Webstart JNLP - AccessControlException

[gladiator09]

hey leute,

hab ein jnlp, das auf externe txt-dateien zugreift! kann das JAR-file ohne probleme starten, nur wenn ich eine von den externen dateien ansprech, dann kommt eine accesscontrolexception mit access denied für eine bestimmte txt-datei in einem unterordner!

stimmt das, dass ich die jar-datei signieren muss, damit es läuft? und wenn ja, wie genau funktioniert das? versteh die tutorials irgendwie nicht ganz...

lg,
alex

 

[hansmueller]

Hallo,

bezüglich des Signierens schau dir mal diesen Post an:
http://www.java-forum.org/deployment/94590-java-webstart-startet-jar-file.html#post617654

Ansonsten noch:
http://www.java-forum.org/allgemeine-java-themen/98213-webstart-zugriff-lokale-dateien.html

Wenn dir das nicht weiterhilft, wäre eine genauere Beschreibung deiner Situation notwendig. (Wie sieht die jnlp aus, wo liegen die Daten usw.)

MfG
hansmueller

 

[gladiator09]

Hallo,

bezüglich des Signierens schau dir mal diesen Post an:
http://www.java-forum.org/deployment/94590-java-webstart-startet-jar-file.html#post617654

Ansonsten noch:
http://www.java-forum.org/allgemeine-java-themen/98213-webstart-zugriff-lokale-dateien.html

Wenn dir das nicht weiterhilft, wäre eine genauere Beschreibung deiner Situation notwendig. (Wie sieht die jnlp aus, wo liegen die Daten usw.)

MfG
hansmueller

danke erstmal!

hab die JAR jetzt signiert und jetzt bekomme ich aber folgende fehlermeldung:

#### Java Web Start Error:
#### JAR-Ressourcen in JNLP-Datei sind nicht von demselben Zertifikat signiert

mein ordner sieht so aus:

files -> dort liegen die files, die ich mit relativen pfaden aus dem java-programm aufrufe
lib -> dort liegen zwei externe libs drin
SQLGenericTool.jar -> mein java-programm
test.jnlp -> die JNLP-datei

test.jnlp:

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<jnlp codebase="http://ocsng.vbag.m974.local/jnlp" href="test.jnlp" spec="1.0+">
    <information>
        <title>SQLGenericTool</title>
        <vendor>r74csxa</vendor>
        <homepage href=""/>
        <description>SQLGenericTool</description>
        <description kind="short">SQLGenericTool</description>
    </information>

    <resources>
		<j2se version="1.5+"/>
		<jar eager="true" href="SQLGenericTool.jar" main="true"/>
		<jar href="lib/sqljdbc.jar"/>
		<jar href="lib/jxl.jar"/>
	</resources>
    <application-desc main-class="amgeneric.GUIAuswahl">

    </application-desc>
	
	<security>
		<all-permissions/>
	</security>
</jnlp>

lg,
alex

 

[hansmueller]

Du mußt ALLE deine Jars, die in der jnlp aufgelistet sind, mit dem selben Zertifikat signieren.

Also nicht nur deine SQLGenericTool.jar, sondern auch die sqljdbc.jar und die jxl.jar.

Nachtrag:
Allerdings weiß ich nicht, ob das dein Problem löst.
Wenn ich es richtig verstanden habe, soll dein Programm (was auf dem Client ausgeführt wird) auf eine Datei auf dem Server zugreifen. Ich weiß nicht wie du auf diese Datei zugreifst, aber evtl. liegt auch hier der Fehler begraben. Die Signierung ist nur für den Zugriff auf den Client-Rechner gedacht.
Wenn es geht, dann pack doch einfach deine Files in eine jar, signiere diese, schreibe diese in die jnlp und laß dein Programm aus dieser jar die Files holen.

MfG
hansmueller

 

[gladiator09]

Du mußt ALLE deine Jars, die in der jnlp aufgelistet sind, mit dem selben Zertifikat signieren.

Also nicht nur deine SQLGenericTool.jar, sondern auch die sqljdbc.jar und die jxl.jar.

Nachtrag:
Allerdings weiß ich nicht, ob das dein Problem löst.
Wenn ich es richtig verstanden habe, soll dein Programm (was auf dem Client ausgeführt wird) auf eine Datei auf dem Server zugreifen. Ich weiß nicht wie du auf diese Datei zugreifst, aber evtl. liegt auch hier der Fehler begraben. Die Signierung ist nur für den Zugriff auf den Client-Rechner gedacht.
Wenn es geht, dann pack doch einfach deine Files in eine jar, signiere diese, schreibe diese in die jnlp und laß dein Programm aus dieser jar die Files holen.

