双亲委派模型之所以能保障Java程序的核心安全主要体现在它建立了一个严格的、自上而下的类加载优先级秩序从而从根源上防止核心类库被篡改并确保了类的唯一性。其安全机制可以从以下两个核心层面进行理解1. 防止核心类库被恶意替换或篡改这是双亲委派模型最核心的安全保障。Java的核心类库如java.lang.String,java.lang.Integer等由启动类加载器Bootstrap ClassLoader加载它位于类加载器层级的最顶端。工作原理当用户自定义一个名为java.lang.String的类并尝试加载时即便这个类的字节码文件在classpath下根据双亲委派规则应用程序类加载器AppClassLoader会先将加载请求委派给它的父加载器扩展类加载器最终这个请求会传递到启动类加载器。安全拦截启动类加载器会在其负责加载的路径JRE/lib等核心库中查找java.lang.String。由于它必定能找到JDK自带的、正确的String类因此它会直接返回这个核心类的定义。自定义的那个java.lang.String类根本不会被加载到JVM中从而杜绝了攻击者通过伪造核心类来植入恶意代码的可能性 。2. 确保类的唯一性和稳定性双亲委派模型通过委派链确保了同一个类在JVM中只被加载一次并且是由最高优先级的加载器加载的。这带来了两方面的安全益处避免类冲突如果允许不同层级的加载器随意加载同一个类JVM中可能会出现多个不同版本的同一个类例如一个由用户加载的java.util.HashMap和一个由系统加载的java.util.HashMap。这会导致类型系统混乱引发难以预料的运行时错误本身就是一种安全隐患。建立信任边界父加载器加载的类通常是JDK核心库或标准扩展库对于子加载器加载的类是可见的反之则不行。这建立了一个清晰的沙箱边界。例如核心库中的类无法访问应用程序中自定义的、可能不安全的类这在一定程度上隔离了不可信代码的影响。为了更清晰地展示双亲委派在安全防护中的流程我们可以将其与传统的不安全加载方式进行对比特性维度双亲委派模型安全无委托或反向委托不安全加载起点子加载器收到请求后立即向上委派给父加载器。子加载器直接尝试自己加载或父加载器委托子加载器加载。核心类保护绝对安全。自定义的java.lang.xxx类永远无法被加载因为父加载器Bootstrap已提供了正版。极度危险。恶意或错误的同名核心类可能被加载替换掉JDK核心类破坏JVM根基。类唯一性严格保证。一个类由最先响应请求的父加载器加载全局唯一。无法保证。同一个类可能被不同加载器加载多次产生多个副本导致instanceof判断错误、类型转换异常等问题。典型风险几乎无此模型本身导致的安全风险。1.核心库被篡改。2.类冲突导致系统崩溃。3.恶意代码通过伪造类获得高权限。代码示例安全防护的直观证明以下代码试图定义一个恶意的java.lang.String类但在双亲委派机制下它永远不会生效。// 假设这是一个自定义的、恶意的 java.lang.String 类文件 package java.lang; public class String { static { System.out.println(恶意代码已执行); } // ... 其他恶意代码 } // 用户程序 public class TestSecurity { public static void main(String[] args) { // 尝试使用我们“自定义”的String类 String s new String(); // 实际上这里使用的仍然是JDK的java.lang.String System.out.println(s.getClass()); // 输出class java.lang.String 来自JDK // 自定义的“恶意”静态代码块永远不会被执行。 } }执行结果与说明编译可能成功因为编译器只检查语法。运行时当TestSecurity的类加载器AppClassLoader试图加载java.lang.String时它会遵循双亲委派将请求向上传递。最终启动类加载器Bootstrap ClassLoader在其核心路径中找到了真正的java.lang.String并加载它。因此main方法中使用的String类永远是JDK提供的安全版本自定义的恶意类被彻底屏蔽 。总结双亲委派模型通过一种“家长优先”的层级委托机制构建了Java运行时环境的第一道安全防线。其安全性并非来源于复杂的加密或验证而是源于一种简单而有效的秩序确立权威顶层加载器Bootstrap对核心类拥有绝对加载权。强制委托所有加载请求必须优先遵循这条“请示上级”的链条。自然隔离通过加载器的父子关系和可见性规则形成了天然的代码隔离。这种设计确保了Java核心运行时环境的纯净和稳定使得Java能够成为一个在复杂、开放的网络环境中安全部署和运行的语言平台 。参考来源今日八股——JVM篇为什么为什么StringBuilder是线程不安全的(1)HTTPS为什么安全【并发】volatile 为什么不能保证线程安全为什么 https 比 http 更安全SimpleDateFormat为什么线程不安全
