SecurityManager意外

Question

我想創建一個非常嚴格的安全管理器，所以我擴展了SecurityManager並覆蓋了所有自定義的checkXXX方法。

但後來我發現，我的安全管理是沒用的，因爲任何人都可以只是：

System.setSecurityManager(null); 

所以我要補充：

@Override public void checkPermission(Permission perm) { 
    if (perm.getName().equals("setSecurityManager")) { 
     throw new SecurityException("You shall have no other security manager but me!"); 
    } 
} 

是否有更多的驚喜？我需要做的其他事情才能讓我的SecurityManager保持密封狀態？

Answer 1

至少有一對夫婦的事情，我能想到的：

1. 有人可以使用反射到System.security字段設置爲訪問，然後將其設置到任何他們想要的。

2. 有人可以使用sun.misc.Unsafe來直接覆蓋您的實例在內存中與他們想要的任何隨機的東西。

我覺得你可以SecurityManager防範這些東西，因爲它們都依賴於調用Field.setAccessible()。但更好地測試它來確保。