Java SecurityException: le informazioni sul firmatario non corrispondono

Ho ricompilato le mie classi come al solito e improvvisamente ho ricevuto il seguente messaggio di errore. Perché? Come posso ripararlo?

java.lang.SecurityException: class "Chinese_English_Dictionary"'s signer information does not match signer information of other classes in the same package
    at java.lang.ClassLoader.checkCerts(ClassLoader.java:776)

Ciò accade quando classi appartenenti allo stesso pacchetto vengono caricate da file JAR diversi e quei file JAR hanno firme firmate con certificati diversi o, forse più spesso, almeno una è firmata e una o più altre no (il che include le classi caricate dalle directory poiché quelle AFAIK non possono essere firmate).

Quindi assicurati che tutti i JAR (o almeno quelli che contengono classi degli stessi pacchetti) siano firmati utilizzando lo stesso certificato, oppure rimuovi le firme dal manifest dei file JAR con pacchetti sovrapposti.

Un modo semplice per aggirare il problema è provare a cambiare l'ordine dei file jar importati che può essere fatto da (Eclipse). Fare clic con il pulsante destro del mouse sul pacchetto -> Percorso di compilazione -> Configura percorso di compilazione -> Riferimenti e librerie -> Ordina ed esporta. Prova a cambiare l'ordine dei barattoli che contengono i file delle firme.

R. Se usi Maven, un modo utile per eseguire il debug di jar in conflitto è:

mvn dependency:tree

Ad esempio, per un'eccezione:

java.lang.SecurityException: class "javax.servlet.HttpConstraintElement"'s signer information does not match signer information of other classes in the same package

noi facciamo:

mvn dependency:tree|grep servlet

La sua uscita:

[INFO] +- javax.servlet:servlet-api:jar:2.5:compile
[INFO] +- javax.servlet:jstl:jar:1.2:compile
[INFO] |  +- org.eclipse.jetty.orbit:javax.servlet.jsp:jar:2.2.0.v201112011158:compile
[INFO] |  +- org.eclipse.jetty.orbit:javax.servlet.jsp.jstl:jar:1.2.0.v201105211821:compile
[INFO] |  +- org.eclipse.jetty.orbit:javax.servlet:jar:3.0.0.v201112011016:compile
[INFO] +- org.eclipse.jetty:jetty-servlet:jar:9.0.0.RC2:compile

mostra lo scontro tra servlet-api 2.5 e javax.servlet 3.0.0.x.

B. Altri suggerimenti utili (come eseguire il debug dell'eccezione di sicurezza e come escludere i dipartimenti esperti) sono alla domanda su Le informazioni sul firmatario non corrispondono .

Nel mio caso, avevo duplicato la versione JAR di BouncyCastle nel mio percorso della libreria: S

Ho avuto un'eccezione simile:

java.lang.SecurityException: class "org.hamcrest.Matchers"'s signer information does not match signer information of other classes in the same package

Il problema principale era che ho incluso due volte la libreria Hamcrest. Una volta utilizzato il file pom Maven. E ho anche aggiunto la libreria JUnit 4 (che contiene anche una libreria Hamcrest) al percorso di compilazione del progetto. Ho semplicemente dovuto rimuovere JUnit dal percorso di compilazione e tutto è andato bene.

Ciò può verificarsi con i proxy con strumentazione cglib perché CGLIB utilizza le proprie informazioni sul firmatario anziché le informazioni sul firmatario della classe di destinazione dell'applicazione.

1. Dopo la firma, accedere a: dist \ lib
2. Trova .jar extra
3. Utilizzando Winrar, estrai per una cartella (estrai in "nome cartella")
4. Accesso: META-INF / MANIFEST.MF
5. Elimina ogni firma in questo modo:

Nome: net / sf / jasperreports / engine / util / xml / JaxenXPathExecuterFactory.c lass SHA-256-Digest: q3B5wW + hLX / + lP2 + L0 / 6wRVXRHq1mISBo1dkixT6Vxc =

1. Salva il file
2. Zip di nuovo
3. Renaime ext a .jar indietro
4. Già

Se lo stai eseguendo in Eclipse, controlla i jar di tutti i progetti aggiunti al percorso di compilazione; oppure fai control-shift-T e cerca più barattoli corrispondenti allo stesso spazio dei nomi. Quindi rimuovere i jar ridondanti o obsoleti dal percorso di compilazione del progetto.

