applet跨域访问的安全性问题(java.security.AccessControlException:access denied)


作者：xcbeyond
疯狂源自梦想，技术成就辉煌！微信公众号：《程序猿技术大咖》号主，专注后端开发多年，拥有丰富的研发经验，乐于技术输出、分享，现阶段从事微服务架构项目的研发工作，涉及架构设计、技术选型、业务研发等工作。对于Java、微服务、数据库、Docker有深入了解，并有大量的调优经验。


异常问题

之前在实际项目现场，出现过这么一种现象：

在BS报表系统中，需要对报表进行打印，点击打印按钮无任何反应，之前都好好的，为何突然不行啦？通过打开Java控制台查看，发现出现如下错误ava.security.AccessControlException:access denied (java.net.SocketPermission..异常日志：

    java.security.AccessControlException:access denied (java.net.SocketPermission http://report.xx.xx.com:8000 connect,resolve)
    at java.security.AccessControlContext.checkPermission(Unknown Source)
    at java.security.AccessController.checkPermission(Unknown Source)
    at java.lang.SecurityManager.checkPermission(Unknown Source)
    at java.lang.SecurityManager.checkConnect(Unknown Source)
    at sun.plugin2.applet.Applet2SecurityManager.checkConnect(Unknown Source)
    at java.net.Socket.connect(Unknown Source)
    at sun.net.NetworkClient.doConnect(Unknown Source)
    at sun.net.www.http.HttpClient.openServer(Unknown Source)

        这时才想起来，基于项目最终上线要求，对环境IP统一调整为域名后，才出现了这个问题，进行前后对比发现，出现这个问题与调整为域名有密切关系。
原因分析

通过错误异常日志和报表打印的实现方式进行分析，原来报表打印是采用Java apllet方式实现的，而applet跨越访问是会造成安全性问题的。
解决方法

通过查阅大量资源，总结可以通过以下两个方面来解决：
1、在客户端机器的JRE目录下策略文件java.policy中添加授权

在JRE安装目录下的lib/security目录下的java.policy文件中的grant {}中添加下面授权：

(如：C:\Program Files\Java\jdk1.8.0_171\jre\lib\security\)

 permission java.net.SocketPermission "*:*", "accept,connect,resolve";

其中*:*中第一个*表示允许的IP或域名，如果是*表示所有；第二个*表示端口或端口范围，*表示所有端口，还可以是8080或8080-，如果是8080-则表示大于等于8080端口都允许。

"accept,connect,resolve"表示允许的操作：接受、连接、解析。

弊端：需要在所有使用该系统的客户端上修改策略文件。

2、在应用系统中建立属于自己的策略文件

也可以建立自己的策略文件，如myPolicy.policy，在其中添加上面描述的授权，再在lib/security目录下的java.security文件中添加我们建立的策略文件：
policy.url.x=file:${java.home}/lib/security/myPolicy.policy

或者不用在java.security添加包含的策略文件，而是在启动时带一个参数

java -Djava.security.policy=myPolicy.policy

也是可以的。