如何安全地运行不可信的Java应用程序？

Question

我正在写一个autograder web应用程序，它接受来自用户的程序作为输入。有什么方法可以保护我的Web服务器免受恶意程序输入的干扰？

目前只支持Java程序输入。我正在考虑禁止访问某些软件包/类，但我不知道如何。

任何意见/建议？

Answer 1

防止恶意程序输入的最简单方法是简单地在单独的虚拟机中运行它。如果您使用的是Linux，请使用KVM或其他软件启动虚拟机，在该处运行该程序，并将输出记录在某处（例如通过虚拟串行端口）。让虚拟机无法访问网络并每次擦除其驱动器。

如果失败了，Java确实有一个广泛的安全和沙箱模型，最初是为隔离applet而设计的。然而，正确使用它很困难，我不推荐将它用于这样的事情 - 产生VM更容易和更安全。