「关于java代码安全性」java代码安全规范

博主：adminadmin 2023-01-25 03:30:11 403

今天给各位分享关于java代码安全性的知识，其中也会对java代码安全规范进行解释，如果能碰巧解决你现在面临的问题，别忘了关注本站，现在开始吧！

本文目录一览：

Java语言的三种核心机制

Java语言包含三种核心机制：Java 虚拟机、垃圾收集机制和代码安全检测。

1、Java 虚拟机(Java Virtual Machine，JVM)

在一台计算机上由软件或硬件模拟的计算机。Java虚拟机读取并处理经编译过的平台无关的字节码class文件。

2、垃圾收集机制(Garbage collection)

在C/C++ 等语言中，由程序员负责回收无用内存。Java语言解除了程序员回收无用内存空间的责任。它提供一种系统级线程跟踪存储空间的分配情况。并在JVM的空闲时，检查并释放那些可被释放的存储器空间。垃圾收集在Java程序运行过程中自动进行，程序员无法精确控制和干预。

3、代码安全性检测(Code Security)

Java执行代码的时候，由JVM对运行的代码进行安全性检测，当进行一些非法操作的时候，比如修改一些系统设置的时候，JVM会发出警告。

JAVA的安全性怎么理解?为什么它是安全的?

Java适用与网络/分布式环境,因此在安全方面投入了很大精力.使用Java可以构建防毒、防篡改的系统.

最初的Java就包括:

禁止运行时堆栈溢出.(例如蠕虫等病毒常用的袭击手段);

禁止在自己的处理空间之外破坏内存;

未经授权禁止读写文件.

并且,许多安全特性相继不断被加入java中.从1.1开始,java就有了数字签名类(digitally signed class)的概念.(我们浏览网页时会经常遇到的.)通过数字签名类,可以确定类的作者.如果信任这个类的作者，这个类在你机器上就能拥有更多权限.

但是即使这样,还是要说一句"安全不是绝对的".

Java的安全机制有哪些？

》类装载器结构(classloader)\x0d\x0a\x0d\x0a》class文件检查器(theclassfileverifier)\x0d\x0a\x0d\x0a》内置于Java虚拟机(及语言)的安全特性\x0d\x0a\x0d\x0a》安全管理器及JavaAPI(securitymanager)\x0d\x0a\x0d\x0a在Java沙箱中，类装载器体系结构是第一道防线。它在三个方面对Java的沙箱起作用：\x0d\x0a\x0d\x0a1它防止恶意代码区干涉善意的代码\x0d\x0a\x0d\x0a2它守护了被信任的代码的边界\x0d\x0a\x0d\x0a3它将代码归于某类(称为保护域)，该类确定了代码可以进行哪种操作\x0d\x0a\x0d\x0aClass文件检查器：\x0d\x0a\x0d\x0aClass文件检查器保证装载的class文件内容有正确的内部结构，并且这些class文件互相间协调一致。Class文件检查器实现的安全目标之一就是程序的健壮性。如果某个有漏洞的编译器，或某个聪明的黑客，产生了一个class文件，而这个class文件中包含了一个方法，则合格方法的字节码中含有一条跳转到方法之外的指令，那么，一旦这个方法被调用，它将导致虚拟机的崩溃，所以，处于对健壮性的考虑，由虚拟机检验它装载的字节码的完整性非常重要。\x0d\x0a\x0d\x0aClass文件检查器要进行四趟独立的扫描来完成它的操作。\x0d\x0a\x0d\x0a第一趟：Class文件的结构检查\x0d\x0a\x0d\x0a在这一趟扫描中，对每一段将被当做类型导入的字节序列，Class文件检查器都会确认它是否符合JavaClass文件的节本结构。在这一趟检查中检查器会进行很多检查例如：每个Class文件都必须以四个同样的字节开始：0xCAFEBABE。因为这个魔数Class文件分析器会很容易判断出某个文件具有明显问题而加以拒绝。检查器还必须确认在Class文件中声明的版本号和次版本号，这个版本号必须在这个虚拟机实现可以支持的范围之内。而且第一趟扫描还必须确认这个Class文件有没有被删减。总之第一趟扫描的目的就是保证这个字节序列正确的定义了一个新类型。\x0d\x0a\x0d\x0a第二趟：类型数据的语义检查\x0d\x0a\x0d\x0a第二趟扫描，检查器要查看每个组成部分，确认它们是否是其所属类型的实例，他们的结构是否正确。另外还要检查这个类本身是否符合特定的条件，它们是由Java编程语言规定的。例如，检查器强制规定除Object类以外的类必须有一个超类，或者检查final类有没有被子化等。\x0d\x0a\x0d\x0a第三趟：字节码验证\x0d\x0a\x0d\x0a这一趟是要确保采用任何路径在字节码流中都得到一个确定的操作码，确保操作数栈总是包含正确的数值以及正确的类型。\x0d\x0a\x0d\x0a第四趟：符号引用的验证\x0d\x0a\x0d\x0a在动态链接的过程中，如果包含在一个Class文件中的符号引用被解析时，Class文件检查器要进行第四趟检查。第四趟扫描仅仅是动态链接过程的一部分。当一个Class文件被装载时，它包含了对其他类的符号引用以及它们的字段和方法。一个符号引用是一个字符串，它给出了名字，并且可能还包含了其他关于这个被引用项的信息------这些信息必须足以唯一的识别一个类、方法、字段。这样对于其他类的符号引用必须给出这个类的全名；对于其他类的字段的符号引用必须给出类名、字段名以及字段描述符；对于其他类中的方法的引用必须给出类名、方法名以及方法的描述符。\x0d\x0a\x0d\x0a所谓的动态链接是一个将符号引用解析为直接引用的过程。\x0d\x0a\x0d\x0a此外，由于Java程序是动态链接的，所以Class文件检查器在进行第四次扫描中，必须检查相互引用类之间的兼容性。\x0d\x0a\x0d\x0a除此之外，Java虚拟机还有一些内置的安全特性：\x0d\x0a\x0d\x0a》类型安全的引用转换\x0d\x0a\x0d\x0a》结构化的内存访问\x0d\x0a\x0d\x0a》自动垃圾收集（不必显式地释放被分配的内存）\x0d\x0a\x0d\x0a》空引用检查\x0d\x0a\x0d\x0a通过保证一个Java程序只能使用类型安全的、结构化的方法去访问内存，Java虚拟机使得Java程序更为健壮。

