的过程，虚拟机会记住这个引用，下一次遇到会直接引用，不会去解析。反之，第四趟扫描验证失败，虚拟机将抛出一个NoSuchMethodError
5. 二进制兼容
   因为是动态链接的，当修改了被引用的类，导致本类在调用的时候无法找到，虚拟机就会报错。
   二进制兼容规则：在一个类中，哪些可以被修改，增加和删除。而并不破坏此类与依赖她的那些事先已存在类之间的二进制兼容性。例如修改了一修改了被引用方法的名称就是破坏了二进制兼容规则。

JAVA虚拟机中的内置安全特性
虚拟机装载一个类，对它进行第一到第三趟的文件检查，这些字节码就可以被运行了。

• 类型安全的引用转换
  只能使用类型安全的结构化的方法去访问内存
• 结构化的内存访问，无指针算法
  在class文件中找不到任何内存地址，当创建一个新对象时，虚拟机决定将这个对象放到内存中的什么地方。
  异常的结构化处理，虚拟机将抛出一个异常或错误，而不是崩溃。
• 自动垃圾收集，不必显示的释放被是分配的内存
• 数组边界检查
• 空引用检查

java安全模型的前三个组成部分：类装载器体系结构,class文件检验器以及class中内置的安全特性一起达到一个共同的目的：保持JAVA虚拟机的实例和正在运行的应用程序的内部完整性，使他们不被下载了恶意或有漏洞的代码侵犯

安全管理器和Java Api
JAVA Api在进行任何可能不安全的操作时，他都会向安全管理器请求许可，从而强制执行自定义安全策略。一般来说，如果一个受检查的动作被禁止，将会抛出一个异常。