Làm thế nào để hạn chế các nhà phát triển sử dụng sự phản chiếu để truy cập các phương thức riêng và các nhà xây dựng trong Java?

Question

Làm thế nào để hạn chế các nhà phát triển sử dụng sự phản chiếu để truy cập các phương thức riêng và các nhà xây dựng trong Java?

Sử dụng mã Java thông thường, chúng tôi không thể truy cập các nhà thầu tư nhân hoặc các phương thức riêng tư bên ngoài lớp học. Nhưng bằng cách sử dụng sự phản chiếu, chúng ta có thể truy cập bất kỳ phương thức riêng và các hàm tạo nào trong một lớp Java.

Vậy làm cách nào chúng tôi có thể cung cấp bảo mật cho mã Java của mình?

Answer 1

Chạy ứng dụng của bạn bằng cách sử dụng SecurityManager và đủ hạn chế security policy.

Có một số short summary in the tutorial và thông tin mở rộng trong the security documentation.

Answer 2

Bạn (với tư cách là nhà phát triển mã được đề cập) không thể làm điều đó.

Người dùng cuối, người điều hành ứng dụng, có thể cài đặt SecurityManager để tránh phản ánh.

Answer 3

Thêm phương thức checkPermission() vào tất cả phương thức/phương thức riêng của bạn. checkPermission sử dụng sun.reflect.Reflection.getCallerClass(int n) bằng cách khẳng định callerClass=selfClass.

getCallerClass trả về lớp của phương thức realFramesToSkip khung lên ngăn xếp (không dựa trên cơ sở), bỏ qua các khung được liên kết với java.lang.reflect.Method.invoke() và triển khai. Khung đầu tiên được liên kết với phương thức này, do đó, getCallerClass(0) trả về đối tượng Lớp cho sun.reflect.Reflection.

public class PrivateConstructorClass { 

    private PrivateConstructorClass() { 
     checkPerMission(); 
       //you own code go below 
    } 

    void checkPerMission() { 
     Class self = sun.reflect.Reflection.getCallerClass(1); 
     Class caller = sun.reflect.Reflection.getCallerClass(3); 
     if (self != caller) { 
      throw new java.lang.IllegalAccessError(); 
     } 
    } 
} 

Bạn có thể thử để kiểm tra phản ánh, nó sẽ thất bại:

public class TestPrivateMain { 

    Object newInstance() throws Exception { 

     final Class<?> c = Class.forName("package.TestPrivate"); 

     final Constructor<?> constructor = c.getDeclaredConstructor(); 
     constructor.setAccessible(true); 
     return constructor.newInstance(); 

    } 

    public static void main(String[] args) throws Exception { 
     Object t = new TestPrivateMain().newInstance(); 
    } 
}