Java防止代码被动态篡改的解决方案和代码示例

// 安全的单例模式实现
public enum Singleton {
    INSTANCE;

    public void doSomething() {
        // 单例方法
    }
}

public class Singleton {
    private static final Singleton INSTANCE = new Singleton();

    private Singleton() {
        // 防止反射攻击
        if (INSTANCE != null) {
            throw new IllegalStateException("Singleton instance already exists!");
        }
    }

    public static Singleton getInstance() {
        return INSTANCE;
    }
}

// 启用安全管理器（需在 JVM 参数中添加 -Djava.security.manager）
public class SecureApp {
    public static void main(String[] args) {
        System.setSecurityManager(new SecurityManager());
        // 后续反射操作会受到安全策略限制
    }
}

public class InputValidator {
    // 白名单校验类名
    public static boolean isValidClassName(String className) {
        String regex = "^[a-zA-Z0-9._]+$";
        return className.matches(regex) && 
               className.startsWith("com.example.safe.");
    }

    // 白名单校验方法名
    public static boolean isValidMethodName(String methodName) {
        String regex = "^[a-zA-Z0-9_]+$";
        return methodName.matches(regex);
    }

    public static void validateInput(String className, String methodName) {
        if (!isValidClassName(className) || !isValidMethodName(methodName)) {
            throw new IllegalArgumentException("Invalid input for reflection");
        }
    }
}

// 过滤非法字符
String sanitizedInput = input.replaceAll("[^a-zA-Z0-9._]", "");

// 使用 ProGuard 或类似工具混淆代码
// 示例：混淆后的类名和方法名难以被识别
public class _a {
    private int _b = 42; // 混淆后的敏感字段

    public int _c() {
        return _b;
    }
}

public class SecureClass {
    private String secretData = "sensitive_info";

    public String getSecretData() {
        // 添加权限检查逻辑
        if (!isAuthorized()) {
            throw new SecurityException("Access denied");
        }
        return secretData;
    }

    private boolean isAuthorized() {
        // 实现权限验证逻辑
        return true; // 示例
    }
}

public class SecureField {
    private String secureValue = "secure_data";

    public void checkAccess(Field field) {
        if (field.getName().equals("secureValue")) {
            field.setAccessible(false); // 禁止反射访问
        }
    }
}

// 使用 JSTL 的 HTML 编码
<c:out value="${param.userInput}" escapeXml="true" />

// 使用 Java 实现 HTML 编码
public static String escapeHtml(String input) {
    return input.replace("&", "&")
                .replace("<", "<")
                .replace(">", ">")
                .replace("\"", "&quot;")
                .replace("'", "&#39;");
}

Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com;

// Spring 管理的单例 Bean
@Component
public class SecureService {
    public void secureMethod() {
        // 安全方法
    }
}

// 创建受限的类加载器
URLClassLoader restrictedLoader = new URLClassLoader(
    new URL[]{new File("trusted-code.jar").toURI().toURL()},
    new SecureClassLoader()
);

public class SensitiveClass {
    private void sensitiveMethod() {
        // 敏感操作
    }

    public void publicMethod() {
        // 公共方法
    }

    // 防止反射调用
    public static void checkAccess() {
        if (System.getSecurityManager() != null) {
            System.getSecurityManager().checkPermission(new RuntimePermission("callSensitiveMethod"));
        }
    }
}

try {
    Method method = SensitiveClass.class.getDeclaredMethod("sensitiveMethod");
    method.setAccessible(true); // 仅允许在受信任环境中
    method.invoke(new SensitiveClass());
} catch (IllegalAccessException e) {
    throw new SecurityException("Reflection access denied");
}