Java是一门具有强大安全功能的编程语言，它内置了多种安全机制，包括权限控制、加密解密、认证授权等。
一、权限控制
权限控制是Java安全模型的重要组成部分，它主要通过Java安全管理器（Security Manager）和权限（Permissions）来实现。
1、Java安全管理器（Security Manager）
Java安全管理器是一个能够控制应用程序行为的组件。它通过检查代码是否具有执行特定操作的权限来保护系统资源。要启用安全管理器，可以在运行Java程序时使用-Djava.security.manager参数。例如：
java -Djava.security.manager YourApplication
在代码中，也可以通过以下方式启用安全管理器：
System.setSecurityManager(new SecurityManager());
2、权限（Permissions）
Java权限系统由权限类（java.security.Permission）和策略文件（Policy File）组成。权限类代表对系统资源的访问控制，例如文件读写权限、网络访问权限等。
以下是一些常见的权限类：
FilePermission：控制对文件和目录的访问权限。SocketPermission：控制对网络资源的访问权限。RuntimePermission：控制运行时的权限，例如创建类加载器、访问系统属性等。
3、策略文件（Policy File）
策略文件用于定义哪些代码源可以被授予哪些权限。默认的策略文件位于$JAVA_HOME/lib/security/java.policy。我们也可以创建自定义的策略文件，并在启动应用程序时指定：
java -Djava.security.manager -Djava.security.policy=custom.policy YourApplication
一个简单的策略文件示例如下：
grant {permission java.io.FilePermission "/path/to/file", "read,write";permission java.net.SocketPermission "localhost:8080", "connect,accept";
};
在这个示例中，任何代码都被授予对指定文件的读写权限和对本地端口8080的网络访问权限。
二、加密和解密
加密和解密是保护数据安全的重要技术，Java提供了广泛的加密和解密API，主要集中在javax.crypto和java.security包中。
1、对称加密
对称加密算法使用相同的密钥进行加密和解密。常见的对称加密算法有AES、DES等。以下是一个使用AES加密和解密的示例：
import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.util.Base64;public class SymmetricEncryptionExample {public static void main(String[] args) throws Exception {// 生成密钥KeyGenerator keyGen = KeyGenerator.getInstance("AES");keyGen.init(128);SecretKey secretKey = keyGen.generateKey();byte[] keyBytes = secretKey.getEncoded();// 加密Cipher cipher = Cipher.getInstance("AES");cipher.init(Cipher.ENCRYPT_MODE, secretKey);String plainText = "Hello, World!";byte[] encryptedBytes = cipher.doFinal(plainText.getBytes());String encryptedText = Base64.getEncoder().encodeToString(encryptedBytes);System.out.println("Encrypted Text: " + encryptedText);// 解密SecretKey originalKey = new SecretKeySpec(keyBytes, "AES");cipher.init(Cipher.DECRYPT_MODE, originalKey);byte[] decryptedBytes = cipher.doFinal(Base64.getDecoder().decode(encryptedText));String decryptedText = new String(decryptedBytes);System.out.println("Decrypted Text: " + decryptedText);}
}
2、非对称加密
非对称加密使用一对密钥（公钥和私钥），公钥用于加密，私钥用于解密。常见的非对称加密算法有RSA、DSA等。以下是一个使用RSA加密和解密的示例：
import java.security.KeyPair;
import java.security.KeyPairGenerator;
import java.security.PrivateKey;
import java.security.PublicKey;
import javax.crypto.Cipher;
import java.util.Base64;public class AsymmetricEncryptionExample {public static void main(String[] args) throws Exception {// 生成密钥对KeyPairGenerator keyGen = KeyPairGenerator.getInstance("RSA");keyGen.initialize(2048);KeyPair keyPair = keyGen.generateKeyPair();PublicKey publicKey = keyPair.getPublic();PrivateKey privateKey = keyPair.getPrivate();// 加密Cipher cipher = Cipher.getInstance("RSA");cipher.init(Cipher.ENCRYPT_MODE, publicKey);String plainText = "Hello, World!";byte[] encryptedBytes = cipher.doFinal(plainText.getBytes());String encryptedText = Base64.getEncoder().encodeToString(encryptedBytes);System.out.println("Encrypted Text: " + encryptedText);// 解密cipher.init(Cipher.DECRYPT_MODE, privateKey);byte[] decryptedBytes = cipher.doFinal(Base64.getDecoder().decode(encryptedText));String decryptedText = new String(decryptedBytes);System.out.println("Decrypted Text: " + decryptedText);}
}
3、数字签名
数字签名用于验证数据的完整性和来源，通常使用非对称加密算法。以下是一个生成和验证数字签名的示例：
import java.security.*;
import java.util.Base64;public class DigitalSignatureExample {public static void main(String[] args) throws Exception {// 生成密钥对KeyPairGenerator keyGen = KeyPairGenerator.getInstance("DSA");keyGen.initialize(2048);KeyPair keyPair = keyGen.generateKeyPair();PrivateKey privateKey = keyPair.getPrivate();PublicKey publicKey = keyPair.getPublic();// 签名Signature signature = Signature.getInstance("SHA256withDSA");signature.initSign(privateKey);String data = "Hello, World!";signature.update(data.getBytes());byte[] digitalSignature = signature.sign();String signatureString = Base64.getEncoder().encodeToString(digitalSignature);System.out.println("Digital Signature: " + signatureString);// 验证签名Signature signatureVerify = Signature.getInstance("SHA256withDSA");signatureVerify.initVerify(publicKey);signatureVerify.update(data.getBytes());boolean isVerified = signatureVerify.verify(Base64.getDecoder().decode(signatureString));System.out.println("Signature Verified: " + isVerified);}