java语言是不支持安全性的说法是否正确

不正确。

字节码验证是保证Java代码安全的核心特性之一。字节码验证意味着Java使用编译器，编译器读取Java代码并将其转换为与机器无关的字节码表示。这样可以确保只执行合法的字节码，并且不允许恶意代码进入系统。所以java语言是不支持安全性的说法是不正确的。

Java是一门面向对象的编程语言，不仅吸收了C++语言的各种优点，还摒弃了C++里难以理解的多继承、指针等概念。

下面有关java代码安全性的叙述哪些是对的

下面有关Java代码安全性的叙述，( )是对的。 Ⅰ：字节码校验器加载查询执行需要的所有类。 Ⅱ：运行时解释器执行代码。 Ⅲ：在运行时，字节码被加载，验证后在解释器里面运行。 Ⅳ：类加载器通过分离本机文件系统的类和从网络导入的类增加安全性。

A．Ⅱ、Ⅲ

B．Ⅱ、Ⅲ、Ⅳ

C．Ⅰ、Ⅲ、Ⅳ

D．Ⅲ、Ⅳ

请帮忙给出正确答案和分析，谢谢！

正确答案：B

解析：该题考查考生对Java程序代码安全性的掌握。Java程序运行的过程是这样的：类加载器加载程序运行所需要的所有类，它通过区分本机文件系统的类和网络系统导入的类增加安全性，这可以限制任何的特洛伊木马程序，因为本机类总是先被加载，一旦所有的类被加载完，执行文件的内存划分就固定了，在这个时候，特定的内存地址被分配给对应的符号引用，查找表也被建立，由于内存划分发生在运行时，解释器在受限制的代码区增加保护，防止未授权的访问；然后字节码校验器进行校验，主要执行下面的检查，类是否符合JVM规范的类文件格式，有没有违反访问限制，代码有没有造成堆栈的上溢或者下溢，所有操作代码的参数类型是否都是正确的，有没有非法的数据类型转换(例如将整型数转换成对象类型)发生；校验通过的字节码被解释器执行，解释器在必要时通过运行时系统执行对底层硬件的相应调用。

