MemoryClassLoaderからライブラリをロードしますか？

Question

私は書いているアプリケーションのための一種のブートストラップに取り組んできました。これは、Webサイトからアプリケーションをバッファして実行します。私はアプリケーションのメインクラスのメインメソッドと呼ばれる点までは非常にうまく動作します。ライブラリのストリーミングも必要です。 LIBとアプリケーションは同じクラスローダーにありますが、不十分なリンクのためにライブラリを見つけることができなかったと言われています。私は助けを求めたが、何も見つけることができなかった。

Answer 1

がRuntime.loadLibraryであるため、nativeメソッドをサポートするネイティブコードを取得していないと思われます。このようなライブラリは、ローカルのファイルシステム上にある必要があり、クラスローダから独立しています。 Javadoc：

public void loadLibrary(String libname) 

は、指定されたライブラリ名を持つダイナミックライブラリをロードします。ネイティブコードを含むファイルは、ローカルファイルシステムからライブラリファイルが通常取得される場所からロードされたです。 このプロセスの詳細は、実装に依存しますです。ライブラリ名から特定のファイル名へのマッピングは、システム固有の方法で行われます。

そして明らかに、Runtime.getRuntime()は、特定のクラスローダから独立しています。

ネイティブコードがネイティブコードのネットワーク負荷を引き起こす可能性がある場合、ネイティブコードはSecurityManagerの方法で制限できないため、巨大なremote code execution vulnerabilityになります。

アプリケーションを生成するWebサイトを信頼し、安全なチャネル（MITMと改ざんを防ぐために暗号化されています）で取得している場合、ライブラリをフェッチしてローカルファイルシステムにダンプし、クラスを初期化する前に、ネイティブライブラリをロードするためにRuntime.loadLibrary or System.loadLibraryを呼び出してください。

アプリケーションを作成するWebサイトの作成者を信頼しない場合、またはそのWebサイトがサードパーティのコンテンツをホストする場合は、システムライブラリをはるかに少なくしてJARをロードしないでください。

ウェブサイトの著者が信頼できるものであっても、審査もテストもしていないシステムライブラリやその他のネイティブコードを読み込むことは危険です。 chrootによるプロセスサンドボックス処理とシステムコールの代行受信は、このリスクをいくらか緩和するのに役立ちますが、注意が必要です。