Java 7 Update 40 引入部署規則集：白名單機制增強安全管理

Oracle 在 Java 7 Update 40 中引入「部署規則集」，正式提供企業級白名單功能，允許系統管理員定義受信任的 Java RIAs（富互聯網應用），在瀏覽器中僅允許運行經授權的 Java 程序，顯著提升企業環境下的 Java 安全管控能力。

背景痛點

• 個人用戶常禁用或卸載 Java 插件防範攻擊
• 企業因兼容性無法及時升級 Java，面臨更高風險
• 長期缺乏白名單機制，無法限制瀏覽器中可運行的 Java 應用

部署規則集工作原理

管理員創建 XML 規則文件 (DeploymentRuleSet.jar)，指定允許運行的 Java 應用特徵（如代碼簽名、位置、版本）。JRE 啟動時讀取規則集，僅允許符合規則的 RIAs 運行，其餘攔截或提示。

規則集示例結構

<ruleset version="1.0">
  <rule>
    <id location="https://internal.app.com/" />
    <action permission="run" />
  </rule>
  <rule>
    <id />
    <action permission="block" />
  </rule>
</ruleset>

部署與管理

1. 編寫 ruleset.xml
2. 簽名並打包為 DeploymentRuleSet.jar
3. 部署至 ${deployment.config}/deploymentrule/ 目錄
4. 通過組策略或腳本分發至終端

意義與局限

此功能填補了 Java 客戶端安全管控的關鍵空白，但僅適用於瀏覽器插件場景，不影響獨立應用。企業應結合及時修補、最小權限原理構建纵深防禦體系。