[关闭]
@changedi 2016-08-01T10:02:58.000000Z 字数 4220 阅读 2700

Java安全——提供者相关的体系架构

Java 安全

安全提供者

Java的安全软件特性，是通过安全软件包的概念透出的。换句话说，安全领域常见的鉴别、加密、签名等概念，在Java中的支持是通过安全软件包来实现的。Java对于安全软件包的定义其实是一组抽象接口。Sun作为Java的作者，提供了一组实现。而安全软件包是由安全提供者、算法和引擎组成的。引擎可以理解为一组操作，算法定义了操作如何执行，而安全提供者则负责实现这两个抽象概念。

比如说，消息摘要是一个引擎，它是程序员能执行的一个操作。消息摘要的思想与如何计算消息摘要没有关系，所有的消息摘要具备同样的特性，因此抽象出来的接口就是引擎。而实现消息摘要可以有MD5和SHA等算法，算法由具体类实现。而安全提供者就是二者的桥梁，用来管理引擎和算法。安全提供者的目的就是提供一个简单的机制，从而可以方便的改变或替换算法及其实现。因此，通过安全提供者，程序员只需要使用引擎的接口，而不需要关系具体哪个类实现了算法，算法由哪个安全提供者提供。

体系结构

Java安全软件包的体系结构可以总结为四个部分：

引擎

JVM提供引擎类，是Java核心API的一部分。

算法

针对每一种引擎，都会有一组算法实现。Java提供了一组默认的算法实现（由Sun提供），第三方的机构可以提供其他实现。

提供者

算法类是由提供者来管理的，提供者知道如何将算法与实现的具体类对应起来。

安全类

安全类保存提供者列表，可以通过安全类查看有哪些提供者，以及它们提供的算法支持有哪些。

安全提供者体系的一个流程如下：

Created with Raphaël 2.1.2业务类业务类引擎引擎安全类安全类提供者提供者算法算法调用某个接口询问找到提供者找到对应算法返回计算结果

以MessageDigest的getInstance()方法为例，发现其实是调用Security.getImpl()方法实现的，而内部又是通过

  1. GetInstance.getInstance
  2.                 (type, getSpiClass(type), algorithm, params, provider).toArray();

这样的语句来做的。而这个GetInstance会返回一个Instance对象，其类声明如下：

  1. public static final class Instance {
  2.         public final Provider provider;
  3.         public final Object impl;
  5.         private Instance(Provider arg0, Object arg1) {
  6.             this.provider = arg0;
  7.             this.impl = arg1;
  8.         }
  10.         public Object[] toArray() {
  11.             return new Object[] {this.impl, this.provider};
  12.         }
  13.     }

可见就是一个Provider和Object（具体算法）的封装。

提供者选择

JVM在启动时，会去$JREHOME/lib/security/java.security中注册提供者。以我个人电脑中的文件为例：

  1. #
  2. # List of providers and their preference orders (see above):
  3. #
  4. security.provider.1=sun.security.provider.Sun
  5. security.provider.2=sun.security.rsa.SunRsaSign
  6. security.provider.3=sun.security.ec.SunEC
  7. security.provider.4=com.sun.net.ssl.internal.ssl.Provider
  8. security.provider.5=com.sun.crypto.provider.SunJCE
  9. security.provider.6=sun.security.jgss.SunProvider
  10. security.provider.7=com.sun.security.sasl.Provider
  11. security.provider.8=org.jcp.xml.dsig.internal.dom.XMLDSigRI
  12. security.provider.9=sun.security.smartcardio.SunPCSC
  13. security.provider.10=apple.security.AppleProvider

JVM启动时会将这些provider注册进去，其实就是Security
初始化时会读这个文件。开发自定义的安全提供者，需要将类放到系统类路径下。其实看看Provider类的代码，就知道Provider本质上是一个Properties文件，里面的kv存储着引擎名和具体算法类的实现。