MfG
hansmueller

ok, das hab ich versucht, aber bei der sqljdbc.jar schreibt er mir:

ZipException: invalid entry compressed size (expected 6834 but got 6800 bytes)

lg

 

[hansmueller]

ZipException: invalid entry compressed size (expected 6834 but got 6800 bytes)

Mmmmhhh... ist mir noch nie untergekommen.
Aber zum Glück gibt es ja Google:
Re: [nbusers] Webstart- Making Progress - David G. Simmons - org.netbeans.nbusers - MarkMail
und
Comments about Webstart- Making Progress

Wenn ich das richtig verstehe ist die sqljdbc.jar bereits mit einem (anderen) Zertifikat signiert.
Du mußt anscheinend die jar entpacken, die Dateien
META-INF/ZIGBERT.SF
META-INF/ZIGBERT.RSA
löschen
und
aus der MANIFEST.MF-Datei alle Zeilen entfernen, welche die Signatur betreffen. (Schau dir die Links an. Das Beispiel bezieht sich zwar nicht auf die sqljdbc.jar, müßte aber so ähnlich vom Aufbau her sein.)
Ich vermute mal, das du alle Zeilen die nach folgendem Muster aufgebaut sind, löschen mußt:

Name: com/microsoft/sqlserver/jdbc/AppDTVImpl$SetValueOp.class
Digest-Algorithms: MD5 SHA1
MD5-Digest: 924hcC8tPWfSRl4gQ0mL8A==
SHA1-Digest: cKrcJddnNRUuUjTr95qUTfdruyU=

(Also praktisch fast die ganze Manifest-Datei.)
Ich habe sowas in der Art noch nie gemacht, weiß also nicht ob das funktioniert.
(In dem Beispiel der Links kommt nur eine SHA1 vor ???:L.)

Anschließend packst du wieder alles in ein jar und signierst es mit deinem Zertifikat.


MfG
hansmueller

 

[gladiator09]

dürfte funktioniert haben, danke dir vielmals

hab jetzt nur mehr ein problem:

ich hab die files in einem unterordner vom jar (files\[file.txt])! jetzt findet er die files nur, wenn ich im programm (müsste ich bei allen pfaden ändern und müsste es jedes mal neu kompilieren, wenn sich der pfad ändert) den absoluten UNC-pfad vom server angeb! geht das auch mit relativen pfaden?

lg

 

[hansmueller]

So ganz verstehe ich dein Problem nicht.???:L

Wie häufig ändert sich den der Pfad für die [file].txt? Ich meine, du wirst ja wohl nicht ständig die Ordnerstruktur von deinem Server verändern.
Was enthalten den diese Textdateien, das du diese nicht mit den anderen jars über die jnlp zum Client schickst?
Werden die Dateien etwa in kurzen Zeitabständen immer wieder geändert?

MfG
hansmueller

 

[Guest2]

Ich versteh das Problem auch nicht.

Wäre die Datei zwar außerhalb des JAR, aber auf demselben Server der auch das jnlp hostet, stellt die Sandbox kein Problem dar, da selber Ursprung.
-> Da muss nix signiert werden.

Ist die Datei im JAR, ist auch alles eigentlich kein Problem (getClassLoader().getResource(name) / getClassLoader().getResourceAsStream(name)).

Vermute fast gladiator09 versucht da was mit "new File()"?

Gruß,
Fancy

 

[gladiator09]

So ganz verstehe ich dein Problem nicht.???:L

Wie häufig ändert sich den der Pfad für die [file].txt? Ich meine, du wirst ja wohl nicht ständig die Ordnerstruktur von deinem Server verändern.
Was enthalten den diese Textdateien, das du diese nicht mit den anderen jars über die jnlp zum Client schickst?
Werden die Dateien etwa in kurzen Zeitabständen immer wieder geändert?

MfG
hansmueller

die ordnerstruktur ändert sich eh nicht, aber wenn ich alle pfade im programm auf den server anpasse, dann läufts auch wirklich nur auf dem server und wenn ichs mal auf einen anderen server legen will, muss ich die pfade im JAR ändern!

kann ich die txt-dateien eigentlich mit ins JAR nehmen?

lg,
alex

 

[Guest2]

kann ich die txt-dateien eigentlich mit ins JAR nehmen?

Ja und genau da gehören die wohl auch hin. Zugreifen kannst Du dann mit getClassLoader().getResource(name) oder getClassLoader().getResourceAsStream(name).