【转】如何保护Java代码

以下从技术角度就常见的保护措施 和常用工具来看看如何有效保护java代码：1. 将java包装成exe 特点：将jar包装成可执行文件，便于使用，但对java程序没有任何保护。不要以为生成了exe就和普通可执行文件效果一样了。这些包装成exe的程序运行时都会将jar文件释放到临时目录，很容易获取。常用的工具有exe4j、jsmooth、NativeJ等等。jsmooth生成的exe运行时临时目录在exe所在目录中或是用户临时目录 中；exe4j生成的exe运行时临时目录在用户临时目录中；NativeJ生成的exe直接用winrar打开，然后用zip格式修复成一个jar文件，就得到了原文件。如果只是为了使用和发布方便，不需要保护java代码，使用这些工具是很好的选择。2. java混淆器特点：使用一种或多种处理方式将class文件、java源代码进行混淆处理后生成新的class，使混淆后的代码不易被反编译，而反编译后的代码难以阅 读和理解。这类混淆器工具很多，而且也很有成效。缺点：虽然混淆的代码反编译后不易读懂，但对于有经验的人或是多花些时间，还是能找到或计算出你代码中隐藏的敏感内容，而且在很多应用中不是全部代码都能混淆的，往往一些关键的库、类名、方法名、变量名等因使用要求的限制反而还不能混淆。3. 隔离java程序到服务端特点：把java程序放到服务端，让用户不能访问到class文件和相关配套文件，客户端只通过接口访问。这种方式在客户/服务模式的应用中能较好地保护java代码。缺点是：必须是客户/服务模式，这种特点限制了此种方式的使用范围；客户端因为逻辑的暴露始终是较为薄弱的环节，所以访问接口时一般都需要安全性认证。4. java加密保护特点：自定义ClassLoader，将class文件和相关文件加密，运行时由此ClassLoader解密相关文件并装载类，要起到保护作用必须自定 义本地代码执行器将自定义ClassLoader和加密解密的相关类和配套文件也保护起来。此种方式能很有效地保护java代码。缺点：可以通过替换JRE包中与类装载相关的java类或虚拟机动态库截获java字节码。 jar2exe属于这类工具。5. 提前编译技术(AOT) 特点：将java代码静态编译成本地机器码，脱离通用JRE。此种方式能够非常有效地保护java代码，且程序启动比通用JVM快一点。具有代表性的是GNU的gcj，可以做到对java代码完全提前编译，但gcj存在诸多局限性，如：对JRE 5不能完整支持、不支持JRE 6及以后的版本。由于java平台的复杂性，做到能及时支持最新java版本和JRE的完全提前编译是非常困难的，所以这类工具往往采取灵活方式，该用即时编译的地方还是 要用，成为提前编译和即时编译的混合体。缺点：由于与通用JRE的差异和java运用中的复杂性，并非java程序中的所有jar都能得到完全的保护；只能使用此种工具提供的一个运行环境，如果工具更新滞后或你需要特定版本的JRE，有可能得不到此种工具的支持。 Excelsior JET属于这类工具。6. 使用jni方式保护特点：将敏感的方法和数据通过jni方式处理。此种方式和“隔离java程序到服务端”有些类似，可以看作把需要保护的代码和数据“隔离”到动态库中，不同的是可以在单机程序中运用。缺点和上述“隔离java程序到服务端”类似。7. 不脱离JRE的综合方式保护特点：非提前编译，不脱离JRE，采用多种软保护方式，从多方面防止java程序被窃取。此种方式由于采取了多种保护措施，比如自定义执行器和装载器、加密、JNI、安全性检测、生成可执行文件等等，使保护力度大大增强，同样能够非常有效地保护java代码。缺点：由于jar文件存在方式的改变和java运用中的复杂性，并非java程序中的所有jar都能得到完全的保护；很有可能并不支持所有的JRE版本。 JXMaker属于此类工具。8. 用加密锁硬件保护特点：使用与硬件相关的专用程序将java虚拟机启动程序加壳，将虚拟机配套文件和java程序加密，启动的是加壳程序，由加壳程序建立一个与硬件相关的 受保护的运行环境，为了加强安全性可以和加密锁内植入的程序互动。此种方式与以上“不脱离JRE的综合方式保护”相似，只是使用了专用硬件设备，也能很好地保护java代码。缺点：有人认为加密锁用户使用上不太方便，且每个安装需要附带一个。从以上描述中我们可以看出：1. 各种保护方式都有其优缺点，应根据实际选用2. 要更好地保护java代码应该使用综合的保护措施3. 单机环境中要真正有效保护java代码，必须要有本地代码程序配合当然，安全都是相对的，一方面看你的保护措施和使用的工具能达到的程度，一方面看黑客的意愿和能力，不能只从技术上保护知识产权。总之，在java 代码保护方面可以采取各种可能的方式，不可拘泥于那些条条框框。

关于关于java代码安全性和java代码安全规范的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。

标签：