}
4、消息摘要
消息摘要算法用于生成数据的唯一摘要，常见的算法有MD5、SHA-1、SHA-256等。以下是一个生成SHA-256摘要的示例：
import java.security.MessageDigest;
import java.util.Base64;public class MessageDigestExample {public static void main(String[] args) throws Exception {String data = "Hello, World!";MessageDigest digest = MessageDigest.getInstance("SHA-256");byte[] hash = digest.digest(data.getBytes());String hashString = Base64.getEncoder().encodeToString(hash);System.out.println("SHA-256 Hash: " + hashString);}
}
三、认证与授权
认证与授权是确保系统中用户身份和访问权限的关键机制。Java提供了JAAS（Java Authentication and Authorization Service）来实现这一功能。
1、JAAS认证
JAAS使用LoginModule进行用户认证，可以根据需要定制不同的LoginModule。以下是一个简单的JAAS认证示例：
首先，创建一个自定义的LoginModule：
import javax.security.auth.spi.LoginModule;
import javax.security.auth.Subject;
import javax.security.auth.callback.*;
import javax.security.auth.login.*;
import java.util.Map;public class SimpleLoginModule implements LoginModule {private Subject subject;private CallbackHandler callbackHandler;private String username;private char[] password;@Overridepublic void initialize(Subject subject, CallbackHandler callbackHandler, Map<String, ?> sharedState, Map<String, ?> options) {this.subject = subject;this.callbackHandler = callbackHandler;}@Overridepublic boolean login() throws LoginException {if (callbackHandler == null) {throw new LoginException("No CallbackHandler available.");}NameCallback nameCallback = new NameCallback("Username: ");PasswordCallback passwordCallback = new PasswordCallback("Password: ", false);Callback[] callbacks = new Callback[]{nameCallback, passwordCallback};try {callbackHandler.handle(callbacks);username = nameCallback.getName();password = passwordCallback.getPassword();// 假设用户名和密码是"admin"和"password"if ("admin".equals(username) && "password".equals(new String(password))) {return true;} else {throw new FailedLoginException("Invalid username or password.");}} catch (Exception e) {throw new LoginException(e.getMessage());}}@Overridepublic boolean commit() throws LoginException {// 验证成功后，可以添加特定的用户主体信息return true;}@Overridepublic boolean abort() throws LoginException {return false;}@Overridepublic boolean logout() throws LoginException {// 登出时的处理return true;}
}
然后，创建一个登录配置文件jaas.config：
SimpleLoginModule {com.example.SimpleLoginModule required;
};
最后，编写一个使用JAAS进行认证的程序：
import javax.security.auth.login.LoginContext;
import javax.security.auth.login.LoginException;public class JAASExample {public static void main(String[] args) {System.setProperty("java.security.auth.login.config", "path/to/jaas.config");try {LoginContext lc = new LoginContext("SimpleLoginModule", new MyCallbackHandler());lc.login();System.out.println("Authentication successful!");} catch (LoginException e) {e.printStackTrace();}}
}
在这个示例中，MyCallbackHandler是一个自定义的回调处理程序，用于从用户获取认证信息：
import javax.security.auth.callback.*;public class MyCallbackHandler implements CallbackHandler {@Overridepublic void handle(Callback[] callbacks) throws UnsupportedCallbackException {for (Callback callback : callbacks) {if (callback instanceof NameCallback) {NameCallback nameCallback = (NameCallback) callback;nameCallback.setName("admin");} else if (callback instanceof PasswordCallback) {PasswordCallback passwordCallback = (PasswordCallback) callback;passwordCallback.setPassword("password".toCharArray());} else {throw new UnsupportedCallbackException(callback, "Unrecognized Callback");}}}
}
2、JAAS授权
在完成用户认证后，可以使用JAAS进行权限控制，即授权。授权基于用户的角色或组来确定其访问权限。
首先，创建一个简单的权限类：
import java.security.BasicPermission;public class MyPermission extends BasicPermission {public MyPermission(String name) {super(name);}
}
然后，配置权限策略文件java.policy：
grant principal com.example.SimplePrincipal "admin" {permission com.example.MyPermission "access";
};
最后，编写授权检查代码：
import java.security.AccessController;
import java.security.PrivilegedAction;
import javax.security.auth.Subject;public class AuthorizationExample {public static void main(String[] args) {// 进行认证并获取Subject// ... 认证代码略Subject subject = ...; // 假设已获取认证后的Subject// 检查权限Subject.doAs(subject, (PrivilegedAction<Void>) () -> {try {AccessController.checkPermission(new MyPermission("access"));System.out.println("Access granted!");} catch (SecurityException e) {System.out.println("Access denied!");}return null;});}
}
在这个示例中，我们使用AccessController.checkPermission方法来检查用户是否具有特定的权限。
黑马程序员免费预约咨询