Dann müssen die JARs auch nicht mehr signiert werden (zumindest nicht wegen dem Zugriff auf die txt Dateien). Und der all-permissions Eintrag in der jnlp kann dann auch weg. Webanwendungen sollte man nur signieren, wenn es wirklich notwendig ist (Vollzugriff auf den Client oder Netzwerkverbindungen zu anderen Rechnern (alle außer dem Server der die JARs / das jnlp hostet)).

Gruß,
Fancy

 

[gladiator09]

Ja und genau da gehören die wohl auch hin. Zugreifen kannst Du dann mit getClassLoader().getResource(name) oder getClassLoader().getResourceAsStream(name).

Dann müssen die JARs auch nicht mehr signiert werden (zumindest nicht wegen dem Zugriff auf die txt Dateien). Und der all-permissions Eintrag in der jnlp kann dann auch weg. Webanwendungen sollte man nur signieren, wenn es wirklich notwendig ist (Vollzugriff auf den Client oder Netzwerkverbindungen zu anderen Rechnern (alle außer dem Server der die JARs / das jnlp hostet)).

Gruß,
Fancy

ok versteh wenn ich jetzt meine anwendung in netbeans erstellt hab (der erstellt mir ja automatisch das JAR-file)... wo gehören die txt-dateien dann rein? in welchen ordner bzw. direkt ins package?

lg

EDIT: habs schon geschafft, danke

wenn ich das programm aber jetzt mit JNLP starte, dann bekomm ich wieder "access denied" auf "files/db.txt"... hab diese datei in einen eigenen folder namens files gelegt! aber nicht im package meiner java-dateien, sondern auf gleicher ebene wie das package...

 

[hansmueller]

Poste uns mal die komplette Fehlermeldung.

Und wie hast du auf die Datei zugegriffen?
Ich hoffe du hast es schön so gemacht, wie Fancy es beschrieben hat.
(Zeig uns mal den Code.)

MfG
hansmueller

 

[gladiator09]

Poste uns mal die komplette Fehlermeldung.

Und wie hast du auf die Datei zugegriffen?
Ich hoffe du hast es schön so gemacht, wie Fancy es beschrieben hat.
(Zeig uns mal den Code.)

MfG
hansmueller

hab euch jetzt mal mein netbeans-projekt angehängt und hier ist der code, wie ich z.b. auf die erste text-datei zugreife:

public void dbsEinlesen()
    {
        try
        {
            BufferedReader br = new BufferedReader(new InputStreamReader(new FileInputStream(this.getClass().getClassLoader().getResource("files/db.txt").getFile()), "ISO-8859-1"));

            String zeile = "";
            String[] getrennt;

            while((zeile = br.readLine()) != null)
            {
                getrennt = zeile.split(";");
                dcmDB.addElement(new DB(getrennt[0], getrennt[1], getrennt[2], getrennt[3]));
            }

            br.close();

        }
        catch (Exception e)
        {
            JOptionPane.showMessageDialog(this, "Fehler beim Einlesen der Datenbanken!", "Fehler!", JOptionPane.ERROR_MESSAGE);
            e.printStackTrace();
        }
    }

hier die fehlermeldung:

java.security.AccessControlException: access denied (java.io.FilePermission http:\ocsng.vbag.m974.local\jnlp\SQLGenericTool.jar!\files\db.txt read)
	at java.security.AccessControlContext.checkPermission(Unknown Source)
	at java.security.AccessController.checkPermission(Unknown Source)
	at java.lang.SecurityManager.checkPermission(Unknown Source)
	at java.lang.SecurityManager.checkRead(Unknown Source)
	at java.io.FileInputStream.<init>(Unknown Source)
	at java.io.FileInputStream.<init>(Unknown Source)
	at amgeneric.GUIAuswahl.dbsEinlesen(GUIAuswahl.java:39)
	at amgeneric.GUIAuswahl.<init>(GUIAuswahl.java:31)
	at amgeneric.GUIAuswahl$2.run(GUIAuswahl.java:152)
	at java.awt.event.InvocationEvent.dispatch(Unknown Source)
	at java.awt.EventQueue.dispatchEvent(Unknown Source)
	at java.awt.EventDispatchThread.pumpOneEventForFilters(Unknown Source)
	at java.awt.EventDispatchThread.pumpEventsForFilter(Unknown Source)
	at java.awt.EventDispatchThread.pumpEventsForHierarchy(Unknown Source)
	at java.awt.EventDispatchThread.pumpEvents(Unknown Source)
	at java.awt.EventDispatchThread.pumpEvents(Unknown Source)
	at java.awt.EventDispatchThread.run(Unknown Source)

lg

EDIT:

wenn ichs mit getResourceAsStream mache, dann funktionierts wenn ich jetzt aber die verbindung zur SQL-datenbank herstellen will, dann fragt er mich ob ich die verbindung zu der jeweiligen IP-adresse zulassen möchte, was ich mit "OK" bestätige und dann kommen diese error :-(

