JVM安全沙箱的权限检查：AccessController.doPrivileged()的底层实现 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

JVM 安全沙箱的权限检查：AccessController.doPrivileged() 的底层实现

大家好，今天我们来深入探讨 JVM 安全沙箱中一个非常关键的组成部分：AccessController.doPrivileged()。理解它的底层实现对于编写安全可靠的 Java 代码至关重要，尤其是在处理需要提升权限的操作时。

1. 安全沙箱与权限检查

在 Java 平台上，安全沙箱是一种安全机制，用于隔离不受信任的代码，防止其对系统造成损害。这通过限制代码可以执行的操作来实现，例如访问文件系统、建立网络连接等。 JVM 通过权限检查来实施这种限制。

权限检查的核心是 AccessController 类。它负责确定当前代码是否具有执行特定操作所需的权限。这个过程依赖于一个 访问控制上下文 (AccessControlContext)，它本质上是一个权限快照，包含了调用栈中所有代码的权限信息。

默认情况下，JVM 会执行 栈遍历 (Stack Walking) 权限检查。当代码尝试执行需要权限的操作时，JVM 会沿着调用栈向上遍历，检查每个方法的代码源是否具有该权限。如果栈中的任何一个方法不具有该权限，则会抛出 AccessControlException 异常，阻止操作执行。

2. `AccessController.doPrivileged()` 的作用

AccessController.doPrivileged() 方法提供了一种绕过栈遍历权限检查的机制。它允许受信任的代码执行需要权限的操作，即使调用栈中的其他代码没有该权限。可以将其理解为在调用栈中设置一个“特权区”，在该区域内，权限检查会停止向上遍历。

doPrivileged() 有两种形式：

doPrivileged(PrivilegedAction action): 执行指定的 PrivilegedAction，不传递任何访问控制上下文。
doPrivileged(PrivilegedAction action, AccessControlContext context): 执行指定的 PrivilegedAction，并使用提供的 AccessControlContext。

第二种形式允许在特定的访问控制上下文中执行操作，这在需要恢复到之前的权限状态时非常有用。

3. `doPrivileged()` 的底层实现：HotSpot VM

要理解 doPrivileged() 的底层实现，我们需要深入到 HotSpot VM 的源代码中。以下是简化的解释，重点关注核心逻辑：

3.1. 调用入口：java.security.AccessController.doPrivileged()

Java 代码中调用 AccessController.doPrivileged() 最终会触发 JVM 中的本地方法。这个本地方法位于 java.security.AccessController 类中，通常通过 JNI (Java Native Interface) 调用 C++ 代码实现。

3.2. 关键 C++ 代码：HotSpot VM 的实现

HotSpot VM 中与权限检查相关的核心类位于 src/hotspot/share/runtime/ 目录下。关键的类包括：

AccessController: Java 侧的 AccessController 类的对应实现。
AccessControlContext: 代表访问控制上下文。
SecuritySupport: 提供一些安全相关的辅助方法。
vmStructs.hpp: 定义了 JVM 的内部数据结构，例如线程状态。

以下是简化的、概念性的 C++ 代码片段，展示了 doPrivileged() 的核心逻辑（实际代码远比这复杂，涉及多线程、异常处理等细节）：

// 假设这是 AccessController 的 C++ 实现中的 doPrivileged 方法
jobject AccessController::doPrivileged(jobject action, jobject acc) {
  // 1. 获取当前线程
  JavaThread* thread = JavaThread::current();

  // 2. 保存当前的 AccessControlContext
  AccessControlContext* saved_acc = thread->security()->get_access_control_context();

  // 3. 如果提供了 AccessControlContext，则设置线程的 AccessControlContext 为提供的 acc
  if (acc != NULL) {
    thread->security()->set_access_control_context(java_lang_AccessControlContext::unsafe_get_acc(acc));
  } else {
    // 设置一个特殊的标记，表示进入了 privileged 区域
    thread->security()->set_privileged();
  }

  jobject result = NULL;
  try {
    // 4. 执行 PrivilegedAction
    result = execute_privileged_action(action);  //  使用 JNI 调用 action.run()
  } catch (Throwable t) {
    // 5. 处理异常
    // ...
  }

  // 6. 恢复之前的 AccessControlContext
  thread->security()->set_access_control_context(saved_acc);
  thread->security()->clear_privileged(); // 清除 privileged 标记

  return result;
}

// 简化版的权限检查函数
bool check_permission(JavaThread* thread, Permission* perm) {
  // 1. 检查线程是否处于 privileged 区域
  if (thread->security()->is_privileged()) {
    return true; // 在 privileged 区域，跳过权限检查
  }

  // 2. 获取当前的 AccessControlContext
  AccessControlContext* acc = thread->security()->get_access_control_context();

