Java安全策略与RMI类路径问题排查求助

我有一个基于RMI的应用，当安全策略配置为完全放行时可以正常运行：

//
// Allow everything for now
//
permission java.security.AllPermission;

但收紧权限后（如下配置），出现了Log4j类初始化失败的异常，怀疑是缺少类路径相关权限，但不知道该添加什么：

Caused by: java.lang.NoClassDefFoundError: Could not initialize class org.apache.logging.log4j.util.PropertiesUtil
        at org.apache.logging.log4j.status.StatusLogger.<clinit>(StatusLogger.java:78)
        at org.apache.logging.log4j.LogManager.<clinit>(LogManager.java:61)

当前收紧后的安全策略：

grant codeBase "file:/C:/apps/abc/xyz/*" {
    
    //
    // Allow everything for now
    //permission java.security.AllPermission;
    
    permission java.net.SocketPermission "127.0.0.1:*", "accept,connect,resolve";
    permission java.net.SocketPermission "localhost:6990", "listen,accept,connect,resolve";
    permission java.net.SocketPermission "localhost:6993", "listen,accept,connect,resolve";
    permission java.net.SocketPermission "XPS7590.abc.local", "resolve";
    permission java.net.SocketPermission "192.168.1.125:6993", "listen,accept,connect,resolve";

    permission java.util.PropertyPermission "user.dir", "read";
    permission java.util.PropertyPermission "LicenseFilename", "read";
    permission java.util.PropertyPermission "HostId", "read";

    permission java.io.FilePermission  ".", "read";
    permission java.io.FilePermission  "C:/Apps/abc/xyz/-", "read";
    
    permission java.lang.RuntimePermission "setFactory";
    permission java.lang.RuntimePermission "createClassLoader";
    //permission java.lang.RuntimePermission "setContextClassLoader";
    
};

另外想问：为什么需要通过回环地址、主机名、实际IP这几种方式设置Socket权限？

一、解决Log4j初始化失败的权限问题 #

这个NoClassDefFoundError不是找不到类，而是类初始化阶段出错，核心原因是Log4j的PropertiesUtil在读取系统属性或配置文件时缺少权限。需要在策略中补充以下权限：

1. 添加Log4j相关系统属性的读取权限
   PropertiesUtil初始化时会读取大量Log4j相关的系统属性（比如配置文件路径、日志级别参数等），需要放开这些属性的读取权限：

permission java.util.PropertyPermission "log4j.*", "read";
permission java.util.PropertyPermission "org.apache.logging.log4j.*", "read";
permission java.util.PropertyPermission "java.class.path", "read";
permission java.util.PropertyPermission "java.home", "read";

如果怕遗漏，可以临时用permission java.util.PropertyPermission "*", "read";测试，确认问题解决后再缩小权限范围。

2. 添加Log4j配置文件的读取权限
   如果你的Log4j配置文件（比如log4j2.xml、log4j.properties）不在已授权的C:/Apps/abc/xyz/-路径下，需要单独添加对应路径的文件读取权限：

// 示例：配置文件在C:/Apps/abc/xyz/config目录下
permission java.io.FilePermission "C:/Apps/abc/xyz/config/-", "read";

3. 补充类加载相关Runtime权限
   Log4j初始化过程中可能需要访问类加载器，建议取消策略中setContextClassLoader的注释，或者添加：

permission java.lang.RuntimePermission "getClassLoader";

二、多方式设置Socket权限的原因 #

RMI的地址解析和绑定逻辑比较灵活，多地址配置是为了覆盖所有可能的通信场景：

• 回环地址（127.0.0.1/localhost）：本地调试时，RMI注册表或服务可能绑定到回环地址，客户端/服务端通过该地址建立连接时需要对应权限。
• 主机名（XPS7590.abc.local）：RMI默认可能用主机名注册服务，无论本地还是其他节点通过主机名访问，都需要resolve（解析）和connect权限。
• 实际IP（192.168.1.125）：如果RMI服务绑定到网卡的实际IP（而非回环地址），或者客户端通过实际IP访问服务，就需要该地址的权限。
• 避免解析差异：不同环境下DNS解析、hosts配置可能有差异，比如localhost可能解析到IPv4的127.0.0.1或IPv6的::1，多地址配置能避免因解析不一致导致的权限拒绝。

内容的提问来源于stack exchange，提问作者SRJ