迁移至OpenJDK11+OpenWebStart后java.io.FilePermission权限问题求助

针对你遇到的迁移后Linux RHEL8下log4j2写入日志触发FilePermission错误的问题，给出以下几个稳健的解决方向：

1. 补全JNLP文件的安全权限配置 #

仅在JAR的MANIFEST.MF中设置Permissions: all-permissions可能不够，OpenWebStart会优先读取JNLP文件的安全配置。需要在JNLP的<security>标签中明确声明全权限：

<jnlp spec="1.0+" codebase="http://your-app-server.mydomain.edu">
    <!-- 其他JNLP配置：信息、资源、应用描述等 -->
    <security>
        <all-permissions/>
    </security>
</jnlp>

确保JNLP文件和JAR的权限声明一致，这样OpenWebStart才会正确授予全权限。

2. 确保自签名证书被OpenWebStart信任 #

Linux下OpenWebStart的证书信任机制可能和Windows不同，若证书未被信任，即使权限声明正确也会被限制：

• 图形界面方式：打开OpenWebStart控制面板 → 切换到Security标签 → 点击Manage Certificates → 导入你的自签名证书到Trusted Certificates分类。
• 命令行方式：找到OpenWebStart使用的JRE的cacerts存储（通常路径为~/.config/icedtea-web/jres/<jdk-version>/lib/security/cacerts），用keytool导入证书：

  keytool -importcert -file /path/to/your-selfsigned.crt -alias myapp-cert -keystore /path/to/cacerts
  

  输入默认密码changeit并确认信任该证书。

3. 批量推送自定义安全策略（替代手动修改java.policy） #

针对大量用户，可通过OpenWebStart的deployment.properties配置文件批量推送自定义策略：

1. 在你的应用服务器上创建一个自定义java.policy文件，仅授予log4j2所需的精准权限（避免使用<<ALL FILES>>）：

   grant codeBase "*.mydomain.edu" {
       // 替换为log4j2实际写入的日志路径，若为远程挂载则写本地挂载路径
       permission java.io.FilePermission "/opt/myapp/logs/-", "read, write";
   };
   

2. 将该文件上传到应用服务器的可访问路径（如http://your-server.mydomain.edu/policies/custom.policy）。
3. 配置deployment.properties文件，添加策略拉取地址：

   deployment.security.policy.url=http://your-server.mydomain.edu/policies/custom.policy
   

4. 将deployment.properties部署到用户的OpenWebStart配置目录（Linux下为~/.config/icedtea-web/deployment.properties），可通过企业内部的配置管理工具批量推送。

4. 检查log4j2的跨平台路径配置 #

Windows正常而Linux出错，可能是log4j2的日志路径在Linux下指向了受系统保护的目录（如/root、/usr），或者路径分隔符使用错误。修改log4j2配置文件，确保日志路径为Linux普通用户有权限读写的目录（如~/myapp/logs/），并使用Linux的/作为路径分隔符。

内容的提问来源于stack exchange，提问作者moser