  // 3. 执行标准的栈遍历权限检查
  return acc->checkPermission(perm); //  实际的权限检查逻辑
}

3.3. 核心步骤分解

保存当前 AccessControlContext: doPrivileged() 首先保存当前线程的 AccessControlContext。这是为了在 PrivilegedAction 执行完毕后，能够恢复到之前的权限状态。
设置 AccessControlContext 或特权标记:
- 如果提供了 AccessControlContext 参数，则将线程的 AccessControlContext 设置为提供的 acc。这允许在指定的权限上下文中执行操作。
- 如果没有提供 AccessControlContext 参数，则设置一个特殊的标记（例如，thread->security()->set_privileged()）。这个标记告诉权限检查机制，当前代码正在 doPrivileged() 区域内执行，应该跳过栈遍历。
执行 PrivilegedAction: doPrivileged() 使用 JNI 调用 PrivilegedAction 的 run() 方法。这个方法包含需要提升权限的代码。
权限检查绕过: 在 PrivilegedAction 执行期间，当代码尝试执行需要权限的操作时，JVM 会调用权限检查函数（例如，上面代码中的 check_permission()）。这个函数会检查线程是否处于 privileged 区域（通过检查 is_privileged() 标记）。如果线程处于 privileged 区域，则权限检查会立即通过，不会执行栈遍历。
恢复 AccessControlContext: 在 PrivilegedAction 执行完毕后，doPrivileged() 会恢复之前保存的 AccessControlContext，并清除特权标记。这确保了权限状态能够正确地恢复。

3.4. AccessControlContext 的重要性

AccessControlContext 对象包含了执行权限检查所需的所有信息。它维护了一个 DomainCombiner 链，这些 DomainCombiner 负责将代码源 (CodeSource) 的权限与当前线程的权限进行组合。 AccessControlContext 的 checkPermission() 方法会遍历这些 DomainCombiner，最终决定是否允许执行某个操作。

4. 代码示例

以下 Java 代码示例演示了 doPrivileged() 的使用：

import java.security.AccessController;
import java.security.PrivilegedAction;
import java.io.File;
import java.io.IOException;

public class PrivilegedExample {

    public static void main(String[] args) {
        //  假设当前代码没有权限创建文件

        //  尝试创建文件（可能会抛出 AccessControlException）
        try {
            createFile("test.txt");
            System.out.println("文件创建成功 (没有使用 doPrivileged)");
        } catch (Exception e) {
            System.out.println("文件创建失败 (没有使用 doPrivileged): " + e.getMessage());
        }

        //  使用 doPrivileged 创建文件
        AccessController.doPrivileged(new PrivilegedAction<Void>() {
            public Void run() {
                try {
                    createFile("test_privileged.txt");
                    System.out.println("文件创建成功 (使用了 doPrivileged)");
                } catch (Exception e) {
                    System.out.println("文件创建失败 (使用了 doPrivileged): " + e.getMessage());
                }
                return null;
            }
        });
    }

    private static void createFile(String filename) throws IOException {
        File file = new File(filename);
        if (!file.exists()) {
            file.createNewFile();
        }
    }
}

在这个例子中，如果 main 方法的代码没有创建文件的权限，那么直接调用 createFile() 会抛出 AccessControlException。但是，通过将 createFile() 调用放在 doPrivileged() 块中，即使 main 方法没有权限，也可以成功创建文件。

5. 安全注意事项

虽然 doPrivileged() 提供了一种提升权限的机制，但也需要谨慎使用。不正确的使用可能会导致安全漏洞。

最小权限原则: 只在绝对必要时才使用 doPrivileged()。尽量将需要提升权限的代码限制在最小的范围内。
代码审查: 对使用 doPrivileged() 的代码进行严格的代码审查，确保没有引入安全漏洞。
受信任的代码: doPrivileged() 只能在受信任的代码中使用。不要在不受信任的代码中使用 doPrivileged()，因为这会使攻击者能够绕过安全沙箱。
避免泄露特权: 确保 PrivilegedAction 中的代码不会将特权泄露给调用者。例如，不要返回具有特权的对象，因为调用者可能会使用这些对象执行未授权的操作。

6. 总结：`doPrivileged` 的工作机制

AccessController.doPrivileged() 通过在调用栈中设置“特权区”来绕过栈遍历权限检查。 JVM 在执行 PrivilegedAction 期间会跳过权限检查，允许受信任的代码执行需要权限的操作，即使调用栈中的其他代码没有该权限。理解其底层实现对于编写安全可靠的 Java 代码至关重要。

7. 安全开发的重要性

安全开发实践对于构建健壮的 Java 应用程序至关重要。理解诸如 AccessController.doPrivileged() 之类的机制，能够帮助开发者编写出更加安全的代码。谨慎使用权限提升，并始终遵循最小权限原则，可以有效降低安全风险。