java安全警告点不了

一、java安全警告点不了

java安全警告点不了需完成版本更新，刷新有问题的网页页面。

1、完成JAVA版本更新，然后刷新有问题的网页页面，以排除JAVA版本问题引起JAVA安全阻止。

2、从开始菜单中打开控制面板，需要进入控制面板来修改相应的配置。

3、进入控制面板后，在控制面板中找到JAVA选项，如果找不到可将查看方式切换到大图标或图标即可。

4、在JAVA控制面板中打开安全选项，并找到例外站点列表，打开JAVA控制面板中编辑例外站点列表，将我们需要在网页上运行JAVA脚本的站点添加到此列表中。

5、将需要运行JAVA脚本的站点添加至其中，并对弹出的安全警告点击继续，对添加的站点进行确定，然后对JAVA的安全配置进行应用即可。

6、重新打开网页或刷新网页，应用程序已被JAVA安全阻止的提示就不会再出现了。

二、java10编程语言都有哪些新特点

前一段时间我们曾经给大家简单介绍了关于java10的特性以及发布日期等事情。今天，我们一起来正式了解一下java10编程开发语言的新特性都有哪些，以及针对这些特性的使用方法。

这次发布的Java10，新带来的特性并不多。

根据官网公开资料，共有12个JEP(JDKEnhancementProposal特性加强提议)，带来以下加强功能：

JEP296，将原来用Mercurial管理的众多JDK仓库代码，合并到一个仓库中，简化开发和管理过程。

JEP307，G1垃圾回收器的并行完整垃圾回收，实现并行性来改善坏情况下的延迟。

JEP310，应用程序类数据(AppCDS)共享，通过跨进程共享通用类元数据来减少内存占用空间，和减少启动时间。

JEP312，ThreadLocal握手交互。在不进入到全局JVM安全点(Safepoint)的情况下，对线程执行回调。优化可以只停止单个线程，而不是停全部线程或一个都不停。

JEP313，移除JDK中附带的javah工具。可以使用javac-h代替。

JEP314，使用附加的Unicode语言标记扩展。

JEP317，能将堆内存占用分配给用户指定的备用内存设备。

JEP317，使用Graal基于Java的编译器，可以预先把Java代码编译成本地代码来提升效能。

JEP318，在OpenJDK中提供一组默认的根证书颁发机构证书。开源目前Oracle提供的的JavaSE的根证书，这样OpenJDK对开发人员使用起来更方便。

JEP322，基于时间定义的发布版本，即上述提到的发布周期。版本号为\$FEATURE.\$INTERIM.\$UPDATE.\$PATCH，分别是大版本，中间版本，升级包和补丁版本。

这个语言功能在其他一些语言(C#、JavaScript)和基于JRE的一些语言(Scala和Kotlin)中，早已被加入。

在Java语言很早就在考虑，北大青鸟云南计算机学院发现早在2016年正式提交了JEP286提议。后来举行了一次公开的开发工程师调查，获得多建议的是采用类似Scala的方案，“同时使用val和var”，约占一半;二多的是“只使用var”，约占四分之一。后来Oracle公司经过慎重考虑，采用了只使用var关键字的方案。

三、Java中解决安全问题的技术有哪些

请遵循下列建议以避免高严重性静态安全性暴露：

让每个类和方法都成为 final，除非有足够的理由不这样做

如果将变量声明为 public，那么外部代码就可以操作该变量。这可能会导致安全性暴露。

如果实例变量为 public，那么就可以在类实例上直接访问和操作该实例变量。将实例变量声明为 protected并不一定能解决这一问题：虽然不可能直接在类实例基础上访问这样的变量，但仍然可以从派生类访问这个变量。

清单 1演示了带有 public变量的代码，因为变量为 public的，所以它暴露了。

public class MyClass extends Test{

public void methodIllegalSet(String name){

this.name= name;// this should not be allowed

public static void main(String[] args){

obj.id= 123;// this should not be allowed

mc.methodIllegalSet("Illegal Set Value");

一般来说，应该使用取值方法而不是 public变量。按照具体问题具体对待的原则，在确定哪些变量特别重要因而应该声明为 private时，请将编码的方便程度及成本同安全性需要加以比较。清单 2演示了以下列方式来使之安全的代码：

