Comment faire pour JVM ignorer les signatures de jarres

Question

Nous avons un pot fourni par le fournisseur qui contient une classe que nous souhaitons étendre et/ou modifier via AOP. Le modèle de sécurité Sun JVM par défaut n'autorise pas le code non signé ou signé par quelqu'un d'autre à étendre les classes dans un fichier jar signé. Nous pouvons facilement supprimer les signatures du fichier jar, mais je préférerais configurer la JVM pour qu'elle ignore les mesures de sécurité de signature de jar. Cela peut-il être fait? Notez que nous sommes dans un environnement très contrôlé, donc nous sommes relativement indifférents avec le code voyou étant inséré dans les jars fournis par le fournisseur.

Answer 1

Je ne suis pas sûr si cela fonctionnera dans votre cas, mais il pourrait. Écrivez votre propre Classloader, mais pas basé sur URLClassLoader, étend juste Classloader et vous résolvez des classes dans votre propre manière.

Charger des classes avec ce classloader et appliquer votre magie AOP, je pourrais dire que cela devrait fonctionner. Ce que j'ai fait était d'implémenter un framework basé sur des plugins et je ne voulais pas signer tout morceau de code (library/plugin), juste les bibliothèques de boot (celle qui charge l'application). Bien sûr, le code que vous exécutez dans votre chargeur de classe doit être fiable car vous contournez certaines des contraintes de sécurité par défaut.