Sto riscontrando questo problema con Eclipse e JUnit 5. La mia soluzione è ispirata alla precedente risposta di user2066936 Si tratta di riconfigurare l'ordine delle librerie di importazione:

1. Fare clic con il pulsante destro del mouse sul progetto.
2. Apri [Java Build Path].
3. Fare clic su Ordina ed esporta.
4. Quindi spingere JUNIT alla priorità superiore.

Nel mio caso è stato un conflitto di nomi di pacchetto. Il progetto corrente e la libreria di riferimento firmata avevano un pacchetto in comune package.foo.utils. Ho appena cambiato il nome del pacchetto soggetto a errori del progetto corrente in qualcos'altro.

Thread un po 'troppo vecchio ma dato che sono rimasto bloccato per un po' di tempo su questo, ecco la soluzione (spero che aiuti qualcuno)

Il mio scenario:

Il nome del pacchetto è: com.abc.def. Ci sono 2 file jar che contengono classi di questo pacchetto, diciamo jar1 e jar2, cioè alcune classi sono presenti in jar1 e altre in jar2. Questi file jar vengono firmati utilizzando lo stesso keystore ma in momenti diversi nella compilazione (cioè separatamente). Ciò sembra risultare in una firma diversa per i file in jar1 e jar2.

Ho messo tutti i file in jar1 e li ho costruiti (e firmati) tutti insieme. Il problema scompare.

PS: i nomi dei pacchetti e dei file jar sono solo esempi

Se hai aggiunto tutti i jar da bouncycastle.org (nel mio caso da crypto-159.zip), rimuovi solo quelli per i JDK che non si applicano a te. Ci sono licenziamenti. Probabilmente ti servono solo i barattoli "jdk15on".

Questa domanda dura da molto tempo ma voglio inserire qualcosa. Ho lavorato a una sfida del progetto Spring e l'ho scoperto in Eclipse IDE. Se stai usando Maven o Gradle per le API Spring Boot Rest, devi rimuovere Junit 4 o 5 nel percorso di build e includere Junit nel tuo file di build pom.xml o Gradle. Immagino che si applichi anche al file di configurazione yml.

Ciò accade anche se includi due volte un file con nomi diversi o da posizioni diverse, soprattutto se si tratta di due versioni diverse dello stesso file.

Potrei aggiustarlo.

Causa principale: questo è un problema comune quando si utilizza l'implementazione Sun JAXB con i jar firmati. Essenzialmente l'implementazione JAXB sta cercando di evitare la riflessione generando una classe per accedere direttamente alle proprietà senza usare la riflessione. Sfortunatamente, genera questa nuova classe nello stesso pacchetto della classe a cui si accede, da cui proviene l'errore.

Risoluzione: aggiungere la seguente proprietà di sistema per disabilitare le ottimizzazioni JAXB che non sono compatibili con i jar firmati: -Dcom.sun.xml.bind.v2.bytecode.ClassTailor.noOptimize = true

Rif: https://access.redhat.com/site/solutions/42149

In base alla risposta di @Mohit Phougat, se stai eseguendo un Groovy con annotazioni @Grab, potresti provare a riordinare tali annotazioni.

questo è successo a me quando si utilizza JUnit + state tranquilli + hamcrest, in questo caso, non aggiungere junit al percorso di build, se avete il progetto maven, questo mi ha risolto, di seguito è il pom.xml

<dependencies>

    <dependency>
        <groupId>io.rest-assured</groupId>
        <artifactId>rest-assured</artifactId>
        <version>3.0.0</version>
    </dependency>

    <dependency>
        <groupId>org.hamcrest</groupId>
        <artifactId>hamcrest-all</artifactId>
        <version>1.3</version>
    </dependency>


    <!-- https://mvnrepository.com/artifact/junit/junit -->
    <dependency>
        <groupId>junit</groupId>
        <artifactId>junit</artifactId>
        <version>4.12</version>

    </dependency>


</dependencies>

Stavo eseguendo JUNIT 5 e facevo riferimento anche al jar esterno di Hamcrest. Ma Hamcrest fa anche parte della libreria JUNIT 5 . Quindi, devo cambiare l'ordine del file jar Hamecrest esterno nella libreria JUNIT 5 nel percorso di compilazione.