閱讀465 返回首頁    go Java

開發人員 - 瀏覽器中的 Java 內容 - 安全清單更改

開發人員 - 瀏覽器中的 Java 內容 - 安全清單更改

本文適用於:
  • 平台: 所有平台
  • Java 版本: 7.0, 8.0

開發人員：從 7u51 開始（2014 年 1 月），必須更新您的富 Internet 應用程序（RIA，也稱為小應用程序和 Web Start 應用程序）。需要更新的內容是打包和分發；不需要 API 代碼更改。這些更改的原因與可能改變沙盒應用程序的用途相關，通過在簽名 JAR 中放置權限可防止修改您指定的權限級別。
RIA 必須包含兩項：

  1. 來自可信頒發機構的代碼簽名。小應用程序和 Web Start 應用程序的所有代碼必須進行簽名，不論其權限屬性如何。
  2. 清單屬性
    1. 權限 - 在 7u25 中引入，從 7u51 開始是必需的。指示 RIA 應在沙盒中運行還是需要完整權限。
    2. 代碼庫 - 在 7u25 中引入，從 7u51 開始是可選/推薦的。指向托管代碼的已知位置。

有關詳細信息，請參閱 Java 平台組產品管理博客。

Java 7 Update 45 (7u45)，2013 年 10 月：LiveConnect 調用將先詢問權限，然後再與富 Internet 應用程序交互
  • 係統將提示用戶針對通過 JavaScript LiveConnect 與 Java 應用程序交互的 Web 頁麵（域）授予權限。
  • 開發人員應添加清單屬性 Caller-Allowable-Codebase 以標識位置，JavaScript 代碼可從該位置調用應用程序中的方法
Java 7 Update 40 (7u40)，2013 年 9 月：係統管理員可以將其管理的桌麵中的應用程序列入白名單
  • 係統管理員可以使用部署規則集將特定 Java 應用程序列入白名單以在用戶的計算機上運行。係統管理員可以參閱部署規則集文檔，或者通過部署規則集示例開始著手。
Java 7 Update 21 (7u21)，2013 年 4 月：通過瀏覽器（包括小應用程序和應用程序）訪問的所有 Java 內容都將在開始運行之前要求提供權限。
  • 根據運行應用程序過程中涉及的風險因素，提示中包含的消息將有所不同。請參閱安全對話框常見問題以查看常見安全消息。
  • 在風險較低的情況下，會顯示比較簡單的消息，並且包含一個用於在下次訪問應用程序時禁止顯示這些消息的複選框。
  • 在風險較高的情況下（例如，在沒有任何標識數字證書的情況下運行應用程序），將需要其他交互。
開發人員和係統管理員可能希望查看有關已簽名代碼更改的更多技術信息。

這些更改有什麼影響？

這些更改綜合在一起，使得用戶可以驗證軟件發行者並確認與應用程序的交互。使用代碼簽名證書使得 Java 可以提供有關應用程序供應商的準確信息，以幫助用戶確定是否應運行該應用程序。

這些更改是否會中斷正常運行的基於 Java 的應用程序？

我們介紹的更改不會中斷正常運行的應用程序。但是，這些更改可能會提示您授予明確的權限，以便允許通過單擊“運行”按鈕來運行應用程序。這使您可以控製並阻止高風險應用程序在您的計算機上自動運行。

關注兼容性的係統管理員可以使用部署規則集功能在所管理的桌麵上將特定富 Internet 應用程序列入白名單。

為什麼在未簽名應用程序的安全對話框中，找不到選擇不再對此應用程序顯示此消息的選項？

從 Java 7 Update 40 開始，不再提供選擇不再對此應用程序顯示此消息的選項。與先前的版本不同，用戶無法隱藏未簽名應用程序的安全對話框，另外，每次運行未簽名的應用程序時，必須選擇選項我接受風險並希望運行此應用程序。

什麼是證書頒發機構？

證書頒發機構是頒發數字證書的可信第三方，通常為商業企業。在驗證組織或個人的身份之後向其頒發證書。將數字證書添加到計算機應用程序以驗證該應用程序是否來自該證書的所有者。有關詳細信息，請參閱 https://wikipedia.org/wiki/Certificate_authority。

為什麼這些更改對我非常重要？

瀏覽器中的 Java 是攻擊者經常攻擊的目標。2012 年，Java 7u10 引入了要求您明確允許運行 Java 應用程序的安全功能。此外，您還可以配置 Java 以便阻止運行任何不可信的應用程序。可信應用程序是包含證書頒發機構頒發的有效數字證書，因而可提供應用程序提供方身份的相關信息的應用程序。這些證書允許 Java 對由這些提供方創建的應用程序強製實施安全保障。

為確保在瀏覽器中運行 Java 應用程序的係統安全性而能執行的其他步驟是什麼？

強烈鼓勵 Java 用戶、係統管理員和開發人員使用最新版本保持係統最新。Java 自動更新機製設計為使用最新安全修複使 Java 用戶可以保持最新。

如果您以前禁用了自動更新，請重新啟用自動更新以確保係統上的 Java 安裝最新、最安全。有關詳細信息，請參閱 Java 6 自動更新到 Java 7 的常見問題。

最終用戶 Java - 幫助 (Java.com)
Java 控製麵板中的安全級別設置
開發人員 Java 編程語言的 Java SE 安全性安全編碼準則
針對安全性的 JAR 文件清單屬性
Java SE 安全性文檔
有關已簽名代碼更改的技術信息
企業 Oracle Java SE 支持為任務關鍵型應用程序提供全天候的電子郵件和電話支持
Oracle Java SE Advanced 和 Oracle Java SE Suite 產品提供可最大程度降低基於 Java 的 IT 環境的部署、監控和維護成本的企業功能。
係統管理員 用於將應用程序列入白名單的部署規則集
部署最佳實踐
適用於係統管理員的 Java 插件指南
教程：Java SE 中的安全功能

最後更新：2017-01-12 10:53:03

  上一篇：go 什麼是 Java 技術？為何需要 Java？
  下一篇：go 錯誤：安裝過程中出現 \bin\hotspot\jvm.dll 錯誤消息