清单 2.不带有 public变量的代码

public void setName(String name){

不允许扩展的类和方法应该声明为 final。这样做防止了系统外的代码扩展类并修改类的行为。

仅仅将类声明为非 public并不能防止攻击者扩展类，因为仍然可以从它自己的包内访问该类。

让每个类和方法都成为 final，除非有足够的理由不这样做。按此建议，我们要求您放弃可扩展性，虽然它是使用诸如 Java语言之类的面向对象语言的主要优点之一。在试图提供安全性时，可扩展性却成了您的敌人；可扩展性只会为攻击者提供更多给您带来麻烦的方法。

没有显式地标注为 public、private或 protected的类、方法和变量在它们自己的包内是可访问的。

如果 Java包不是封闭的，那么攻击者就可以向包内引入新类并使用该新类来访问您想保护的内容。诸如 java.lang之类的一些包缺省是封闭的，一些 JVM也让您封闭自己的包。然而，您最好假定包是不封闭的。

从软件工程观点来看，包作用域具有重要意义，因为它可以阻止对您想隐藏的内容进行偶然的、无意中的访问。但不要依靠它来获取安全性。应该将类、方法和变量显式标注为 public、private或 protected中适合您特定需求的那种。

克隆允许绕过构造器而轻易地复制类实例。

即使您没有有意使类可克隆，外部源仍然可以定义您的类的子类，并使该子类实现 java.lang.Cloneable。这就让攻击者创建了您的类的新实例。拷贝现有对象的内存映象生成了新的实例；虽然这样做有时候是生成新对象的可接受方法，但是大多数时候是不可接受的。清单 3说明了因为可克隆而暴露的代码：

public MyClass(int id,String name){

System.out.println("Id="+id+"

// hackers code to clone the user class

public class Hacker extends MyClass implements Cloneable{

public static void main(String[] args){

MyClass o=(MyClass)hack.clone();

catch(CloneNotSupportedException e){

要防止类被克隆，可以将清单 4中所示的方法添加到您的类中：

throws java.lang.CloneNotSupportedException{

throw new java.lang.CloneNotSupportedException();

如果想让您的类可克隆并且您已经考虑了这一选择的后果，那么您仍然可以保护您的类。要做到这一点，请在您的类中定义一个为 final的克隆方法，并让它依赖于您的一个超类中的一个非 final克隆方法，如清单 5中所示：

清单 5.以安全的方式使您的代码可克隆

throws java.lang.CloneNotSupportedException{

类中出现 clone()方法防止攻击者重新定义您的 clone方法。

序列化允许将类实例中的数据保存在外部文件中。闯入代码可以克隆或复制实例，然后对它进行序列化。

序列化是令人担忧的，因为它允许外部源获取对您的对象的内部状态的控制。这一外部源可以将您的对象之一序列化成攻击者随后可以读取的字节数组，这使得攻击者可以完全审查您的对象的内部状态，包括您标记为 private的任何字段。它也允许攻击者访问您引用的任何对象的内部状态。

要防止类中的对象被序列化，请在类中定义清单 6中的 writeObject()方法：

private final void writeObject(ObjectOutputStream out)

throws java.io.NotSerializableException{

throw new java.io.NotSerializableException("This object cannot

通过将 writeObject()方法声明为 final，防止了攻击者覆盖该方法。

通过使用逆序列化，攻击者可以用外部数据或字节流来实例化类。

不管类是否可以序列化，都可以对它进行逆序列化。外部源可以创建逆序列化成类实例的字节序列。这种可能为您带来了大量风险，因为您不能控制逆序列化对象的状态。请将逆序列化作为您的对象的另一种公共构造器?一种您无法控制的构造器。

要防止对对象的逆序列化，应该在您的类中定义清单 7中的 readObject()方法：

private final void readObject(ObjectInputStream in)

throws java.io.NotSerializableException{

throw new java.io.NotSerializableException("This object cannot

通过将该方法声明为 final，防止了攻击者覆盖该方法。

您可能会尝试将诸如加密密钥之类的秘密存放在您的应用程序或库的代码。对于你们开发人员来说，这样做通常会把事情变得更简单。

任何运行您的代码的人都可以完全访问以这种方法存储的秘密。没有什么东西可以防止心怀叵测的程序员或虚拟机窥探您的代码并了解其秘密。

可以以一种只可被您解密的方式将秘密存储在您代码中。在这种情形下，秘密只在于您的代码所使用的算法。这样做没有多大坏处，但不要洋洋得意，认为这样做提供了牢固的保护。您可以遮掩您的源代码或字节码?也就是，以一种为了解密必须知道加密格式的方法对源代码或字节码进行加密?但攻击者极有可能能够推断出加密格式，对遮掩的代码进行逆向工程从而揭露其秘密。