可以通过下面的程序示例查看具体的提供者引擎和算法：

  1. package com.taobao.cd.security;
  3. import java.security.Provider;
  4. import java.security.Security;
  5. import java.util.Enumeration;
  7. public class ProviderTest {
  9.     public static void main(String[] args) {
  10.         // TODO Auto-generated method stub
  11.         Provider[] providers = Security.getProviders();
  12.         for (int i = 0; i < providers.length; i++) {
  13.             System.out.println("" + (i + 1) + ":" + providers[i]);
  14.             for (Enumeration e = providers[i].keys(); e.hasMoreElements();) {
  15.                 System.out.println("\t" + e.nextElement());
  16.             }
  17.         }
  18.     }
  20. }

其输出如下，（截取部分）

  1. 1:SUN version 1.8
  2.     Alg.Alias.Signature.SHA1/DSA
  3.     Alg.Alias.Signature.1.2.840.10040.4.3
  4.     Alg.Alias.Signature.DSS
  5.     SecureRandom.SHA1PRNG ImplementedIn
  6.     KeyStore.JKS
  7.     Alg.Alias.MessageDigest.SHA-1
  8.     MessageDigest.SHA
  9.     ...

引擎类的结构设计

值得一提的是引擎类的结构设计。如上所说，引擎类除了给业务开发人员提供接口，还有一个任务就是要为第三方提供者使用。引擎为提供者提供了一个接口——SPI（security provider interface）。

还是以MessageDigest为例（这是消息摘要引擎）。MessageDigest继承了MessageDigestSpi。MessageDigestSpi抽象类定义了消息摘要引擎要做的事情。MessageDigest内部持有一个Delegate委托类，MessageDigest的核心方法就是getInstance()获取类的实例，实现见下：

  1. public static MessageDigest getInstance(String algorithm, String provider)
  2.         throws NoSuchAlgorithmException, NoSuchProviderException
  3.     {
  4.         if (provider == null || provider.length() == 0)
  5.             throw new IllegalArgumentException("missing provider");
  6.         Object[] objs = Security.getImpl(algorithm, "MessageDigest", provider);
  7.         if (objs[0] instanceof MessageDigest) {
  8.             MessageDigest md = (MessageDigest)objs[0];
  9.             md.provider = (Provider)objs[1];
  10.             return md;
  11.         } else {
  12.             MessageDigest delegate =
  13.                 new Delegate((MessageDigestSpi)objs[0], algorithm);
  14.             delegate.provider = (Provider)objs[1];
  15.             return delegate;
  16.         }
  17.     }

通过Security.getImpl()反射获取到对应的provider和算法实现类，并通过类型判断和else委托逻辑保证返回一个MessageDigest实例。

再具体一点，以Sun security提供的MD5算法实现为例。虽然MD5并没有直接实现MessageDigestSpi，但MD5的父类DigestBase继承了MessageDigestSpi。所以实际上还是满足这个架构的设计。DigestBase做了消息摘要通用的实现，留了三个abstract接口：

  1.  abstract void implCompress(byte[] arg0, int arg1);
  3.     abstract void implDigest(byte[] arg0, int arg1);
  5.     abstract void implReset();

这几个代码在MD5中具体实现：（截取部分）

  1. void implDigest(byte[] arg0, int arg1) {
  2.         long arg2 = this.bytesProcessed << 3;
  3.         int arg4 = (int) this.bytesProcessed & 63;
  4.         int arg5 = arg4 < 56 ? 56 - arg4 : 120 - arg4;
  5.         this.engineUpdate(padding, 0, arg5);
  6.         ByteArrayAccess.i2bLittle4((int) arg2, this.buffer, 56);
  7.         ByteArrayAccess.i2bLittle4((int) (arg2 >>> 32), this.buffer, 60);
  8.         this.implCompress(this.buffer, 0);
  9.         ByteArrayAccess.i2bLittle(this.state, 0, arg0, arg1, 16);
  10.     }

最后补充一个类图说明下类的结构：

添加新批注
在作者公开此批注前，只有你和作者可见。
回复批注