使用在网页上的Java程序称之为applet。
因为applet是从远端服务器上下载并且在本地执行，所以安全成为至关重要的一个话题。如果用户允许浏览器运行java程序，浏览器会下载并且立刻运行网页中包含的全部applet。用户没有机会来确认或者停止运行单独一个applet。正是因为这个原因，applet（不同于应用程序）的行为受限制。当applet试图违反一条访问规则时，applet安全管理器（applet security manager）会抛出SecurityException异常。
限制applet的执行环境常常被称为“沙箱”。在沙箱中的程序有下列的限制：
1.不能运行任何本地的可执行程序。2.不能从本地计算机文件系统中读取任何信息，也不能往本地计算机文件系统中写入任何信息 。 3.不能查看除Java版本，操作系统的名字和版本和几个无害的操作系统详细信息外的任何本地计算机的信息。特别是沙箱中的代码不能查看用户名，e-mail等地址。 4.除了存放被下载的applet的服务器外，applet不能和其他主机通信。该服务器通常被称为“源主机”（originating host），这条规则常常被称为“applet仅仅允许和家里通信”(applet can only phone home)。这条规则保证applet不可能探测内部网络资源 。5.Applet的弹出式窗口会带有一个警告信息。
正是因为applet是在Java虚拟机中解释运行，而不是由用户计算机的CPU运行，才使得这些安全规则成为可能。因为解释器会检查所有关键指令和程序运行范围，才能防止恶意编写（或是编写得糟糕）的applet不会导致计算机崩溃，重写系统内存或者是改变操作系统赋予的权限。
Java安全模型提供字节码验证器(Byte-CodeVerifier)、applet类装载器(ClassLoader)以及安全管理器(SecurityManager)来实现以上applet安全策列。这三者结合起来可在applet的装载与执行阶段，对文件系统、网络与浏览程序的内部存取做进一步检查。这三者相互充，缺一不可，共同维护着Javaapplet的安全。
●类装载器
applet是作为一个Web主页的一部分执行的，为了装载applet，浏览器需要调用Javaapplet类装载器。类装载器能够确定applet何时以及如何装载类（即代码）。它的主要功能包括：
．从远程机器上开载applet代码
．创建和实施一个名称空间分级，以确保运行的applet不会取代执行环境中的系统级组件，而且它还可以防止applet创建自己的类装载器。
．防止applet调用作为系统的类装载器的一部分的方法。当一个applet被执行时，浏览器调用applet类浏览器，类装载器装载所有的applet和它们相应的类。
一般地，applet不会安装新的类装载器，因此applet类装载器能一直保持对Java运行环境的控制。applet类装载器为每个applet创建一个新的名称空间，因此applet只能访问属于它自己的名称空间的类。这些类都属于标准JavaAPI库的一部分。applet不能访问属于其它applet的任何类。
●字节码验证器
Java源代码在执行前需要被编译成平台独立的字节码。在一个类装载器可能允许一个指定的applet运行前，它的代码必须要由字节码验证器进行验证。事实上，Java字节码验证器假设了所有的代码都是有可能突破系统的安全措施的。
字节码验证器可以进行几类验证。在基本级上，它保证代码服从Java语言规范。在更复杂的级上，验证器使用一个内置的定理证明器来对代码进行验证。这可以确保applet不会伪造指针、绕过访问限制或通过非法计算来访问对象等。字节码验证器同内置在Java语言本身中的安全功能一起使用可以保证：
．编译后的代码格式正确 ．内部栈将不会溢出。如果发生这样的事件，系统就会变得不稳定，此时就最容易受到黑客们的攻击。
．不会发生非法的数据转换如验证器将不会允许将一个整数作为指针使用。这可以保证变量不能对限制使用的内存进行访问。
．字节码指令将具有类型适当的参数 ．所有的类成员访问都是合法的。也就是说，一个对象的私有数据可以保持它的隐私性。
使用字节码验证器意味着Java在允许不可信的代码在它的名称空间里运行。这样，名称空间就保证了一个applet不会影响运行环境的其它部分。代码验证保证一个applet不能溢出它的名称空间。因此到最后，JVM将只执行已经通过字节码验证的代码。
●安全管理器
Java安全模型的第三个也是最重要的组件就是安全管理器。它的任务是对所有的“危险的方法”──即那些请求文件I/O、网络访问或那些想安装一个新的类装载器的类──进行验证。遇到这样的情况时，安全管理器可以对请求给予允许或否决。如，如果applet调用一个“读”方法，JVM就向安全管理器询问这个操作是否允许。如果applet是可信的，该请求就被安全管理器批准；否则即予以否决。实际上，安全管理器的作用就是保卫沙箱之间的边界。
在某些情况下，这些限制是太严格了。例如，在公司的内部网中，可能希望允许某个applet访问本地文件。通过使用签名applet（signed applet），就可以针对不同情况给予其不同级别安全等级。被签名的applet携带一个可以证明其签名者身份的证书。加密技术保证这种证书不可能被伪造。如果你信任签名者，就可以给予applet额外的权限（相对沙箱给予的权限而言）。
网友评论