setSecurityManager设置安全管理器(可能会替换现有的)安全管理器是允许应用程序实现安全策略的类。授予 setSecurityManager 权限将通过安装一个不同的、可能限制更少的安全管理器,来允许代码改变所用的安全管理器,因此可跳过原有安全管理器所强制执行的某些检查。
createSecurityManager创建新的安全管理器授予代码对受保护的、敏感方法的访问权,可能会泄露有关其他类或执行堆栈的信息。
getenv.{variable name}读取指定环境变量的值此权限允许代码读取特定环境变量的值或确定它是否存在。如果该变量含有机密数据,则这项授权是很危险的。
exitVM.{exit status}暂停带有指定退出状态的 Java 虚拟机此权限允许攻击者通过自动强制暂停虚拟机来发起一次拒绝服务攻击。注意:自动为那些从应用程序类路径加载的全部代码授予 "exitVM." 权限,从而使这些应用程序能够自行中止。此外,"exitVM" 权限等于 "exitVM."。
shutdownHooks虚拟机关闭钩子 (hook) 的注册与取消此权限允许攻击者注册一个妨碍虚拟机正常关闭的恶意关闭钩子 (hook)。
setFactory设置由 ServerSocket 或Socket 使用的套接字工厂,或URL 使用的流处理程序工厂此权限允许代码设置套接字、服务器套接字、流处理程序或 RMI 套接字工厂的实际实现。攻击者可能设置错误的实现,从而破坏数据流。
setIOSystem.out、System.in 和System.err 的设置此权限允许改变标准系统流的值。攻击者可以改变 System.in 来监视和窃取用户输入,或将 System.err 设置为 "null" OutputStream,从而隐藏发送到 System.err 的所有错误信息。
modifyThread修改线程,例如通过调用线程的 interrupt、stop、suspend、resume、setDaemon、setPriority、setName 和setUncaughtExceptionHandler 方法此权限允许攻击者修改系统中任意线程的行为。
stopThread通过调用线程的stop方法停止线程如果系统已授予代码访问该线程的权限,则此权限允许代码停止系统中的任何线程。此权限会造成一定的危险,因为该代码可能通过中止现有的线程来破坏系统。
modifyThreadGroup修改线程组,例如通过调用 ThreadGroup 的destroy、getParent、resume、setDaemon、setMaxPriority、stop和suspend方法此权限允许攻击者创建线程组并设置它们的运行优先级。
getProtectionDomain获取类的 ProtectionDomain此权限允许代码获得特定代码源的安全策略信息。虽然获得安全策略信息并不足以危及系统安全,但这确实会给攻击者提供了能够更好地定位攻击目标的其他信息,例如本地文件名称等。
getFileSystemAttributes获取文件系统属性此权限允许代码获得文件系统信息(如调用者可用的磁盘使用量或磁盘空间)。这存在潜在危险,因为它泄露了关于系统硬件配置的信息以及一些关于调用者写入文件特权的信息。
readFileDescriptor读取文件描述符此权限允许代码读取与文件描述符读取相关的特定文件。如果该文件包含机密数据,则此操作非常危险。
writeFileDescriptor写入文件描述符此权限允许代码写入与描述符相关的特定文件。此权限很危险,因为它可能允许恶意代码传播病毒,或者至少也会填满整个磁盘。
loadLibrary.{库名}动态链接指定的库允许 applet 具有加载本机代码库的权限是危险的,因为 Java 安全架构并未设计成可以防止恶意行为,并且也无法在本机代码的级别上防止恶意行为。
accessClassInPackage.{包名}当类加载器调用 SecurityManager 的checkPackageAccess方法时,通过类加载器的loadClass方法访问指定的包此权限允许代码访问它们通常无法访问的那些包中的类。恶意代码可能利用这些类帮助它们实现破坏系统安全的企图。
defineClassInPackage.{包名}当类加载器调用 SecurityManager 的checkPackageDefinition方法时,通过类加载器的defineClass方法定义指定的包中的类。此权限允许代码在特定包中定义类。这样做很危险,因为具有此权限的恶意代码可能在受信任的包中定义恶意类,比如java.security或java.lang。
accessDeclaredMembers访问类的已声明成员此权限允许代码查询类的公共、受保护、默认(包)访问和私有的字段和/或方法。尽管代码可以访问私有和受保护字段和方法名称,但它不能访问私有/受保护字段数据并且不能调用任何私有方法。此外,恶意代码可能使用该信息来更好地定位攻击目标。而且,它可以调用类中的任意公共方法和/或访问公共字段。如果代码不能用这些方法和字段将对象强制转换为类/接口,那么它通常无法调用这些方法和/或访问该字段,而这可能很危险。
queuePrintJob打印作业请求的开始这可能向打印机输出敏感信息,或者只是浪费纸张。
getStackTrace获取另一个线程的堆栈追踪信息。此权限允许获取另一个线程的堆栈追踪信息。此操作可能允许执行恶意代码监视线程并发现应用程序中的弱点。
setDefaultUncaughtExceptionHandler在线程由于未捕获的异常而突然终止时,设置将要使用的默认处理程序此权限允许攻击者注册恶意的未捕获异常处理程序,可能会妨碍线程的终止
Preferences表示得到 java.util.prefs.Preferences 的访问权所需的权限。java.util.prefs.Preferences 实现了用户或系统的根,这反过来又允许获取或更新 Preferences 持久内部存储中的操作。如果运行此代码的用户具有足够的读/写内部存储的 OS 特权,则此权限就允许用户读/写优先级内部存储。实际的内部存储可能位于传统的文件系统目录中或注册表中,这取决于平台 OS。

5.3 可配置项详解

当批量配置的时候,有三种模式:
directory/ 表示directory目录下的所有.class文件,不包括.jar文件directory/* 表示directory目录下的所有的.class及.jar文件directory/- 表示directory目录下的所有的.class及.jar文件,包括子目录
可以通过${}来引用系统属性,如:
"file:${{java.ext.dirs}}/*"
六、问题解决
当出现关于安全管理的报错的时候,基本有两种方式来解决。

6.1 取消安全管理器

一般情况下都是无意启动安全管理器,所以这时候只需要把安全管理器进行关闭,去掉启动参数即可。

6.2 增加相应权限

若因为没有权限报错,则报错信息中会有请求的权限和请求什么权限,如下:
Exception in thread "main" java.security.AccessControlException: access denied (java.io.FilePermission E:\pack\a\a.txt write)
上面例子,请求资源E:\pack\a\a.txt,的FilePermission的写权限没有,因此被拒绝。
也可以开放所有权限:
grant { permission java.security.AllPermission; };