JVM 沙箱安全机制

• 沙箱是一个限制程序运行的环境，沙箱机制就是将 Java 代码限定在虚拟机（JVM）特定的运行范围中，并且严格限制代码对本地系统资源访问，通过这样的措施来保证对代码的有效隔离，防止对本地系统造成破坏。
• 沙箱主要限制系统资源访问，那系统资源包括CPU，内存，文件系统，网络，不同级别的沙箱对这些资源访问的限制也可以不一样。
• 所有的Java程序运行都可以指定沙箱，可以定制安全策略。

组成沙箱的基本组件

• 字节码校验器(bytecode verifier)：确保Java类文件遵循Java语言规范，这样可以帮助Java程序实现内存保护，但并不是所有的类文件都会经过字节码校验，比如核心类。
• 类加载器(class loader)
  • 其中类装载器在3个方面对Java沙箱起作用。
    • 防止恶意代码去干涉善意的代码。
    • 守护了被信任的类库边界。
    • 将代码归入保护域，确定了代码可以进行哪些操作。
  • 虚拟机为不同的类加载器载入的类提供不同的命名空间，命名空间由一系列唯一的名称组成，每一个被装载的类将有一个名字，这个命名空间是由Java虚拟机为每一个类装载器维护的，它们互相之间甚至不可见。
  • 类装载器采用的机制是双亲委派模式
    • 从最内层JVM自带类加载器开始加载，外层恶意同名类得不到加载从而无法使用。
    • 由于严格通过包来区分了访问域，外层恶意的类通过内置代码也无法获得权限访问到内层类，破坏代码就自然无法生效。
• 存取控制器(access controller)：存取控制器可以控制核心API对操作系统的存取权限，而这个控制的策略设定，可以由用户指定。
• 安全管理器(security manager)：是核心API和操作系统之间的主要接口，实现权限控制，比存取控制器优先级高。
• 安全软件包(security package):java.security下的类和扩展包下的类，允许用户为自己的应用增加新的安全特性，包括：安全提供者，消息摘要，数字签名，加密，鉴别。