禁用importPackage，importClass和JavaImporter中的Java腳本

Question

一個可以禁用從classpath導入東西放到Java腳本API的腳本的能力嗎？ 的目標是訪問的編劇只留下什麼是發動機的結合，當腳本運行。在某些情況下，將隨機類導入腳本可能是一個安全問題。

Answer 1

一個可以覆蓋這些函數的定義和消毒這樣的腳本：

private String sanitizeScript(String script) { 
    if (containsMoreThanOneStatement(script)) { 
     throw new ScriptedPermissionsException("Scripts may only contain one statement!!"); 
    } 
    return new StringBuilder() 
      .append("function importPackage(a){ throw 'Cannot import!'};").append('\n') 
      .append("function importClass(a){ throw 'Cannot import!'};").append('\n') 
      .append("function JavaImporter(a){ throw 'I said, no importing!!'};").append('\n') 
      .append(script).append(';') 
      .toString(); 
} 

然而，這仍然需要提醒的是一個還可以做

java.lang.Class.forName('foo.bar.Zap') 

Answer 2

如果你的意圖在於限制在導入函數的調用則只是空他們當，該ScriptEngine初始化

engine.eval("importPackage = null;");