这一问题的一种可能解决方案是：将敏感数据保存在属性文件中，无论什么时候需要这些数据，都可以从该文件读取。如果数据极其敏感，那么在访问属性文件时，您的应用程序应该使用一些加密／解密技术。

从事某个项目的某个心怀叵测的开发人员可能故意引入易受攻击的代码，打算日后利用它。这样的代码在初始化时可能会启动一个后台进程，该进程可以为闯入者开后门。它也可以更改一些敏感数据。

入口点程序可能很危险而且有恶意。通常，Java开发人员往往在其类中编写 main()方法，这有助于测试单个类的功能。当类从测试转移到生产环境时，带有 main()方法的类就成为了对应用程序的潜在威胁，因为闯入者将它们用作入口点。

请检查代码中是否有未使用的方法出现。这些方法在测试期间将会通过所有的安全检查，因为在代码中不调用它们?但它们可能含有硬编码在它们内部的敏感数据（虽然是测试数据）。引入一小段代码的攻击者随后可能调用这样的方法。

避免最终应用程序中的死代码（注释内的代码）。如果闯入者去掉了对这样的代码的注释，那么代码可能会影响系统的功能性。

可以在清单 8中看到所有三种类型的恶意代码的示例：

// code written to harm the system

//unusedMethod();//code in comment put with bad intentions,

//might affect the system if uncommented

// x=x+10;//Code in comment, might affect the

//functionality of the system if uncommented

应该将（除启动应用程序的 main()方法之外的）main()方法、未使用的方法以及死代码从应用程序代码中除去。在软件交付使用之前，主要开发人员应该对敏感应用程序进行一次全面的代码评审。应该使用“Stub”或“dummy”类代替 main()方法以测试应用程序的功能。

请遵循下列建议以避免中等严重性静态安全性暴露：

您可以不运行构造器而分配对象。这些对象使用起来不安全，因为它们不是通过构造器初始化的。

在初始化时验证对象确保了数据的完整性。

例如，请想象为客户创建新帐户的 Account对象。只有在 Account期初余额大于 0时，才可以开设新帐户。可以在构造器里执行这样的验证。有些人未执行构造器而创建 Account对象，他可能创建了一个具有一些负值的新帐户，这样会使系统不一致，容易受到进一步的干预。

在使用对象之前，请检查对象的初始化过程。要做到这一点，每个类都应该有一个在构造器中设置的私有布尔标志，如清单 9中的类所示。在每个非 static方法中，代码在任何进一步执行之前都应该检查该标志的值。如果该标志的值为 true，那么控制应该进一步继续；否则，控制应该抛出一个例外并停止执行。那些从构造器调用的方法将不会检查初始化的变量，因为在调用方法时没有设置标志。因为这些方法并不检查标志，所以应该将它们声明为 private以防止用户直接访问它们。

清单 9.使用布尔标志以检查初始化过程

private boolean initialized= false;

private void method1(){//no need to check for initialization variable

//proceed with the business logic

throw new Exception("Illegal State Of the object");

如果对象由逆序列化进行初始化，那么上面讨论的验证机制将难以奏效，因为在该过程中并不调用构造器。在这种情况下，类应该实现 ObjectInputValidation接口：

清单 10.实现 ObjectInputValidation

interface java.io.ObjectInputValidation{

public void validateObject() throws InvalidObjectException;

所有验证都应该在 validateObject()方法中执行。对象还必须调用 ObjectInputStream.RegisterValidation()方法以为逆序列化对象之后的验证进行注册。 RegisterValidation()的第一个参数是实现 validateObject()的对象，通常是对对象自身的引用。注：任何实现 validateObject()的对象都可能充当对象验证器，但对象通常验证它自己对其它对象的引用。RegisterValidation()的第二个参数是一个确定回调顺序的整数优先级，优先级数字大的比优先级数字小的先回调。同一优先级内的回调顺序则不确定。

当对象已逆序列化时，ObjectInputStream按照从高到低的优先级顺序调用每个已注册对象上的 validateObject()。

有时候，您可能需要比较两个对象的类，以确定它们是否相同；或者，您可能想看看某个对象是否是某个特定类的实例。因为 JVM可能包括多个具有相同名称的类（具有相同名称但却在不同包内的类），所以您不应该根据名称来比较类。

如果根据名称来比较类，您可能无意中将您不希望授予别人的权利授予了闯入者的类，因为闯入者可以定义与您的类同名的类。

例如，请假设您想确定某个对象是否是类 com.bar.Foo的实例。清单 11演示了完成这一任务的错误方法：

if(obj.getClass().getName().equals("Foo"))// Wrong!

