Framework i ochrona odbić Java

Question

Załóżmy, że mam klasę singleton w zewnętrznej bibliotece do mojej aplikacji. Ale wciąż mogę tworzyć wystąpienia tej konkretnej klasy za pomocą refleksji. Podobny do tego:

Class clas = Class.forName(Private.class.getName()); 

    for(Constructor c : clas.getDeclaredConstructors()){ 
     c.setAccessible(true); 
     Private p = (Private) c.newInstance(); 
     System.out.println(p); 
    } 

Jak mogę ograniczyć to? .

Dzięki J

Answer 1

Za pomocą SecurityManager i sterowanie sterowanie ReflectPermission("suppressAccessChecks") (example).

Menedżer bezpieczeństwa wpływa jednak na wydajność i rzadko jest używany po stronie serwera.

Answer 2

Krótka historia: nie można.

Do każdego konstruktora, zarówno publicznego, jak i prywatnego, można uzyskać dostęp poprzez odbicie i można go użyć do utworzenia instancji nowego obiektu.

Będziesz musiał odwołać się do innych metod, takich jak SecurityManager.

Answer 3

Nie sądzę, że można to ograniczyć.

Jest oczywiście niebezpieczną/wątpliwą praktyką używanie refleksji w celu uzyskania dostępu do prywatnych części innych osób (snicker), ale czasami jest to konieczne z powodu różnych typów narzędzi i aplikacji.

Answer 4

Zobacz Hack any Java class using reflection attack i How to set SecurityManager and Java security policy programmatically.

Answer 5

Jeśli mówimy o pojedynczych w szczególności: to jest jeden z powodów, dlaczego jest najlepszym sposobem na ich realizację jest poprzez wyliczenia:

public enum YourSingleton { 
    INSTANCE; 
    // methods go here 
} 

Jeśli mówimy o użyciu setAccessible() ogólnie: jeśli kod jest napisane przez kogoś, komu nie ufasz, że nie będziesz robić takich sztuczek, nie powinieneś go uruchamiać (lub uruchamiać go w piaskownicy). Wśród programistów, publiczna/prywatna powinna być uważana za metainformację o tym, w jaki sposób kod ma być używany - nie jako funkcja bezpieczeństwa.

Answer 6

AFAIK jest to rodzaj metaprogramowania i dlatego wymaga sprawdzenia innej warstwy abstrakcji. Z Javadoc, przypuszczam, powinieneś użyć SecurityManager, aby wymusić pożądane zachowanie: setAccessible(). Generalnie IMHO powinieneś naprawdę wiedzieć, co robisz, gdy jesteś metaprogramming i zmiana dostępu powinna naprawdę mieć dobre powody do zrobienia.

Answer 7

Możesz zrobić tak.

private static final Private INSTANCE = new Private(); 
    private Private() { 
     if(INSTANCE !=null) 
      throw new IllegalStateException("Already instantiated"); 
    } 
    public static Private getInstance() { 
      return INSTANCE; 
     }