Exception in thread "AWT-EventQueue-0" java.lang.ExceptionInInitializerError
	at com.microsoft.sqlserver.jdbc.SQLServerConnection.connectHelper(Unknown Source)
	at com.microsoft.sqlserver.jdbc.SQLServerConnection.loginWithoutFailover(Unknown Source)
	at com.microsoft.sqlserver.jdbc.SQLServerConnection.connect(Unknown Source)
	at com.microsoft.sqlserver.jdbc.SQLServerDriver.connect(Unknown Source)
	at java.sql.DriverManager.getConnection(Unknown Source)
	at java.sql.DriverManager.getConnection(Unknown Source)
	at amgeneric.SQL.<init>(SQL.java:19)
	at amgeneric.GUI.<init>(GUI.java:83)
	at amgeneric.GUIAuswahl.bDBActionPerformed(GUIAuswahl.java:143)
	at amgeneric.GUIAuswahl.access$000(GUIAuswahl.java:21)
	at amgeneric.GUIAuswahl$1.actionPerformed(GUIAuswahl.java:111)
	at javax.swing.AbstractButton.fireActionPerformed(Unknown Source)
	at javax.swing.AbstractButton$Handler.actionPerformed(Unknown Source)
	at javax.swing.DefaultButtonModel.fireActionPerformed(Unknown Source)
	at javax.swing.DefaultButtonModel.setPressed(Unknown Source)
	at javax.swing.plaf.basic.BasicButtonListener.mouseReleased(Unknown Source)
	at java.awt.Component.processMouseEvent(Unknown Source)
	at javax.swing.JComponent.processMouseEvent(Unknown Source)
	at java.awt.Component.processEvent(Unknown Source)
	at java.awt.Container.processEvent(Unknown Source)
	at java.awt.Component.dispatchEventImpl(Unknown Source)
	at java.awt.Container.dispatchEventImpl(Unknown Source)
	at java.awt.Component.dispatchEvent(Unknown Source)
	at java.awt.LightweightDispatcher.retargetMouseEvent(Unknown Source)
	at java.awt.LightweightDispatcher.processMouseEvent(Unknown Source)
	at java.awt.LightweightDispatcher.dispatchEvent(Unknown Source)
	at java.awt.Container.dispatchEventImpl(Unknown Source)
	at java.awt.Window.dispatchEventImpl(Unknown Source)
	at java.awt.Component.dispatchEvent(Unknown Source)
	at java.awt.EventQueue.dispatchEvent(Unknown Source)
	at java.awt.EventDispatchThread.pumpOneEventForFilters(Unknown Source)
	at java.awt.EventDispatchThread.pumpEventsForFilter(Unknown Source)
	at java.awt.EventDispatchThread.pumpEventsForHierarchy(Unknown Source)
	at java.awt.EventDispatchThread.pumpEvents(Unknown Source)
	at java.awt.EventDispatchThread.pumpEvents(Unknown Source)
	at java.awt.EventDispatchThread.run(Unknown Source)
Caused by: java.security.AccessControlException: access denied (java.util.PropertyPermission java.home read)
	at java.security.AccessControlContext.checkPermission(Unknown Source)
	at java.security.AccessController.checkPermission(Unknown Source)
	at java.lang.SecurityManager.checkPermission(Unknown Source)
	at java.lang.SecurityManager.checkPropertyAccess(Unknown Source)
	at java.lang.System.getProperty(Unknown Source)
	at com.microsoft.sqlserver.jdbc.TDSChannel.<clinit>(Unknown Source)
	... 36 more

 

[Guest2]

Ja, getResourceAsStream ist in dem Fall auch das richtige, immerhin willst Du ja auch einen Stream.

Der zweite Fehler kommt wohl hierher:

 Caused by: java.security.AccessControlException: access denied (java.util.PropertyPermission java.home read)[..]
    at com.microsoft.sqlserver.jdbc.TDSChannel.<clinit>(Unknown Source)

Ich habe diese com.microsoft.* Klassen noch nie genutzt, kann Dir deshalb auch nicht sagen was die da wollen.

Du kannst das wahrscheinlich beseitigen wenn Du die JARs wieder signierst, dann können diese Klassen wieder alles was sie wollen. Aber das ist nur ein verschleiern der Symptome, keine eigentliche Lösung des Problems.

