本节书摘来异步社区《Java编码指南：编写安全可靠程序的75条建议》一书中的第1章，第1.17节，作者：【美】Fred Long（弗雷德•朗）, Dhruv Mohindra（德鲁•莫欣达）, Robert C.Seacord（罗伯特 C.西科德）, Dean F.Sutherland（迪恩 F.萨瑟兰）, David Svoboda（大卫•斯沃博达），更多章节内容可以访问云栖社区“异步社区”公众号查看。
指南17：最小化特权代码
程序必须符合最小特权原则，不仅为特权块提供正确操作所需的最低权限（参见指南16），而且要确保特权代码只包含那些需要增加特权的操作。如果特权代码块里包含多余的代码，那么这些多余的代码就会具有与代码块相同的操作特权，这会增加攻击面。
违规代码示例
下面的违规代码示例包含一个changePassword()方法，它试图在doPrivileged()代码块里打开一个密码文件，并使用该文件执行操作。doPrivileged()代码块还包含一个多余的代码调用system.loadLibrary()，用来加载验证库。
public void changePassword(String currentPassword,
String newPassword) {
final FileInputStream f[] = { null };
AccessController.doPrivileged(new PrivilegedAction() {
public Object run() {
try {
String passwordFile = System.getProperty("user.dir") +
File.separator + "PasswordFileName";
f[0] = new FileInputStream(passwordFile);
// Check whether oldPassword matches the one in the file
// If not, throw an exception
System.loadLibrary("authentication");
} catch (FileNotFoundException cnf) {
// Forward to handler
}
return null;
}
}); // Forward to handler
}```
这个示例违反了最小特权原则，因为未授权调用者也可能加载身份验证库。未授权调用者不能直接调用System.loadLibrary()方法，因为这可能会使本地方法暴露给无特权的代码[SCG 2010]。此外，System.loadLibrary()方法只检查它的直接调用者的特权，所以在使用它时要千万小心。更多相关信息参见指南18。
####合规解决方案
下面的合规解决方案将对System.loadLibrary()的调用挪到了doPrivileged()代码块以外。这样做就只允许无特权代码通过密码文件执行初步的密码重置检查，从而防止了身份验证库的加载。public void changePassword(String currentPassword,
String newPassword) {
final FileInputStream f[] = { null };
AccessController.doPrivileged(new PrivilegedAction() {
public Object run() {
try {
String passwordFile = System.getProperty("user.dir") +
File.separator + "PasswordFileName";
f[0] = new FileInputStream(passwordFile);
// Check whether oldPassword matches the one in the file
// If not, throw an exception
} catch (FileNotFoundException cnf) {
// Forward to handler
}
return null;
}
}); // End of doPrivileged()
System.loadLibrary("authentication");
}`
loadLibrary()调用也可以在初步密码重置检查之前执行；在本例中，由于性能原因它会有一定的延迟。
适用性
最小化特权代码将减小应用程序的攻击面、简化审核特权代码的任务。
