在查看java Thread源码的时候发现一个类—-securityManager,虽然很早就知道存在这样一个类但是都没有深究,今天查看了它的api和源码,发现这个类功能强大,可以做很多权限控制策略的限制.所以在这里进行以下记录.
1.首先说一下securityManager类的定义(来自APi): 安全管理器是一个允许应用程序实现安全策略的类。它允许应用程序在执行一个可能不安全或敏感的操作前确定该操作是什么，以及是否是在允许执行该操作的安全上下文中执行它。应用程序可以允许或不允许该操作。个人觉得这个解释还是不算太容易理解,我觉得这个类就是进行权限控制的,我们可以通过这个类来控制系统是否能做什么或者是不能做什么.
2.获取securityManager的方法: 通过观察源码发现,我们可以通过set和get方法类设置/获取securityManager.
3.进行权限校验的方法: checkPermission(Permission) 方法,我们可以通过此方法来获取当前操作是否被securityManager允许,如果不被允许则抛出异常.当然此类也提供方法进行制定上下文的校验,checkPermission(Permission,AccessControlContext),我们可以通过制定AccessControlContext来判断这个操作在制定AccessControlContext中是否合法.
4.权限分为以下类别：文件、套接字、网络、安全性、运行时、属性、AWT、反射和可序列化。管理各种权限类别的类是java.io.FilePermission、java.net.SocketPermission、java.net.NetPermission、java.security.SecurityPermission、java.lang.RuntimePermission、java.util.PropertyPermission、java.awt.AWTPermission、java.lang.reflect.ReflectPermission和 java.io.SerializablePermission。FilePermission 和 SocketPermission 是顶级权限类 (java.security.Permission) 的子类。像这些命名语法比 BasicPermission 所用的语法更为复杂的类都直接是 Permission 的子类，而不是 BasicPermission 的子类。(来自API)
4. 实现方法:实现securityManager的方法主要有两类:
一般而言，Java程序启动时并不会自动启动安全管理器，可以通过以下两种方法启动安全管理器：
① 一种是隐式，启动默认的安全管理器最简单的方法就是：直接在启动命令中添加-Djava.security.manager参数即可。
② 一种是显式，实例化一个java.lang.SecurityManager或继承它的子类的对象，然后通过System.setSecurityManager()来设置并启动一个安全管理器。
在启动安全管理器时可以通过-Djava.security.policy选项来指定安全策略文件。如果没有指定策略文件的路径，那么安全管理器将使用默认的安全策略文件，它位于%JAVA_HOME%/jre/lib/security目录下面的java.policy。需要说明一下的是，=表示这个策略文件将和默认的策略文件一同发挥作用；==表示只使用这个策略文件。policy文件包含了多个grant语句，每一个grant描述某些代码拥有某些操作的权限。在启动安全管理器时会根据policy文件生成一个Policy对象，任何时候一个应用程序只能有一个Policy对象。
那么如何才能实现自己的安全管理器，并且配置权限呢？下面将通过一个简单的例子阐明实现步骤，一般可以分为以下两步：①创建一个SecurityManager子类，并根据需要重写一些方法。②根据应用程序代码的权限需要配置策略文件。如果使用默认安全管理器则省略第一步，下面用个例子说明安全管理器的使用：
public class SecurityManagerTest {
public static void main(String[] args)throws FileNotFoundException {
System.out.println(“SecurityManager: ” + System.getSecurityManager());
FileInputStreamfis = new FileInputStream(“c:\\protect.txt”);
System.out.println(System.getProperty(“file.encoding”));
}
}
分下面几种情况运行程序：
(1) 假如不添加启动参数直接运行，则相当于没有启动安全管理器，SecurityManager打印出来为null，且能正确读取protect.txt文件跟file.encoding属性。
(2) 添加启动参数-Djava.security.manager-Djava.security.policy=c:/protect.policy，俩参数分别代表启动默认安全管理器和指明策略配置文件路径。此时SecurityManager打印出来为不为null，但由于此时protect.policy里面并没有做任何授权，所以在读取文件的时就抛出AccessControlExcepti on异常。
(3) 在protect.policy文件添加以下授权语句，
grant {
permissionjava.io.FilePermission “c:/protect.txt”, “read”;
};
此时SecurityManager不为空，并且有权限读取protect.txt文件，但最终还是会抛一个AccessControlException异常，因为并没有权限读取file.encoding系统属性。
(4) 将protect.policy授权语句改为如下：
grant {
permissionjava.io.FilePermission “c:/protect.txt”, “read”;
permissionjava.util.PropertyPermission “file.encoding”, “read”;
};
参考资料: java API
