2、Java 应用安全深度解析

Java 应用安全深度解析

1. Java 安全概述

Java 自发布以来，凭借其跨平台能力、编程简易性、健壮性、内存管理以及安全性等诸多特性，吸引了全球开发者的关注。然而，不同开发者对“Java 是安全的”这一表述有着不同的期望。安全对于不同人而言含义各异，许多开发者对“安全”的期望与 Java 设计者的想法并不一致。

Java 安全的目标可从多个方面来理解：
- 免受恶意程序侵害 ：防止类似特洛伊木马和计算机病毒等恶意程序损害用户的计算环境。
- 非侵入性 ：避免程序获取主机计算机或其网络上的私人信息。
- 身份验证 ：验证程序涉及各方（作者和用户）的身份。
- 数据加密 ：对程序通过网络或持久存储（如文件系统或数据库）发送和接收的数据进行加密。
- 操作审计 ：记录潜在的敏感操作。
- 规范明确 ：遵循明确的安全规范。
- 规则验证 ：设定并验证操作规则。
- 行为良好 ：防止程序过度消耗系统资源，如过多的 CPU 时间和内存等。
- 认证合规 ：程序需获得美国政府对特定安全程序遵循情况的认证。

在 Java 1.0 的默认安全模型中，仅前两项（免受恶意程序侵害和非侵入性）是其涵盖范围。后续版本逐步引入了其他安全特性，如 1.1 版本添加了身份验证，