生产环境安全配置：JQuickJavaInvocationGuard自定义防护规则实战

前言

默认沙箱只拦截少数危险系统调用（System#exit、Runtime#exit/halt、ProcessBuilder），而生产环境往往需要更细粒度的管控：业务类只允许调用白名单方法、外部输入禁止触碰核心系统 API。JQuick-Java 提供 JQuickJavaInvocationGuard 的 Builder 式自定义能力，通过 JQuickJavaReflectionFactory.setInvocationGuard(...) 全局配置。本文给出生产环境自定义防护规则的完整实战。

核心技术原理

自定义防护的装配机制：

JQuickJavaInvocationGuard.builder() 提供四个声明式配置入口：blacklistClasses/whitelistClasses（类级）、blacklistMethods/whitelistMethods（方法级，key 为 类名#方法名）；
build() 将配置快照为不可变集合（未配置的维度为 null，表示不启用该维度检查）；
JQuickJavaReflectionFactory.setInvocationGuard(guard) 原子替换全局 Guard（静态 volatile 字段），对所有调用链（脚本 + 编程式 ReflectionFactory）即时生效。

执行语义（check 方法）：

text 复制代码

类黑名单命中 → 抛 SecurityException
类白名单非空且未命中 → 抛
方法黑名单命中 → 抛
方法白名单非空且未命中 → 抛

黑名单优先；白名单一旦配置即「默认拒绝，仅放行清单内」。

实战代码演示

1. 生产环境最小权限配置

java 复制代码

import com.github.paohaijiao.support.JQuickJavaReflectionFactory;
import com.github.paohaijiao.support.impl.JQuickJavaInvocationGuard;

public class SecurityConfig {

    public static void init() {
        JQuickJavaReflectionFactory.setInvocationGuard(
                JQuickJavaInvocationGuard.builder()
                        // 类级黑名单：禁止脚本操作进程与反射
                        .blacklistClasses("java.lang.Runtime", "java.lang.ProcessBuilder",
                                          "java.lang.reflect.Method")
                        // 方法级黑名单：禁止退出与文件删除
                        .blacklistMethods("java.lang.System#exit",
                                          "java.lang.Runtime#halt",
                                          "java.io.File#delete",
                                          "java.io.File#deleteOnExit")
                        // 方法级白名单：脚本只允许访问有限业务能力
                        .whitelistMethods("com.example.service.WhitelistService#getConfig",
                                          "com.example.service.WhitelistService#calcScore",
                                          "java.lang.String#valueOf",
                                          "java.lang.Math#max",
                                          "java.lang.Math#min")
                        .build());
    }
}

2. 脚本侧验证拦截与放行

jquick 复制代码

// 命中方法黑名单 → SecurityException: Method is in blacklist: java.lang.System#exit
java.lang.System::exit(int:0);

// 未在方法白名单 → SecurityException: Method is not in whitelist
java.lang.System::currentTimeMillis();

// 白名单内方法 → 正常执行
java.lang.Math::max(int:5, int:10);   // 10

3. 编程式调用同样受控

java 复制代码

// 同一 Guard 作用于编程式调用链
try {
    JQuickJavaReflectionFactory.staticMethod(System.class)
            .invoke("exit", new JQuickJavaTypeReference<?>[]{
                    JQuickJavaTypeReference.of(int.class)}, 0);
} catch (SecurityException e) {
    // 方法黑名单命中，拦截成功
}

核心技术细节解析

方法 key 格式 ：类全限定名#方法名，如 java.lang.System#exit；构造器 key 为 类名#<init>。
白名单空集合语义 ：build() 时未配置的维度置为 null，check 跳过该维度；配置了任意白名单项则该维度非空，未命中即拒绝。
全局即时生效 ：volatile 保证多线程可见，setInvocationGuard 后新调用立即按新规则检查，无需重启。
回退策略 ：setInvocationGuard(null) 会回退到 DEFAULT（内置默认防护），无法完全关闭安全机制。

常见踩坑与解决方案

白名单与黑名单同时配置导致误伤：白名单优先放行但黑名单更高优先------同时命中黑白名单的调用仍被拦截，配置时避免方法同时出现在两表。
业务方法重载放行不全 ：白名单按 类名#方法名 粒度匹配（不带参数签名），同名重载方法会全部放行，请评估重载带来的暴露面。
静态初始化顺序 ：Guard 需在规则首次调用前设置（如应用启动期 SecurityConfig.init()），否则早期调用按默认防护执行。

最佳实践

生产环境采用「默认黑名单 + 业务白名单」组合：黑名单守住系统级危险 API，白名单精确放行业务调用，双保险。
将 Guard 配置集中在一个配置类，环境差异化（dev 宽松、prod 收紧），避免散落各处难以审计。
定期审计脚本实际调用的 Java 方法（结合调用链日志），收缩白名单暴露面。

总结

JQuickJavaInvocationGuard 的自定义防护规则，让生产环境沙箱从「默认拦截几个危险方法」升级为「按业务最小权限精确管控」：类/方法双维度、黑白名单可叠加、全局即时生效。对规则脚本开放给业务维护的场景，这是保障线上安全的关键配置能力。