jacodb导入带签名的jar包失败的问题

javajingling

已于 2024-08-22 17:08:22 修改

阅读量270

点赞数 2

分类专栏： # jacoDB使用记录文章标签： java

于 2024-08-05 15:57:48 首次发布

本文链接：https://blog.youkuaiyun.com/javajingling/article/details/140929009

版权

jacoDB使用记录专栏收录该内容

4 篇文章

订阅专栏

今天在执行某个项目分析时，100多个jar包只有BC库的三个jar包导入失败。错误如下：

[DefaultDispatcher-worker-1 @coroutine#1] INFO org.jacodb.impl.storage.PersistenceService - Starting app version [1.4]
[DefaultDispatcher-worker-16 @coroutine#150] WARN org.jacodb.impl.fs.JarLocation - error loading classes from jar: bcutil-jdk15on-1.70.jar. returning empty loader
java.lang.IllegalStateException: zip file closed
	at java.base/java.util.zip.ZipFile.ensureOpen(ZipFile.java:840)
	at java.base/java.util.zip.ZipFile.getInputStream(ZipFile.java:369)
	at java.base/java.util.jar.JarFile.getBytes(JarFile.java:800)
	at java.base/java.util.jar.JarFile.checkForSpecialAttributes(JarFile.java:1006)
	at java.base/java.util.jar.JarFile.isMultiRelease(JarFile.java:388)
	at java.base/java.util.jar.JarFile$JarFileEntry.realEntry(JarFile.java:691)
	at java.base/java.util.jar.JarFile.verifiableEntry(JarFile.java:869)
	at java.base/java.util.jar.JarFile.getInputStream(JarFile.java:861)
	at org.jacodb.impl.fs.JarFacade.getBytecode(Jars.kt:84)
	at org.jacodb.impl.fs.JarLocation.getClasses(JarLocationImpl.kt:48)
	at org.jacodb.impl.fs.ByteCodeLoaderImplKt.getSources(ByteCodeLoaderImpl.kt:24)
	at org.jacodb.impl.JcDatabaseImpl$process$3$1$1.invokeSuspend(JcDatabaseImpl.kt:138)
	at kotlin.coroutines.jvm.internal.BaseContinuationImpl.resumeWith(ContinuationImpl.kt:33)
	at kotlinx.coroutines.DispatchedTask.run(DispatchedTask.kt:106)
	at kotlinx.coroutines.internal.LimitedDispatcher.run(LimitedDispatcher.kt:42)
	at kotlinx.coroutines.scheduling.TaskImpl.run(Tasks.kt:95)
	at kotlinx.coroutines.scheduling.CoroutineScheduler.runSafely(CoroutineScheduler.kt:570)
	at kotlinx.coroutines.scheduling.CoroutineScheduler$Worker.executeTask(CoroutineScheduler.kt:750)
	at kotlinx.coroutines.scheduling.CoroutineScheduler$Worker.runWorker(CoroutineScheduler.kt:677)
	at kotlinx.coroutines.scheduling.CoroutineScheduler$Worker.run(CoroutineScheduler.kt:664)

刚开始看到这个错误，以为时多个线程同时加载class文件，之间没同不好，有线程提前关闭了文件导致的。看了读取源码实在没看懂，后续将正常可以加载的jar包对比了下，发现BC库的jar包多了签名文件，删除这几个文件就可以正常加载了。

jar包对比：

红框中的四个文件时jar包的签名文件。

这几天又看了这个问题，感觉删文件太麻烦，需要遍历所有jar包。经过多次复现该问题和翻看源代码后发现，JarFile类在加载jar包时可以选择是否验证签名。而jacodb中设置了需要验证签名，源码如下：

具体提JarFile是怎么验证签名的代码没有再翻看，猜测是验证签名出了问题，就把读取jar包的流关闭了，而后续再读取jar包中class时，导致了zip file closed的异常。

使用jarsigner命令验证得到如下结果

C:\Users\Desktop\bclib>jarsigner -verify -certs bcutil-jdk15on-1.70.jar

jar 已验证。

警告:
此 jar 包含其证书链无效的条目。原因: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
DSA 签名密钥的密钥大小 1024 被视为存在安全风险。此密钥大小将在未来的更新中被禁用。

有关详细信息, 请使用 -verbose 和 -certs 选项重新运行。

感觉是证书链没验证通过导致的验证失败。目前猜想的原因是，证书链问题导致签名验证失败，验证失败导致JarFile关闭了jar包读取的流，导致读取class内容是报“zip file closed”的异常。

后续有时间将相关的证书安装上再试下。