Expression Language für mathematische Ausdrücke

[JFreak]

Hallo,

ich bin auf der Suche nach einer EL für ein kleineres Projekt. Ich habe schon mehrere probiert, aber es passt alles nicht so ganz.

• JUEL - kann nur Attributzugriff bei Objekten, außerdem keine Strukturelemente
• Commons JEXL - schränkt sehr ein beim Kontext; ich kann z. B. keine Funktionen ohne Objekt aufrufen (d. h. wenn ich das Objekt "o" bekannt mache, kann man o.method() aufrufen, aber method() gibt einen Parse Error)
• ScriptEngine-API mit JavaScript - im Prinzip gut, aber ich möchte nicht, dass der Benutzer Zugriff auf native calls hat, z. B. Dateien anlegen etc.

Meine Anforderungen also nochmal kompakt: leichtgewichtige Syntax ohne viel Drumrum (es sollten if, while etc. dabei sein, aber functions nicht unbedingt); ich kann als Kontext Objekte und Methoden (per XY.class.getMethod(...)) verwenden (schön wäre es natürlich, wenn ich eine eigene Kontextklasse definieren dürfte, an welche Methodenaufrufe delegiert werden würden).

Gibt es etwas vorgefertigtes, oder muss ich das selbst implementieren? Ich hatte schon darüber nachgedacht, einfach doch JEXL zu nutzen und den Eingabestring etwas umzubauen. Mein Code sieht bisher so aus:

String expr = "$inc(0)";
    expr = expr.replaceAll("(?<!\\\\)\\$([a-z]+)\\(","fct.run(\"$1\",");
    System.out.println(expr); // ergibt fct.run("inc",0)
    Script s = ScriptFactory.createScript(expr);
    JexlContext jc = JexlHelper.createContext();
    jc.getVars().put("fct",new Functions());
    System.out.println(s.execute(jc));

Functions ist dabei eine Klasse, die eine Methode run(String function,Object... arguments) anbietet. Allerdings gibt es zwei Probleme: Arrayliterale geben einen Syntax-Error; und für JEXL sieht die run-Methode so aus: String,Object[]. Der Aufruf würde klappen, aber ich rufe ja mit String,Object auf.

Grüße,

Lars

 

[HoaX]

wenn du den securitymanager passend konfigurierst kannst du auch aus javascript nix "falsches" aufrufen. (kenn ich jetz nur von groovy, aber sollte für alle scriptsprachen gelten)

http://groovy.codehaus.org/Security

 

[Tobias]

Mit Rhino kannst du per ClassShutter oder PolicySecurityController (leider undokumentiert) den Zugriff auf missliebige Objekte unterbinden.

 

[JFreak]

@HoaX: Ich glaube, die Konfiguration des SecurityManagers ist global für die ganze Anwendung. Das ist nicht das, was ich haben möchte.
@Tobias: Könntest du das bitte noch etwas erläutern? Aus den beiden Klassen werde ich noch nicht ganz schlau.

 

[Tobias]

Naja, der ClassShutter ist leicht erklärt: Er hat eine Methode visibleToScripts(), die für den übergebenen Klassennamen entscheiden muß, ob die Klasse für Skripte sichtbar sein soll oder nicht. Wichtig ist dabei, dass die Methode für jede Hierachieebene eines qualifizierten Namens aufgerufen wird, denn Rhino kann erst nach dem Laden des entsprechenden Konstruktes entscheiden, ob es sich um eine Klasse oder ein Package handelt.

Soll im Script java.lang.System.out.println() aufgerufen werden, so wird der ClassShutter also zunächst für den String "java" aufgerufen. Da es sich dabei um ein Package handelt, muß der ClassShutter in jedem Fall false zurückgeben. Anschließend wird er für "java.lang" aufgerufen, was ebenfalls mit false beantwortet wird. Im dritten Anlauf schließlich wird "java.lang.System" übergeben, was man mit true beantworten kann, was zur Folge hat, dass Rhino die Klasse lädt und auf die Klassenvariable out zugreift. Wird false zurückgegeben, erfolgt ein letzter Aufruf von visibleToScripts() mit dem Argument "java.lang.System.out", weil Rhino System als Teil des Packagenamens interpretiert. Die Klasse System wird aber dann keinesfalls geladen, die Methoden der Klasse sind also nicht zugänglich.

Der PolicySecurityController erlaubt einen sehr viel tieferen Eingriff in Rhino, erfordert zum Arbeiten aber einen konfigurierten SecurityManager. Diese Klasse ist also eigentlich zum Durchsetzen der Applikationssicherheitsrichtlinien gedacht, um die es dir ja hier nicht geht.

 

[JFreak]

Danke dafür, das scheint das Richtige zu leisten.

ScriptEngineManager man = new ScriptEngineManager();
    ScriptEngine js = man.getEngineByExtension("js");
    ClassShutter cs = new ClassShutter() {
      @Override
      public boolean visibleToScripts(String arg0) {
        return false;
      }
    };
    Context context = new ContextFactory().enterContext();
    context.setClassShutter(cs);
    
    ScriptContext sc = new SimpleScriptContext();
    js.setContext(sc);
    js.eval(getMethods());
    System.out.println(js.eval("java.lang.System.out.println('hallo');"));
    
    Context.exit();

Der Code liefert eine Exception. Mit den Exception-Typen muss ich mich aber noch auseinandersetzen, es fliegt leider immer nur eine javax.script.ScriptException und ich möchte dem Benutzer nicht immer ein Meldung a la "Fehler aufgetreten" ausgeben. Aber grundsätzlich bin ich erstmal zufrieden, dass das so funktioniert.

 

[JFreak]

Hmm, ich bin doch noch nicht ganz am Ziel. Das funktioniert zwar, aber auf der Mozilla-Website [1] wird ein ganz anderer Ansatz verfolgt. Wie lautet die Empfehlung? Über Script-Engine oder direkt über org.mozilla.javascript?

[1] http://mxr.mozilla.org/mozilla/source/js/rhino/examples/RunScript.java

 

[Tobias]

Ich habe das Ganze ausschließlich über Rhino benutzt, keine Ahnung, ob es via ScriptManager genauso funktioniert.

 

[JFreak]

Hab das jetzt auch umgebaut. Funktioniert super, danke!