Policy文件权限配置核心在于codebase、签名、路径与具体操作权限的精准匹配，依赖预定义变量（如${user.home}）、合法URL格式codeBase及细粒度权限声明，Windows下需注意反斜杠转义和协议规范。
Policy 文件配置变量权限的核心，是让 Java 运行时能准确识别“谁（codebase）”在“什么条件下（签名、路径）”拥有“哪些具体操作权限（target + action）”。它不是简单罗列许可，而是靠变量展开、路径规范和权限粒度三者协同生效。尤其在 Windows 环境下，常见失败多因变量未被解析、反斜杠未转义或 codebase 格式非法。
变量支持范围与正确写法
Policy 文件本身不支持任意 Shell 或系统环境变量，仅内置有限几个预定义属性，如 ${user.home}、${java.home}、${user.dir}、${os.name} 等。这些变量在 JVM 加载 policy 时由 SecurityManager 自动替换，无需额外启用。
- ✅ 正确示例：
grant codeBase "file:${user.home}/Desktop/-" { permission java.io.FilePermission "${user.home}/Desktop/-", "read"; }; - ❌ 错误写法：
${PATH}、${MY_APP_ROOT}等自定义变量不会被识别，将原样保留导致匹配失败 - ⚠️ 注意：Windows 路径中反斜杠必须双写（
\），但变量内部无需手动处理——${user.home}在 Windows 上自动展开为C:\Users\User，直接拼接即可
CodeBase 必须是合法 URL 格式
codeBase 不是本地路径字符串，而是用于定位代码来源的 URI。Policy 解析器严格校验其协议与结构，错误格式会导致整条 grant 记录被跳过。
- ✅ 正确写法（绝对路径 + file 协议 + 正斜杠）：
codeBase "file:/C:/Users/User/Desktop/HelloWorld.jar"或codeBase "file:${user.home}/Desktop/HelloWorld.jar" - ❌ 常见错误：
"file:HelloWorld.jar"（相对路径）、"C:UsersUserDesktopHelloWorld.jar"（无协议、反斜杠）、"file://C:...HelloWorld.jar"（多余冒号或混用斜杠） - ? 提示：可用
new URL("file:/C:/...")在 Java 中验证是否可构造成功；若抛出 MalformedURLException，policy 中同样会失效
权限声明需匹配实际运行行为
权限不是越宽越好，也不是越窄越安全，关键在于覆盖真实调用链中所有受保护操作。一个看似只读文件的程序，可能隐含 classpath 扫描、日志写入、DNS 解析等间接行为。
- 例如：程序调用
System.getProperty("os.name")→ 需java.util.PropertyPermission "os.name", "read" - 又如：使用
FileOutputStream写临时文件 → 除FilePermission外，还可能触发RuntimePermission "writeFileDescriptor" - 调试建议：启动时加
-Djava.security.debug=access,failure，运行失败时控制台会明确打印“access denied”及缺失的具体 permission 类型与参数
策略叠加与默认策略关系
JVM 默认加载 $JAVA_HOME/jre/lib/security/java.policy，你的自定义 policy 是追加（not override）。这意味着：即使你没显式授予 PropertyPermission "java.version", "read"，程序仍可读取该属性——因为默认策略已包含。
- 要真正限制行为，必须显式 deny（Java 8 支持 deny 语法）或确保你的 grant 不覆盖默认许可范围
- 推荐做法：用
-Djava.security.policy==/path/to/my.policy（两个等号）完全替换默认策略，避免意外继承宽松权限 - 注意：完全替换后，连基础功能（如打印堆栈、读取系统属性）都可能被阻断，务必先测试最小可行集