Gruß,
Fancy

 

[gladiator09]

Ja, getResourceAsStream ist in dem Fall auch das richtige, immerhin willst Du ja auch einen Stream.

Der zweite Fehler kommt wohl hierher:

 Caused by: java.security.AccessControlException: access denied (java.util.PropertyPermission java.home read)[..]
    at com.microsoft.sqlserver.jdbc.TDSChannel.<clinit>(Unknown Source)

Ich habe diese com.microsoft.* Klassen noch nie genutzt, kann Dir deshalb auch nicht sagen was die da wollen.

Du kannst das wahrscheinlich beseitigen wenn Du die JARs wieder signierst, dann können diese Klassen wieder alles was sie wollen. Aber das ist nur ein verschleiern der Symptome, keine eigentliche Lösung des Problems.

Gruß,
Fancy

ja stimmt... com.microsoft.* ist der sqljdbc-treiber, mit dem ich eine verbindung zur datenbank aufbau!

ich hab versucht die zwei externen librarys (die jar-files) zu entpacken und direkt in mein progrmam einzufügen, sodass ich die klassen direkt in meinem programm hab und die beiden externen JARs nimma brauche! aber irgendwie findet er dann z.b. jxl.* nicht! kA wieso!

lg

EDIT: ich hab ziemlich viel herumprobiert und habs geschafft die sqljdbc richtig zu signieren und nachdem jetzt alle 3 JARs signiert sind, haut das ganze auch hin

aber mir wärs wirklich sehr recht, wenn ich die beiden externen librarys irgendwie direkt in meine JAR hineinbringen könnte, sodass ich mir die signatur spare

 

[gladiator09]

also das ist ein wahnsinn! habs jetzt signiert und es funktioniert, aber irgendwie nicht auf jedem client... bei manchen geht es, bei manchen wirft er einen fehler: "signatur konnte nicht verifiziert werden"!

jetzt hab ichs probiert, dass ich die JARs von den beiden externen librarys öffne und die packages die ich brauche, in meine JAR einzubinden! ich kann das programm so auch öffnen und es funktioniert!

aber sobald ich es über JNLP starte und eine datenbankverbindung aufbauen will, kommt wieder der fehler von oben (Caused by: java.security.AccessControlException: access denied (java.util.PropertyPermission java.home read)

lg,
alex

EDIT: hab mein JAR signiert und jetzt funktionierts! aber gibts eine möglichkeit, dass ich es nicht signieren muss??

 

[hansmueller]

Hallo,

ich vermute mal das der Datenbanktreiber von Microsoft irgendwelche System-Properties auslesen will.
Wenn das jar unsigniert ist, verhindert die Sandbox das Auslesen und es kommt zur besagten Fehlermeldung. Die Einschränkungen in der Sandbox sind ziemlich heftig, aber dafür ist sie ja da.

Mir fällt diesbezüglich auch keine andere Möglichkeit außer dem Signieren ein.
Es gibt zwar die Möglichkeit die java.policy, welche für die Sicherheit zuständig ist anzupassen, aber das muß man auf den Clientrechner mit entsprechenden Rechten machen. Aus der Sandbox geht das meiner Meinung nach bestimmt nicht.

MfG
hansmueller

Nachtrag:
Habe hier noch eine paar interessante Links:
Permissions in the JDK
JDK 7 Security-related APIs & Developer Guides -- from Sun Microsystems

 

[gladiator09]

Hallo,

ich vermute mal das der Datenbanktreiber von Microsoft irgendwelche System-Properties auslesen will.
Wenn das jar unsigniert ist, verhindert die Sandbox das Auslesen und es kommt zur besagten Fehlermeldung. Die Einschränkungen in der Sandbox sind ziemlich heftig, aber dafür ist sie ja da.

Mir fällt diesbezüglich auch keine andere Möglichkeit außer dem Signieren ein.
Es gibt zwar die Möglichkeit die java.policy, welche für die Sicherheit zuständig ist anzupassen, aber das muß man auf den Clientrechner mit entsprechenden Rechten machen. Aus der Sandbox geht das meiner Meinung nach bestimmt nicht.

MfG
hansmueller

Nachtrag:
Habe hier noch eine paar interessante Links:
Permissions in the JDK
JDK 7 Security-related APIs & Developer Guides -- from Sun Microsystems

ok, dann kann man nix machen!

seitdem ich nur mehr ein JAR-file hab und das signiert is, funktionierts jetzt auch auf den rechnern, die vorher die fehlermeldung "signatur konnte nicht verifizert werden" hatten!

ich lass es jetzt so! vielen dank an euch alle

lg,
alex