サーブレットでのセキュリティマネージャ

Question

現在あるwebアプリケーションを開発しています。
サーバサイドにはjavaサーブレットのtomcat8を利用しています。
セキュリティ強化のためセキュリティマネージャを有効にしているのですが、
セキュリティマネージャを有効にするとwebアプリケーションが動きません。

サーブレットのプログラム内ではjava.net.URLClassLoaderを使用して、
外部のclassファイルを実行させており、この部分がセキュリティマネージャのポリシーの接触してしまっているため動かないであろうと予測しているのですが、どのような権限を与えればよいのかわかりません。

詳しいかたどうぞご教授お願いします。

tomcatのセキュリティマネージャのポリシーファイルのcatarina.policyには現在以下のような設定を追加していますが、URLClassLoaderで読み込んだクラスは動いていないようです。

grant codeBase "file:/opt/apache-tomcat/apache-tomcat-8.0.23/webapps/test_aplication/-"{
      permission java.io.FilePermission "<<ALL FILES>>",  "read,execute";
      permission java.lang.reflect.ReflectPermission "suppressAccessChecks";
      permission java.lang.RuntimePermission "setContextClassLoader";
};

Comments

[argius]

動かないというのは、具体的にどのような症状でしょうか？ 何か例外が発生していたら例外クラスの名前だけでも良いので教えてください。

[退会済みユーザー]

ログを見ましたが，特に例外は出ていませんでした。
サーブレットが動かないというのは、特にエラーが出るわけではなく、URLClassLoaderで読み込んだクラスに記述していた処理だけが実行されない形で終了しています。

[退会済みユーザー]

java.lang.NullPointerExceptionという例外が出ていました

[argius]

外部のclassファイルというのは、同じtest_aplication のcodeBaseのサブディレクトリーに存在しますか？

[退会済みユーザー]

いえ、/var/www/ 直下に置いています

Answer 1

arguisさん回答ありがとうございました。
回答いただいた方法では動かなかったのですが、
test_aplicationのところに
permission java.lang.RuntimePermission "createClassLoader";
を追加することで動くようになりました。

Comments

[argius]

/var/www/にgrant codeBaseを設定しなくても動作したのですか？

[退会済みユーザー]

そうですね、/var/www/に関しての設定は行っていませんが動作しました。

[argius]

参考になりました。ありがとうございます。

Answer 2

他のgrant codeBaseのところを見ていただくと分かると思いますが、ライブラリー（JAR）のパスかディレクトリーごとに設定がされています。

/var/www/の下にクラスファイルかJARファイルがあるのでしたら、そのディレクトリーまたはJARファイルに対してもgrant codeBaseを設定する必要があります。

なぜNullPointerExceptionが出ているのかは、URLClassLoaderを使っている処理が何をしているかが分からないので何とも言えません。
クラスローディングに失敗したのでインスタンスが生成されずnullになって、そのnullオブジェクトに対して何か操作をしたためかも知れません。