验证JAR文件的完整性是否必要？

Question

我有一个zip文件，其中包含许多从HTTPS站点下载的jar文件。

罐子形成一个命令行驱动的服务器端应用程序。我有一个Java编写的应用程序安装程序，它执行一些检查来验证罐子是否使用特定的可信数字证书进行签名，并且在传输过程中未被修改。

是否有必要在收到时验证jar文件，或者这是JVM做的事情吗？我知道JVM验证字节码，但是jar签名怎么样？

Answer 1

这取决于如何使用罐子。

如果罐子最终由一个类加载器加载，类加载器可能执行的签名的验证。如果类加载器碰巧是URLClassLoader的实例，则其将执行签名的验证。

如果您在Java API中利用JarFile类来访问JAR，那么使用接受String或File参数的简单构造函数将导致执行验证。必要时，必须明确地关闭验证。