Java在Ubuntu中的安全设置有哪些

Ja va在Ubuntu中的安全设置清单

先把根基打牢：系统与Ja va运行时基线

其实很多安全问题，根源都在于底层的“脏乱差”。所以，一切要从操作系统和Ja va运行环境的基线配置说起。

• 用“官方标配”最省心。尽量使用系统自带的默认JDK/JRE，这能免去你手动维护和配置带来的一系列风险。对于典型的服务器无界面场景，直接 sudo apt install default-jre-headless 就搞定了。
• 更新，再更新。保持系统和Ja va的安全更新是成本最低、效果最明显的手段。养成习惯，定期运行 sudo apt update && apt upgrade。
• 关紧大门，只留必要的窗。防火墙是你的第一道防线。启用UFW：sudo ufw enable，然后根据你的应用需求按需放行端口，比如 sudo ufw allow 80/tcp。别忘了定期核查防火墙状态。
• 远程登录，别怕麻烦。SSH配置是重中之重。编辑 /etc/ssh/sshd_config，务必设置 PermitRootLogin no 和 PasswordAuthentication no，全面转向SSH密钥认证。如果条件允许，甚至可以更改默认的22端口。
• 账号权限，最小化原则。禁用root直登是必须的。同时，利用PAM的 pam_cracklib 模块实施强密码策略，比如规定最小长度和字符组合。别忘了定期审计日志文件，像 /var/log/auth.log 和 /var/log/syslog。
• 给应用一个“专属”用户。不要以root用户运行你的Ja va进程。创建一个非特权的系统用户，并严格限制其文件与目录权限，这是保护宿主机的关键一步。

加密算法，不能“随便用用”

Ja va的安全配置核心在 /etc/ja va--openjdk/security/ja va.security 这个文件里（比如Ubuntu 22.04是 /etc/ja va-11-openjdk/security/ja va.security）。你可以直接修改它，或者通过系统属性指定一个额外的配置文件来调整算法限制。两种方式，看你习惯哪种：

• 追加模式：ja va -Dja va.security.properties=file://$HOME/ja va.security YourApp
• 覆盖模式：ja va -Dja va.security.properties==file://$HOME/ja va.security YourApp
• 如果你想“锁死”这些设置，不让别人通过命令行覆盖，可以在 ja va.security 文件中设置 security.overridePropertiesFile=false。

工作中最常用的两个配置键是：

• jdk.certpath.disabledAlgorithms：用来限制证书链处理中的算法与密钥长度。
• jdk.tls.disabledAlgorithms：用来限制SSL/TLS握手时的算法、密钥长度等。

实践建议：任何合规要求都会明确禁止过时算法（如MD5、SHA-1、RC4、3DES），并限制过短的密钥。遵循“最小可用”原则，只开启你真正需要且安全的算法，这才是正道。

安全管理器：老将虽去，但仍有价值

安全管理器（SecurityManager）曾是Ja va沙箱的核心，虽然从Ja va 17起已标记为废弃，但对于跑在低版本JDK上的老应用，它依然是重要的防御手段。

• 启用很简单：启动参数加 -Dja va.security.manager -Dja va.security.policy=/path/to/policy，或者代码中设置 System.setProperty(“ja va.security.manager”, “”);。
• 策略文件示例（生产环境请一定按需最小化授权）： grant codeBase “file:/opt/myapp/-” { permission ja va.security.AllPermission; };
• 调试问题：开启调试输出 ja va -Dja va.security.debug=all -Dja va.security.policy=…，能帮你快速定位权限不足的原因。

但必须强调的是：如果你用的是JDK 17及更高版本，安全管理器真心不推荐了。未来它会被彻底移除，替代方案是更现代的容器/沙箱技术、最小权限进程和系统级隔离。

纵深防御：依赖、传输与代码保护

安全不是一道城墙，而是层层设防。除了运行时，应用的供应链和构建过程同样需要关注。

• 依赖治理是基础。在构建流程中集成 OWASP Dependency-Check，它会自动扫描你的所有第三方库，帮你识别并修补已知漏洞。这是现代软件开发的标准配置。
• 防序列化攻击。对 ObjectInputStream 进行白名单校验，只允许你确信的类通过。这是降低反序列化攻击面的最有效手段。
• 传输安全是底线。强制使用TLS 1.2及以上版本，禁用一切弱套件和算法。必要时，可以引入更安全的加密提供者，比如 Bouncy Castle，并妥善管理你的密钥和证书。
• 代码混淆与加固。发布前使用 ProGuard 等工具对字节码进行混淆和优化，能显著增加逆向工程的门槛。当然，要配合必要的keep规则，确保框架和安全组件不受影响。
• 日志与监控，一个都不能少。为你的Ja va应用开启安全审计日志，并集中收集起来。结合主机和网络层的日志进行关联分析，才能及时发现并响应异常行为。

快速检查清单

这不仅仅是一份清单，更是一套安全运营的思维框架。从系统基线到应用代码，层层把关，才能真正睡得安稳。