Gewisse Klassen des JRE ausschliessen?

[sirbender]

Hi,

ich muss gegen eine gewisse Platform entwickeln die eine Whitelist von Klassen aus dem JRE mitliefert die man benutzen darf. Wenn man implizit blacklistet Klassen nutzt wird es nicht funktionieren wenn man es deployed.

Kann ich in Eclipse oder ANT erzwingen dass mein Source code nur Klassen aus dieser Whitelist referenziert und sonst nichts?

Danke,
sb

 

[maki]

Vielleciht hilft es dir wenn du einen SecurityManager konfigurierst?

 

[kay73]

Vielleciht hilft es dir wenn du einen SecurityManager konfigurierst?

Ohne hier tiefergehendes Wissen zu haben: Das Testen auf Systemklassen ist ab Java 2 aus dem SecurityManager herausgenommen worden und die Methoden zu Klassen und -Ladern deprecated.

Es finden allerdings Tests auf checkPackageAccess() statt. Vielleicht muss man die Klasse AccessController heranziehen.

 

[Wildcard]

Kann ich in Eclipse oder ANT erzwingen dass mein Source code nur Klassen aus dieser Whitelist referenziert und sonst nichts?

Du kannst die anderen zumindest aus den Code Completions usw. ausfiltern lassen indem du einen Type Filter anlegst.

 

[Empire Phoenix]

Du könntest dir nen mini programm schreiben das deinen source code nach den verbotenen klassen scannt, dann das ganze bei eclipse als builder reinpacken / bzw bei ant vor dem compilieren des codes ausführen. Alternativ nen eigenes Eclipse plugin.

 

[despikyxd]

ganz ehrlich ... was für eine plattform soll das sein die white- und black-lists für klassen verwendet ...
so lange wie man standard-klassen zur verfügung hat sollte man diese auch verwenden (dürfen)
wenn die ganze sache aber als sicherheits-system fungieren soll um den zugriff auf klassen zu verweigern die dem system schaden könnten oder der gleichen kann ich dazu nur dem verantwortlichen sagen : falsches konzept ...

und um jetzt auf das problem zurück zu kommen ...

scheinbar sind dir ja beide listen bekannt ... also versuche deine programme so zu schreiben das sie die verwendeten klassen nicht verwenden ... was natürlich auch wissen über die verwendeten klassen erfordert um sicher zu gehen das nicht in irgend eine sub-klasse eine blacklist-klasse verwendet wird ...
ist halt alles etwas sehr komplex und ein durch-parsen wäre auch nur mit den source-files *zum glück jedem jdk beigelegt* möglich ...
hier besteht als grundsätzlich änderungsbedarf an dem grund warum diese es diese listen überhaupt gibt ...
falls du darüber kein wissen haben solltest hake nach und versuch es in erfahrung zu bringen ... denn irgendwie find ich das ganze sehr merkwürdig und unüblich ... eine plattform die white- und black-listen gegen besondere klassen hat ... da sollte man an der plattform dringend was ändern und nich an den zu entwickelnden projekten ...

 

[Bierhumpen]

[...]falsches konzept ... [...]

Du scheinst ja nicht gerade sehr viel Ahnung zu haben, auch wenn du versucht hast das in dem anderen Thread wo du genatwortet hast so erscheinen zu lassen:
Natürlich kann so etwas sinnvoll sein, z.B. wenn man nicht will, dass Code einfach die VM beendet, Daten ins Internet schickt, Umgebumgsvariablen ausliest oder ändert oder Fenster/Dialoge aufmacht. Genau für sowas gibt es schließlich den SecurityManager und Plattformen wie osgi.

also versuche deine programme so zu schreiben das sie die verwendeten klassen nicht verwenden

clever...

 

[despikyxd]

also ich glaube kaum das es irgendwie möglich sein wird aufrufe auf die klasse java.lang.System zu blockieren ... oder auf andere im package java.lang ...
und um der VM verbindungen ins netzwerk zu blockieren gibt es firewalls ...
für eigentlich so ziemlich alle aufgaben die man überhaupt irgendwie blockieren kann ohne ne in dem sinne komplett neue vm zu schreiben gibt es entsprechende lösungen ...
und aus genau diesem grund machen solche listen für mich absolut keinen sinn ...
und wirklich ... erklär mir mal wie man sowas überhaupt umsetzen soll ? natürlich gibt es den von dir angesprochenen SecurityManager ... aber ich glaube auch dieser hat keine gewalt über die java.lang klassen ... und wenn dann auch nur begrenzt ...

 

[kay73]

also ich glaube kaum das es irgendwie möglich sein wird aufrufe auf die klasse java.lang.System zu blockieren ... oder auf andere im package java.lang ...

Durchaus. Um Paketzugriffe zur Laufzeit zu unterbinden, startet man die VM mit einem angepassten SecurityManger. Lass mal Eclipse eine Kindklasse von SecurityManager erzeugen, alle Methoden automatisch überladen und gib den in der VM mit entsprechendem Kommandozeilenparamter an. Dann läuft da erst mal gar nichts mehr.

Um einzelne Klassen auszuschließen oder sogar auf die Verwendung einzelner Methoden zur Laufzeit zu testen und z. B. die Aufrufe zu unterbinden, schreibt man (einen) entsprechende(n) Aspekt(e) und webt diese(n) per maven-AspectJ-Plugin in die kompilierten Klassen innerhalb der JAR-Archive.

Die Frage ist, ob der TE diesen Aufwand treiben will oder muss.

Vorgaben in diese Richtung gibt es beispielsweise beim BSI, das bei der Behördensoftwarenetwicklung gern ein Wörtchen mitredet. Was mich an der Aufgabenstellung etwas irritiert, ist, dass ausgerechnet "Klassen" ausgeschlossen werden, denn nicht die Klasse per sé ist das Problem sondern die Implementierung.