// object's class has some other name

在那些非得根据名称来比较类的情况下，您必须格外小心，必须确保使用了当前类的 ClassLoader的当前名称空间，如清单 12中所示：

if(obj.getClass()== this.getClassLoader().loadClass("com.bar.Foo")){

// object's class is equal to

//the class that this class calls"com.bar.Foo"

// object's class is not equal to the class that

// this class calls"com.bar.Foo"

然而，比较类的更好方法是直接比较类对象看它们是否相等。例如，如果您想确定两个对象 a和 b是否属同一个类，那么您就应该使用清单 13中的代码：

清单 13.直接比较对象来看它们是否相等

if(a.getClass()== b.getClass()){

// objects have the same class

// objects have different classes

Java字节码没有内部类的概念，因为编译器将内部类转换成了普通类，而如果没有将内部类声明为 private，则同一个包内的任何代码恰好能访问该普通类。

因为有这一特性，所以包内的恶意代码可以访问这些内部类。如果内部类能够访问括起外部类的字段，那么情况会变得更糟。可能已经将这些字段声明为 private，这样内部类就被转换成了独立类，但当内部类访问外部类的字段时，编译器就将这些字段从专用（private）的变为在包（package）的作用域内有效的。内部类暴露了已经够糟糕的了，但更糟糕的是编译器使您将某些字段成为 private的举动成为徒劳。

建议如果能够不使用内部类就不要使用内部类。

请遵循下列建议以避免低严重性静态安全性暴露：

Java方法返回对象引用的副本。如果实际对象是可改变的，那么使用这样一个引用调用程序可能会改变它的内容，通常这是我们所不希望见到的。

请考虑这个示例：某个方法返回一个对敏感对象的内部数组的引用，假定该方法的调用程序不改变这些对象。即使数组对象本身是不可改变的，也可以在数组对象以外操作数组的内容，这种操作将反映在返回该数组的对象中。如果该方法返回可改变的对象，那么事情会变得更糟；外部实体可以改变在那个类中声明的 public变量，这种改变将反映在实际对象中。

清单 14演示了脆弱性。getExposedObj()方法返回了 Exposed对象的引用副本，该对象是可变的：

清单 14.返回可变对象的引用副本

public Exposed(int id, String name){

public void setName(String name){

System.out.println("Id="+ id+" Name="+ name);

private Exposed exposedObj= new Exposed(1,"Harry Porter");

public Exposed getExposedObj(){

return exposedObj;//returns a reference to the object.

public static void main(String[] args){

exp12.getExposedObj().display();

Exposed exposed= exp12.getExposedObj();

exp12.getExposedObj().display();

如果方法返回可改变的对象，但又不希望调用程序改变该对象，请修改该方法使之不返回实际对象而是返回它的副本或克隆。要改正清单 14中的代码，请让它返回 Exposed对象的副本,如清单 15中所示：

public Exposed getExposedObj(){

return new Exposed(exposedObj.getId(),exposedObj.getName());

或者，您的代码也可以返回 Exposed对象的克隆。

本机方法是一种 Java方法，其实现是用另一种编程语言编写的，如 C或 C++。有些开发人员实现本机方法，这是因为 Java语言即使使用即时（just-in-time）编译器也比许多编译过的语言要慢。其它人需要使用本机代码是为了在 JVM以外实现特定于平台的功能。

使用本机代码时，请小心，因为对这些代码进行验证是不可能的，而且本机代码可能潜在地允许 applet绕过通常的安全性管理器（Security Manager）和 Java对设备访问的控制。

如果非得使用本机方法，那么请检查这些方法以确定：

它们是否是 public、private等等

它们是否含有绕过包边界从而绕过包保护的方法调用

编写安全 Java代码是十分困难的，但本文描述了一些可行的实践来帮您编写安全 Java代码。这些建议并不能解决您的所有安全性问题，但它们将减少暴露数目。最佳软件安全性实践可以帮助确保软件正常运行。安全至关重要和高可靠系统设计者总是花费大量精力来分析和跟踪软件行为。只有通过将安全性作为至关紧要的系统特性来对待?并且从一开始就将它构建到应用程序中，我们才可以避免亡羊补牢似的、修修补补的安全性方法。