Java安全API简介

Java 安全 API 的范围很广。开发安全应用程序的基础在于加密和公钥基础设施 (PKI) 接口、多种可互操作的通用算法实现以及其他安全服务。有用于执行身份验证和访问控制的接口。这使应用程序能够防止对受保护资源的未经授权的访问。

语言安全

首先，语言本身的构建考虑了将安全性融入其核心。最简单的例子可能是类型安全的结合。类型安全意味着程序在运行时对内存的访问受到限制。这是通过仅将内存与 Java 对象相关联来实现的。对象有一个对应的类来定义它的行为;这确保了程序只能根据定义的行为对其进行操作。这个想法与动态类型检查产生了共鸣，但 Java 也尽可能地结合了复杂的静态类型检查，以克服其动态对应物的限制。例如，字节码验证器是一种有效的静态类型检查器，用于在编译时发现任何类型的错误并主动向开发人员报告。字节码验证器通过符合 Java 语言规范来确保执行合法的字节码。除此之外，它还检查内存违规、堆栈下溢/溢出、正确的类型转换等。除此之外，还有诸如 private、protected 和 public 之类的修饰符来声明受限访问。

安全提供商

这些服务充当安全提供者。它们通过标准接口插入 Java 平台时，使应用程序可以轻松获得安全服务。这种机制的优点是开发人员不必了解复杂的细节，而是可以专注于将安全功能集成到应用程序中。这个想法被封装在名为 java.security.Provider 的抽象类中。安全服务是通过Provider提供的getInstance()方法获得的。可以配置许多提供程序，其中每个提供程序都在安装它的每个运行时中配置了名称和版本号。

密码学

Java 加密 API 分布在两个包中：java.security 和 javax.crypto。Java 通过实现多种加密算法提供了种类繁多的加密服务。其中一些如下：

java.security.MessageDigest：此类提供单向哈希函数的实现，该函数采用任意大小的数据并输出固定长度的哈希值。该算法被命名为 SHA-1 或 SHA-256。

java.security.Signature：此类用于提供数字签名算法的功能，例如 DSA、RSA 或 DSA 算法，使用 SHA-256 消息摘要算法。数字签名特别用于确保数字数据的完整性和真实性。

java.security.SecureRandom：该类提供了生成加密强随机数的功能。

公钥基础设施 (PKI)

PKI 基础设施支持使用公钥加密技术进行数据的安全交换。它包括密钥、证书、公钥加密和数字证书。与 PKI 相关的类存储在 java.security 和 java.security.cert 包中。

验证

身份验证是验证用户身份的过程。Java 使应用程序能够在可插入模块的帮助下执行用户身份验证。javax.security.auth.login 包中有一个名为 LoginContext 的类。此类使用名称和 CallbackHandler 实例化。LoginContext 使用名称作为配置的索引。配置决定了具体的 LoginModule (javax.security.auth.spi.LoginModule)。CallbackHandler 被传递给 LoginModule 以提示输入用户名和密码，例如在 GUI 中。

安全通信

Java 平台实现了 SSL 和 TLS 协议，它们提供了消息完整性、数据加密以及客户端和服务器身份验证的功能。这可用于在 HTTP 或 TCP/IP 协议之上为对等方之间的数据通信铺平安全通道。可以在 javax.net.ssl 包中找到对实现的 API 支持。有许多支持类;例如，SSLSocket 类是 java.net.Socket 类的扩展，用于提供使用 SSL/TLS 协议的安全套接字。这只不过是一个普通的流套接字，在传输层协议 (TCP) 上增加了一层保护。

访问控制

访问控制类保护对敏感资源(例如本地文件)的访问。java.lang.SecurityManager 类调解所有访问。此类允许应用程序实现安全策略。因此，可能会在尝试中限制可能的不安全操作，因此应用程序可以完全控制允许的操作。

结论

这是对 Java 平台安全特性、功能和 API 的快速浏览。Java 为在应用程序中实现安全性提供了全面的支持，开发人员可以很高兴地不知道实现它们所涉及的复杂性，但却从中受益。这利用了产品的快速高效交付，而无需从头开始构建所有内容。